SSH 隧道作为代理

借助 SSH 客户端的动态端口转发功能，SSH 隧道可以当作 SOCKS 代理使用：本地端口的流量经由 SSH 服务器转发到该服务器可访问网络中的任意目标。

理解通过 SSH 实现的 SOCKS

SOCKS（Socket Secure）是一种互联网协议，用于在客户端与服务器之间通过代理服务器路由网络数据包。与 SSH 的动态端口转发结合时，SSH 客户端会创建一个本地 SOCKS 代理服务器。任何配置为使用该本地 SOCKS 代理的应用程序，其流量都会被加密并通过 SSH 连接转发到远程 SSH 服务器。随后 SSH 服务器充当 SOCKS 代理，代表客户端与最终目标建立连接。

这一机制实际上把客户端的网络可达范围扩展到了 SSH 服务器的范围，同时对客户端与 SSH 服务器之间传输的所有数据进行加密。

动态端口转发的工作方式

动态端口转发由 SSH 的 -D 选项指定，它让 SSH 客户端：
1. 在指定的本地端口上监听传入连接。
2. 当该本地端口收到连接时，SSH 客户端充当 SOCKS 服务器。
3. 与客户端应用（例如浏览器）协商 SOCKS 协议。
4. 根据 SOCKS 请求（其中包含目标主机和端口），通过加密的 SSH 隧道把该请求转发给 SSH 服务器。
5. SSH 服务器随后从自身的网络环境向目标主机和端口发起连接。
6. 此后客户端应用与目标主机之间交换的全部数据都通过 SSH 隧道中继，并在客户端与 SSH 服务器之间加密。

搭建 SSH SOCKS 代理

要建立 SSH SOCKS 代理，需使用 SSH 客户端连接到远程 SSH 服务器。该服务器必须允许 TCP 转发（通常通过 sshd_config 中的 AllowTcpForwarding yes 默认启用）。

设置动态端口转发的基本命令为：

ssh -D [LOCAL_PORT] [USER]@[SSH_SERVER_IP] -N -f

命令选项说明：

• -D [LOCAL_PORT]：指定动态端口转发。SSH 客户端将在本机的 LOCAL_PORT 上监听，该端口即作为 SOCKS 代理。LOCAL_PORT 常用 1080、8080、9050，或 1024 以上的任意非特权端口。
• [USER]：在远程 SSH 服务器上进行身份验证的用户名。
• [SSH_SERVER_IP]：远程 SSH 服务器的 IP 地址或主机名。
• -N：不执行远程命令。仅需要端口转发、不需要交互式 shell 时使用。
• -f：在执行命令前把 ssh 转入后台，使 SSH 隧道以后台进程运行。若省略，SSH 连接将保持在前台。
• -q：抑制大多数警告和诊断信息。
• -C：请求压缩所有数据（包括 stdin、stdout、stderr 以及转发的 X11 和 TCP 数据）。在慢速链路上有用。

配置示例：

在本地 8080 端口创建 SOCKS 代理并连接到 [email protected]：

ssh -D 8080 [email protected] -N -f

执行该命令后，SSH 客户端进程将在后台运行并监听 localhost:8080。

配置客户端使用 SOCKS 代理

SSH SOCKS 代理启用后，需要把应用程序配置为经由 localhost:[LOCAL_PORT] 路由流量。

浏览器

Firefox：

1. 打开 Firefox 设置。
2. 搜索"proxy"，或进入"网络设置"（通常为 about:preferences#general -> 网络设置）。
3. 选择"手动配置代理"。
4. 在"SOCKS 主机"字段填入 localhost 和 PORT（例如 8080）。
5. 选择"SOCKS v5"。
6. 勾选"使用 SOCKS v5 时代理 DNS 查询"，以防止 DNS 泄漏。
7. 点击"确定"。

Chrome/Chromium：

Chrome 没有内置的 SOCKS 代理设置。它通常依赖系统代理设置，或需要命令行参数或扩展。

使用命令行参数（临时）：

google-chrome --proxy-server="socks5://localhost:8080" --host-resolver-rules="MAP * 0.0.0.0 , EXCLUDE localhost"

--host-resolver-rules 参数确保 DNS 请求也经由 SOCKS5 代理，从而避免 DNS 泄漏。

使用代理切换扩展：
安装"Proxy SwitchyOmega"之类的浏览器扩展，并将其配置为使用 localhost:[LOCAL_PORT] 上的 SOCKS5 代理。

操作系统级全局代理设置（macOS/Windows/Linux 桌面环境）

许多操作系统允许设置系统级 SOCKS 代理，这会影响大多数遵循系统代理设置的应用程序。

• macOS： 系统设置 -> 网络 -> 选择网络服务 -> 详细信息 -> 代理 -> 勾选"SOCKS 代理" -> 填入 localhost 和 PORT。
• Windows： 设置 -> 网络和 Internet -> 代理 -> 手动设置代理 -> 启用"使用代理服务器" -> 将"SOCKS 代理"设为 localhost 和 PORT。
• Linux（GNOME/KDE）： 通常位于系统设置中的网络或代理设置内，与 macOS/Windows 类似。

