在 Debian 上使用 SecureCRT 配置端口转发的实用指南
一 场景与原理
- 常见需求是将本地的某个端口（如 8080）通过 SSH 隧道转发到目标主机（如内网 Web 的 80），在本地访问 http://localhost:8080 即可到达目标服务。
- 在 SecureCRT 中，这类转发通常通过会话的 Tunnels/端口转发 配置完成，支持本地转发、远程转发与动态转发（SOCKS5 代理）。
二 图形界面配置步骤 SecureCRT
- 新建或选择已有会话，协议选 SSH2，填写 主机、端口 22、用户名 等连接参数。
- 打开隧道配置：
- 菜单路径示例：Options → Session Options → SSH2 → Tunnels（不同版本可能在 Connection/SSH/Tunnels 下，名称相近）。
- 添加本地端口转发（Local Port Forwarding）：
- 点击 Add，在 Source port 填本地监听端口（如 8080）。
- 在 Destination 填目标地址与端口（如 10.0.0.10:80 或 remote.example.com:3306）。
- 确保类型为 Local，点击 OK 保存。
- 连接会话后，隧道随会话建立；在本地访问 http://localhost:8080 或 mysql -h 127.0.0.1 -P 3306 测试转发是否生效。
- 动态转发（SOCKS5）可选：添加转发时将类型设为 Dynamic，本地端口如 1080，浏览器或客户端配置 SOCKS5 127.0.0.1:1080 即可代理访问。
三 常用转发示例
- 本地转发 Web：Source port 8080 → Destination 192.168.10.20:80（浏览器访问 http://localhost:8080）。
- 本地转发数据库：Source port 3306 → Destination db.internal:3306（本地应用连 127.0.0.1:3306 即达内网数据库）。
- 动态转发：Source port 1080（SOCKS5）→ 留空 Destination（客户端以 SOCKS5 127.0.0.1:1080 使用）。
四 验证与排错
- 验证方式：
- 本地转发：在浏览器访问 http://localhost:8080 或用 nc/telnet/curl 测试端口连通性。
- 动态转发：在浏览器或系统网络设置中配置 SOCKS5 127.0.0.1:1080 后访问目标站点。
- 常见问题与处理：
- 端口被占用：更换 Source port（如从 8080 改为 18080）。
- 连接被拒或超时：确认目标主机与端口可达、服务在监听，且中间网络/安全组策略允许。
- 算法不兼容导致握手失败：在 SecureCRT 的 Global Options → SSH → Key Exchange 调整算法列表，与服务器侧 /etc/ssh/sshd_config 的 KexAlgorithms/HostKeyAlgorithms 保持一致后重启 sshd。
- 会话空闲断开：在 Session Options → Connection 启用 Send protocol NO-OP/Keepalive，减少 NAT/防火墙中断。
五 命令行替代方案
- 若不使用 SecureCRT 图形界面，可直接用 OpenSSH 建立同等隧道：
- 本地转发：ssh -L 8080:10.0.0.10:80 user@debian-server
- 动态转发：ssh -D 1080 user@debian-server
- 保持该终端会话在线，转发即持续有效；可按需加入 -N（不执行远程命令）与 -f（后台）。