xshell端口工具 SSH隧道功能配置

通过Xshell的SSH隧道功能，可以将Windows本机的一个端口流量加密转发到远程服务器，从而访问服务器内部或局域网中无法直接从公网连接的服务。这种本地转发方式无需在服务器防火墙开放额外端口，既保证了访问的安全性，又简化了远程调试和内网资源访问的流程。下面以Xshell 8为例，演示如何将服务器本地的8080端口HTTP服务，映射到Windows本机的18080端口进行访问。

SSH本地转发数据流向示意

1. 确认SSH和目标服务的访问条件

在开始配置前，需要确保你拥有合法的SSH登录权限，且该账号被允许使用端口转发功能。同时，确认目标服务器上已经运行了需要访问的服务，例如一个监听在 127.0.0.1:8080 的Web应用。

请注意区分两个概念：SSH连接端口（通常为22）用于建立加密通道，而目标服务端口（如8080）是通道另一端实际访问的服务。两者用途不同，配置时不可混淆。本例仅涉及“本地转发”，即从Windows本机发起连接，经由SSH隧道到达服务器。

2. 在会话属性中添加规则

打开Xshell，在左侧会话管理器中找到并选中你要使用的SSH会话，右键点击选择【属性】。在弹出的窗口左侧导航栏中，依次展开【连接】→【SSH】，点击【隧道】选项卡。

点击右侧的【添加】按钮，新建一条转发规则，并按以下参数填写：

• 类型：选择“Local”（本地转发）。
• 源主机：填写 127.0.0.1。这表示只允许Windows本机访问该转发端口，保障安全性。
• 侦听端口：填写 18080。这是你在Windows浏览器中将要访问的端口。
• 目标主机：填写 127.0.0.1。这里的IP是指SSH服务器端的视角，即服务器自己。
• 目标端口：填写 8080。这是服务器上实际运行服务的端口。
• 描述：可填写“内部HTTP服务”以便识别。

如果目标服务不在SSH服务器本机，而在同一内网的其他机器上，则“目标主机”需填写那台机器的内网IP地址，并确保SSH服务器能访问该IP。

3. 保存规则后重新连接

填写完毕后，点击【确定】保存规则，再次点击【确定】关闭会话属性窗口。此时规则已保存到该会话配置中，但尚未生效。你需要断开当前的SSH连接（如果已连接），然后重新双击该会话建立连接。

浏览器验证隧道连通性

重新连接过程中，如果首次遇到主机密钥指纹提示，请核对指纹无误后接受。连接成功后，Xshell会在后台启动端口监听。如果Windows本机的18080端口已被其他程序占用，Xshell通常会报错或无法建立隧道，此时需更换一个未被占用的侦听端口（如18081），并相应修改浏览器访问地址。

4. 从浏览器验证完整访问链路

保持SSH连接处于在线状态，打开Windows上的任意浏览器（如Chrome或Edge）。在地址栏输入 http://127.0.0.1:18080 并回车。

如果配置正确，浏览器将显示服务器上8080端口运行的Web页面内容。若服务需要登录，请输入该Web应用自身的账号密码。注意，这里访问的是 127.0.0.1，即你的Windows电脑，但数据实际上是通过SSH隧道加密传输到了远程服务器。

5. 用隧道窗格检查与临时调整

如果需要查看当前活跃的隧道状态，可以在Xshell菜单栏点击【查看】→【隧道窗格】。在底部弹出的面板中，你可以看到当前会话下所有已激活的转发规则及其状态。

在此窗格的【转发规则】标签页中，右键点击列表可以临时添加或修改规则。需要注意的是，通过隧道窗格即时添加的规则仅在当前连接期间有效，断开连接后会消失。若希望规则长期生效，务必按照第2步的方法在会话属性中进行保存。

6. 按故障位置排查并保留配置

如果浏览器无法访问，请按以下顺序排查：

1. 检查SSH连接：确认Xshell底部的状态栏显示已连接，且隧道窗格中规则状态正常。
2. 检查端口冲突：确认Windows本机没有其他程序占用18080端口。
3. 检查服务端：确认服务器上的服务确实在运行，且监听在 127.0.0.1:8080 或 0.0.0.0:8080。
4. 检查权限：部分SSH服务器配置可能禁止普通用户进行端口转发，如遇此情况需联系管理员确认。

确认访问正常后，该会话配置即可保留供日后使用。下次只需连接该会话，隧道便会自动建立，无需重复配置。使用完毕后，直接关闭SSH连接即可停止端口转发。

6. 按故障位置排查并保留配置