命令行工具

curl：

curl --socks5-hostname localhost:8080 http://example.com

使用 --socks5-hostname 可确保 DNS 解析同样通过 SOCKS 代理服务器完成，避免潜在的 DNS 泄漏。

git：

将 Git 配置为在 HTTPS/HTTP 或 SSH 连接中使用 SOCKS 代理。

用于 HTTPS/HTTP：

git config --global http.proxy socks5://localhost:8080
git config --global https.proxy socks5://localhost:8080

用于 SSH（如果 Git 使用 SSH 克隆/推送）：
编辑 ~/.ssh/config：

Host github.com
    ProxyCommand nc -X 5 -x localhost:8080 %h %p

这会让 SSH 通过本地 SOCKS5 代理连接 github.com。

proxychains-ng：

对于不直接支持 SOCKS 代理的应用程序，proxychains-ng 可以强制它们使用代理。
1. 安装 proxychains-ng：通常可通过包管理器获取（例如 sudo apt install proxychains4）。
2. 配置：编辑 /etc/proxychains.conf 或 ~/.proxychains/proxychains.conf（若已创建），并添加：
socks5 127.0.0.1 8080
3. 运行应用程序：
bash proxychains4 [your_application]

使用场景

SSH SOCKS 代理具备若干实际优势：

• 绕过网络限制： 将流量经由位于无限制网络中的 SSH 服务器转发，访问被本地防火墙或地域限制封锁的服务和网站。
• 加密未加密流量： 客户端与 SSH 服务器之间的全部流量都会加密，可防止数据在本地网络（尤其是公共 Wi-Fi）上被窃听。
• 访问私有网络资源： 如果 SSH 服务器位于私有网络内（例如企业 LAN），SOCKS 代理可以让您从外部安全访问该网络中的资源。
• 隐藏客户端 IP 地址： 在目标服务器看来，连接来自 SSH 服务器的 IP 地址，从而为客户端提供一层匿名性。
• 安全的远程管理： 即使远程服务本身不支持加密，也可以通过加密隧道访问它们（例如数据库、Web 服务器）。

SSH 隧道与 VPN 对比

SSH 隧道和 VPN（Virtual Private Network）都能提供加密的网络访问，但在作用范围和实现方式上有所不同。

安全注意事项

使用 SSH SOCKS 代理会带来一些特定的安全考量：

• 对 SSH 服务器的信任： SSH 服务器成为信任链中的关键环节。所有流量都经过它，因此如果目标服务未使用 TLS/SSL，服务器运营者理论上可以在流量离开 SSH 隧道后检查其明文内容。
• SSH 服务器自身安全： SSH 服务器本身必须安全，包括使用强身份验证（优先使用 SSH 密钥而非密码）、保持 SSH 守护进程更新，以及应用适当的防火墙规则。SSH 服务器一旦被攻破，隧道的安全性也随之失效。
• 本地端口暴露： 本地 SOCKS 代理端口（LOCAL_PORT）通常绑定到 localhost（127.0.0.1），也就是只有本机应用可以连接。如果使用 0.0.0.0（例如 ssh -D 0.0.0.0:8080 ...），代理将对局域网中的其他机器开放；若非有意为之，这会构成安全风险。
• DNS 泄漏： 如果 SOCKS 代理配置不当（例如使用 SOCKS4，或未在浏览器中启用"代理 DNS"），DNS 请求可能直接发送到默认 DNS 服务器，即使应用流量已走隧道，浏览活动仍会暴露。SOCKS5 支持远程 DNS 解析，请确保启用它。

性能注意事项

使用 SSH SOCKS 代理对性能的影响：

• 延迟： 每个连接都要经过 SSH 服务器这一额外跳数，延迟因此增加，对延迟敏感的应用会有明显感知。
• 带宽： 最大吞吐量同时受限于客户端到 SSH 服务器的带宽，以及 SSH 服务器到最终目标的带宽。
• 加密开销： SSH 的加解密会消耗客户端和服务器两端的 CPU 资源，可能降低有效带宽。
• TCP over TCP： 在本身基于 TCP 的 SSH 连接上再隧道传输 TCP 流量，可能因"TCP meltdown"现象导致性能下降。其成因是底层 TCP 连接丢包引发重传，内层 TCP 连接又再次重传，造成指数退避和吞吐量下降。使用基于 UDP 的隧道（如 WireGuard）或基于 UDP 的 SSH（sshovudp）可以缓解，但这并非 SSH 上 SOCKS 的标准做法。