“本地港口转发”与“动态港口转发”的区别？

Question

我试图理解“本地港口转发”和“动态港口转发”之间的区别。

在“本地端口转发”的ssh命令中，是否总是需要指定目标主机？

“动态端口转发”中的“动态”是否意味着，在用于“动态端口转发”的ssh命令中，不需要指定目标主机？如果是，什么时候指定目的地？

Answer 1

是的，在使用本地转发时，您必须指定目标IP和端口。来自man ssh：

 -L [bind_address:]port:host:hostport
         Specifies that the given port on the local (client) host is to be
         forwarded to the given host and port on the remote side.

显然，只有绑定地址是可选的。

不，使用动态转发时不能指定目标主机或端口。在动态转发中，SSH充当SOCKS代理。再次来自命令(重点是我的)：

 -D [bind_address:]port
         Specifies a local “dynamic” application-level port forwarding.
         This works by allocating a socket to listen to port on the local
         side, optionally bound to the specified bind_address.  Whenever a
         connection is made to this port, the connection is forwarded over
         the secure channel, and the application protocol is then used to
         determine where to connect to from the remote machine.  Currently
         the SOCKS4 and SOCKS5 protocols are supported, and ssh will act
         as a SOCKS server.

使用-L，SSH不试图理解流量。它只是将它在本地端口上接收到的所有信息发送到目标端口--在建立连接时确定目标端口。使用-D，SSH充当代理服务器，因此可以处理来自多个端口的连接(例如，配置为用作SOCKS代理的浏览器可以通过相同的连接访问HTTP、HTTPS、FTP等)。和其他代理服务器一样，它将使用通信量来确定目的地。

Answer 2

了解这一概念的另一种方法是查看客户端如何连接到amazon的弹性地图减少(EMR)集群。EMR有一堆本地应用程序公开，这些通常是通过SSH隧道访问。

客户机有两个选项: A)本地端口转发SSH命令: ssh -i key.pem -L 8157:a.b.c.d:8088 hadoop@a.b.c.d

例如，客户机说，本地主机上的8157被转发给a.b.c.d:8088客户端必须向本地主机发出请求：http://localhost:8157其他应用程序可以监听端口，比如8089,8090，而客户机必须为其中的每一个端口建立ssh连接。

( B)此处转发的动态端口--使用单个SSH命令: ssh -i key.pem -D 8157 hadoop@a.b.c.d

任何由8157号港口驶入的车辆，将经海底隧道转行。流量的目的地将是URL的目的地。例如，您可以在the服务器上使用代理客户机，并重定向一些http URI以使用代理。您可以通过一个命令访问8089,8090上的所有应用程序。

有关参考，请参见下面的doc：https://docs.aws.amazon.com/emr/latest/ManagementGuide/emr-web-interfaces.html