端口转发

端口转发只暴露指定端口，适合临时访问现场 SSH、Web、接口服务。

方案速查

适合现场机器在内网，但能主动连公网服务器的场景。当前 frps：

www.singzer.cn:7001

下载

工具	下载入口
frp	https://github.com/fatedier/frp/releases
GOST	https://github.com/go-gost/gost/releases
OpenSSH	https://learn.microsoft.com/windows-server/administration/openssh/openssh_install_firstuse
PuTTY	https://www.chiark.greenend.org.uk/~sgtatham/putty/latest.html
iptables / nftables	系统自带
socat	系统包管理器
netsh	Windows 自带

Debian / Ubuntu

apt install openssh-client socat nginx

RHEL / CentOS

yum install openssh-clients socat nginx

Arch Linux

pacman -S openssh socat nginx

frpc

把现场机器 22 暴露到 www.singzer.cn:16022。

serverAddr = "www.singzer.cn"
serverPort = 7001

[[proxies]]
name = "ssh-device"
type = "tcp"
localIP = "127.0.0.1"
localPort = 22
remotePort = 16022

frpc -c ./frpc.toml
ssh root@www.singzer.cn -p 16022

GOST

Web

gost -L tcp://:18080/192.168.10.50:80

SSH

gost -L tcp://:16022/192.168.10.50:22

UDP

gost -L udp://:10053/192.168.10.1:53

SSH 链路

gost -L tcp://:18080/192.168.10.50:80 -F sshd://user:pass@www.singzer.cn:22

SSH 转发

本地转发 -L

ssh -N -L 18080:192.168.10.50:80 root@www.singzer.cn

远程转发 -R

ssh -N -R 18080:127.0.0.1:8080 root@www.singzer.cn

SOCKS5 -D

ssh -N -D 1080 root@www.singzer.cn

-R 如果需要让外部访问服务器端口，服务器 sshd 可能需要：

GatewayPorts yes

系统自带转发

不装任何第三方工具，直接用操作系统内核能力转发端口。

iptables / nftables（Linux）

内核级 NAT 转发，性能最好，适合长期规则。

iptables DNAT

# 开启内核转发
echo 1 > /proc/sys/net/ipv4/ip_forward

# 转发本机 18080 → 192.168.10.50:80
iptables -t nat -A PREROUTING -p tcp --dport 18080 -j DNAT --to-destination 192.168.10.50:80
iptables -t nat -A POSTROUTING -j MASQUERADE

nftables DNAT

# 开启内核转发
echo 1 > /proc/sys/net/ipv4/ip_forward

# 转发本机 18080 → 192.168.10.50:80
nft add table ip nat
nft add chain ip nat prerouting { type nat hook prerouting priority -100 \; }
nft add chain ip nat postrouting { type nat hook postrouting priority 100 \; }
nft add rule ip nat prerouting tcp dport 18080 dnat to 192.168.10.50:80
nft add rule ip nat postrouting masquerade

本机端口重定向

# 同机器 8080 → 80（不需要 ip_forward）
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080

清除规则：

iptables

iptables -t nat -D PREROUTING -p tcp --dport 18080 -j DNAT --to-destination 192.168.10.50:80
iptables -t nat -D POSTROUTING -j MASQUERADE

nftables

nft delete table ip nat

持久化规则（重启不丢失）

iptables-persistent (Debian/Ubuntu)

apt install iptables-persistent
netfilter-persistent save

iptables-services (RHEL/CentOS)

yum install iptables-services
service iptables save
systemctl enable iptables

nftables (systemd)

nft list ruleset > /etc/nftables.conf
systemctl enable nftables

socat（Linux/macOS）

单命令 TCP/UDP 转发，适合临时验证，无配置文件。

TCP 转发

socat TCP-LISTEN:18080,fork,reuseaddr TCP:192.168.10.50:80

UDP 转发

socat UDP-LISTEN:10053,fork,reuseaddr UDP:192.168.10.1:53

本地端口映射

socat TCP-LISTEN:80,fork,reuseaddr TCP:127.0.0.1:8080

Ctrl+C 停止，后台运行加 & 或用 nohup。

netsh（Windows）

Windows 内置端口映射，无需安装任何工具。

添加转发

netsh interface portproxy add v4tov4 listenport=18080 listenaddress=0.0.0.0 connectport=80 connectaddress=192.168.10.50

查看规则

netsh interface portproxy show all

删除规则

netsh interface portproxy delete v4tov4 listenport=18080 listenaddress=0.0.0.0

防火墙放行

netsh advfirewall firewall add rule name="Port 18080" dir=in action=allow protocol=TCP localport=18080

删除规则：

netsh advfirewall firewall delete rule name="Port 18080"

开机自启

netsh portproxy 规则默认持久化，重启不丢失。

如需确认服务依赖 IP Helper 已启动：

sc query iphlpsvc
sc config iphlpsvc start=auto

SSH 内置（Windows 10+ / macOS / Linux）

系统自带 OpenSSH 客户端即可，无需 PuTTY 等工具。

Windows PowerShell

# 确认 SSH 可用
ssh -V

# 本地转发
ssh -N -L 18080:192.168.10.50:80 root@www.singzer.cn

macOS / Linux

ssh -N -L 18080:192.168.10.50:80 root@www.singzer.cn

Windows 10/11 默认已装 OpenSSH，如未安装：

Add-WindowsCapability -Online -Name OpenSSH.Client~~~~0.0.1.0

排查

frpc 日志

journalctl -u frpc -f

本地端口

ss -ltnp | grep ':8080'

外部验证

nc -vz www.singzer.cn 16022
curl -I http://www.singzer.cn:18080/

端口规划

用途	建议端口
SSH	16000-16999
Web / HTTP	18000-18999
数据库	19000-19999
临时调试	20000-20999

注意

• 只转发需要调试的端口。
• 用完及时关闭临时转发。
• remotePort 需要登记，避免冲突。
• token、密码、私钥不要提交到仓库。
• iptables/nftables 规则记得持久化，否则重启丢失。
• netsh portproxy 仅支持 TCP，不支持 UDP。