SSH 会自动加密和解密所有 SSH 客户端与服务端之间的网络数据。SSH 还同时提供了一个非常有用的功能，这就是端口转发。它能够将其他 TCP 端口的网络数据通过 SSH 链接来转发

关于SSH端口转发的概念理解可以参考下面一篇文档，写得很详细，并且易于理解，推荐这篇

SSH 端口转发， 以下SSH端口转发的基本知识也摘至该文档

本地端口转发

如果应用程序的客户端和 SSH 的客户端位于 SSH 隧道的同一侧，而应用程序的服务器和 SSH 服务器位于 SSH 隧道的另一侧，那么这种端口转发类型就是本地端口转发。需要使用 -L 选项来创建。

ssh -g -L P:HostS:W HostB

应用 -g 选项后主机 A 不仅会监听 localhost 的 P 端口，还能够监听所有网络接口的 P 端口，所以主机 C 上的应用客户端就可以把消息发送到主机 A 的 P 端口。

接下来我们必须要介绍本地端口转发的命令格式了：

ssh -L <local port>:<remote host>:<remote port> <SSH server host>

SSH server host 是 SSH 服务器所在的主机， remote host 和 remote port 则分别指应用程序服务器所在主机和监听端口。如果 remote host 指定为 localhost 则认为应用程序服务器和 SSH 服务器在同一台主机上。

在结束本地端口转发之前还需要介绍另外两个选项，它们是 f 和 N。上面的命令在创建隧道的同时登录到远程主机，一般情况下我们不需要这个登录。况且一旦这个登录退出，隧道也会随之关闭。我们更期望的是能够创建在后台运行的隧道，这时就需要添加 f 和 N 选项。

远程端口转发

如果应用程序的客户端和 SSH 的服务器位于 SSH 隧道的同一侧，而应用程序的服务器和 SSH 的客户端位于 SSH 隧道的另一侧，那么这种端口转发类型就是远程端口转发

所以，区分本地端口转发和远程端口转发主要是看 SSH 客户端与应用程序的哪一部分在 SSH 隧道的同一侧！远程端口转发的命令格式为：

ssh -R <local port>:<remote host>:<remote port> <SSH server host>

其它的细节两者基本也是一样的。但是远程端口转发不支持 -g 参数

下面结合拓扑图来实践测试本地端口转发和远程端口转发

1)内网192.168.31.180 CentOS6服务器一台

内网Win7PC机192.168.31.51

2)阿里云ECS服务器一台 公网IP101.132.116.99 SSH服务端口已经修改为8122

3)阿里云ECS服务器上安装KVM虚拟化后，虚拟出来一台CentOS虚拟机kvm_03，虚拟化网络使用的NAT模式，内网IP192.168.122.115

一、使用本地端口转发来实现内网PC只需要访问本地192.168.31.180的11122端口就可以访问到阿里云ECS服务器KVM虚拟机kvm_03的SSH后台

具体步骤如下

1、内网Win7 PC SecureCRT登录后输入

[root@KVM_Lab ~]# ssh -L 192.168.31.180:11122:192.168.122.115:22 root@101.132.116.99 -p 8122

然后输入阿里云ECS服务器的root密码

man ssh 查看ssh -L的命令解释如下

2、这时已经完成本地端口转发，下面来验证，SecureCRT登录192.168.31.180的11122端口，新建如下会话

可以正常登录到kvm_03虚拟机上，验证成功

二、使用远程端口转发来实现kvm_03虚拟机只需要访问192.168.122.1的20021端口就可以访问到下面内网192.168.31.51的FTP 21端口

1、内网Win7 PC SecureCRT登录后192.168.31.180 CentOS服务器后输入

[root@KVM_Lab ~]#

ssh -R 192.168.122.1:20021:192.168.31.51:21 root@101.132.116.99 -p 8122

man ssh 查看ssh -R的命令解释如下

2、阿里云ECS服务器KVM虚拟机kvm_03的SSH后台登录后验证ftp服务器是否可以正常访问

如下图所示先登录阿里云ECS主机，ssh root@192.168.122.115跳转到kvm_03这台虚拟机上，

ftp 192.168.122.1 20021登录ftp

输入FTP账号密码后，可以正常登录

说明一下，ftp协议的特殊性，只远程端口转发了21控制信令端口，数据传输端口未做转发，本次实验只是通过ftp21端口举例为验证ssh远程端口转发功能

另外在网上搜索学习的过程中找到几篇不错的文档,供参考学习