SSH 与远程操作：密钥、scp/rsync 与隧道

ssh ada@203.0.113.10             # 用户名@主机，默认 22 端口
ssh -p 2222 ada@203.0.113.10     # 指定端口
ssh ada@web-01 'df -h; uptime'   # 不进交互 Shell，执行完命令直接返回
ssh web-01 'bash -s' < local.sh  # 把本地脚本送到远端执行——批量运维的地基
exit                             # 或 Ctrl+D 退出登录

# 1. 本机生成密钥对（ed25519 是当前推荐算法）
ssh-keygen -t ed25519 -C 'ada@laptop'
#    生成 ~/.ssh/id_ed25519（私钥）和 id_ed25519.pub（公钥）
 
# 2. 公钥安装到服务器（追加进对方的 ~/.ssh/authorized_keys）
ssh-copy-id ada@203.0.113.10
#    没有 ssh-copy-id 时的手动等价操作：
cat ~/.ssh/id_ed25519.pub | ssh ada@host 'mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys'
 
# 3. 之后 ssh 直接进，不再要密码
ssh ada@203.0.113.10

# 权限要求：.ssh 目录 700，私钥/authorized_keys 600，公钥 644
mkdir -p /root/.ssh
echo 'FAKE-PRIVATE-KEY-FOR-DEMO' > /root/.ssh/id_ed25519
echo 'ssh-ed25519 AAAA... ada@laptop' > /root/.ssh/id_ed25519.pub
echo 'ssh-ed25519 AAAA... ada@laptop' > /root/.ssh/authorized_keys
 
chmod 700 /root/.ssh
chmod 600 /root/.ssh/id_ed25519 /root/.ssh/authorized_keys
chmod 644 /root/.ssh/id_ed25519.pub
 
echo '$ 验收：'
ls -ld /root/.ssh
ls -l /root/.ssh
 
echo ''
echo '$ 权限过宽的私钥，真实 ssh 会报 UNPROTECTED PRIVATE KEY 并拒用'
stat -c '%a %n' /root/.ssh/id_ed25519

# ~/.ssh/config
Host web
    HostName 203.0.113.10
    User ada
    Port 2222
    IdentityFile ~/.ssh/id_ed25519
 
Host bastion
    HostName 198.51.100.1
    User ops
 
Host db-internal
    HostName 10.0.0.5
    User ops
    ProxyJump bastion        # 经跳板机自动中转——内网机器一步直达

scp app.tar.gz web:/opt/           # 本地 → 远程
scp web:/var/log/app.log ./        # 远程 → 本地
scp -r site/ web:/var/www/         # 目录递归
 
rsync -avz site/ web:/var/www/site/     # 增量同步：只传变化的部分
rsync -avz --delete site/ web:/var/www/site/   # 镜像：远端多余文件也删掉
rsync -avz --exclude 'node_modules' ./ web:/opt/app/

# 本地转发 -L：把远端资源拉到本地端口
ssh -L 13306:10.0.0.5:3306 bastion
# 之后本地连 127.0.0.1:13306 == 经跳板机连内网数据库 10.0.0.5:3306
# 典型用途：用本地 GUI 客户端连"只对内网开放"的数据库
 
# 远程转发 -R：把本地服务暴露到远端
ssh -R 8080:127.0.0.1:3000 web
# 远端服务器的 8080 → 你笔记本的 3000（演示本地开发中的服务）
 
# 常配参数：-N 只建隧道不开 Shell，-f 转后台
ssh -N -f -L 13306:10.0.0.5:3306 bastion

# 沙箱无 ssh，但可以模拟隧道的"效果"：
# 假设 9000 是"内网服务"，我们用一个转发进程把它映射到 9100
mkdir -p www && echo 'internal service data' > www/data.txt
cd www && python3 -m http.server 9000 --bind 127.0.0.1 > /dev/null 2>&1 &
sleep 1
 
# 用 python 写一个极简 TCP 转发（ssh -L 干的就是这件事+加密）
cat > /tmp/fwd.py << 'EOF'
import socket, threading
def pipe(a, b):
    try:
        while True:
            d = a.recv(4096)
            if not d: break
            b.sendall(d)
    finally:
        a.close(); b.close()
srv = socket.socket(); srv.setsockopt(socket.SOL_SOCKET, socket.SO_REUSEADDR, 1)
srv.bind(('127.0.0.1', 9100)); srv.listen(1)
c, _ = srv.accept()
up = socket.create_connection(('127.0.0.1', 9000))
threading.Thread(target=pipe, args=(c, up)).start()
pipe(up, c)
EOF
python3 /tmp/fwd.py > /dev/null 2>&1 &
sleep 1
 
echo '$ 访问 9100（转发端口），拿到的是 9000（内网服务）的数据：'
curl -s http://127.0.0.1:9100/data.txt
echo '(ssh -L 13306:db:3306 的原理与此相同，只是包在加密通道里)'
kill $(jobs -p) 2>/dev/null || true