如何把VPS作为SSH代理跳墙

VPS 不仅可以用来搭建 PPTP、L2TP/IPSec 和 OpenVPN，而且还可以直接作为 SSH 代理跳墙（我自己搭建的是L2TP/IPSec的方式，但是，电脑上基本上是连上就断，手机上却可以正常访问，在调试的时候觉得应该是OpenSwan的问题，不知谁能解答一下？）。

以下将介绍一个如何把 VPS 作为 SSH 代理跳墙的简易方法：
I、连接 VPS
对 Windows 来讲，你可以安装一个 SSH 客户端（例如 Putty）, 对 Mac 来讲，你也可以安装一个 SSH 客户端（例如 Issh），但更简单的方法是直接在终端应用程序上通过以下命令连接：

ssh -N -D 7070 [email protected] -p 22222

记得将 “94.249.184.93″ 替换成你 VPS 的 IP 地址，将22222换成你的修改了之后的SSH端口，按下 “Return” 键，输入 VPS 登录密码，如果正确，回车后你将看不到任何新的内容（可以加入-f选项当连接成功后进入后台运行）。
顺便说一下，不管你的 VPS 事先是否已经安装了 VPN，你都可以把 VPS 作为 SSH 代理，这不会影响 VPN 的使用。

技巧：
尽管以上是最简单的连接方法，但是只能供你一个人使用――除非你想把自己的 VPS 帐户和别人分享。而如果要和别人分享同一个 SSH 代理，你可以通过以下 4 个步骤新建一个受限的 VPS 用户:

1、登录 VPS
在终端应用程序上输入以下命令（设置了密钥访问的自行修改，比如添加”-i”和”-p”选项）：

ssh [email protected]

记得将 “94.249.184.93″ 替换成你 VPS 的 IP 地址。

2、创建一个用户组
输入以下命令：

groupadd sshproxy

你可以将 “sshproxy” 替换成任意名字。

3、创建受限用户
输入以下命令：

useradd -d /home/sshproxy -m -g sshproxy -s /bin/false sshproxy

以上命令将会在 “sshproxy” 创建一个新的 SSH 用户 “sshproxy”，该用户只能使用 SSH 代理，不能登录你的 VPS 帐户（设置shell为/bin/false的效果）。

4、为新用户设置密码
输入以下命令：

passwd sshproxy

然后，为该用户设置任意密码 (例如 “123456″)。

完了之后，你就可以把该用户名和密码分享给朋友，他们也就可以通过以下命令使用你的 SSH 代理：

ssh -N -D 7070 [email protected]

记得把 “sshproxy” 替换成你新建的用户名，把 “94.249.184.93″ 替换成你 VPS 的 IP 地址。
确实是可以跳墙，但是，真的很不稳定：
channel 2: open failed: connect failed: No route to host
channel 2: open failed: administratively prohibited: open failed
channel 8: open failed: connect failed: Connection timed out
……

+++++++++++++++++++++++++++++++++++++++++++++++++++++++
# useradd -h
用法：useradd [选项] 登录
useradd -D
useradd -D [选项]

选项：
-b, –base-dir BASE_DIR 新账户的主目录的基目录
-d, –home-dir HOME_DIR 新账户的主目录
-D, –defaults 显示或更改默认的 useradd 配置
-g, –gid GROUP 新账户主组的名称或 ID
-G, –groups GROUPS 新账户的附加组列表
-m, –create-home 创建用户的主目录
-M, –no-create-home 不创建用户的主目录
-s, –shell SHELL 新账户的登录 shell

小知识：/sbin/nologin和/bin/false的区别

/bin/false是最严格的禁止login选项，一切服务都不能用，而/sbin/nologin只是不允许系统login，可以使用其他ftp等服务。
如果想要用false在禁止login的同时允许ftp，则必须在/etc/shells里增加一行/bin/false。

小技巧：
查看 /etc/passwd文件，能看到各用户使用的shell

nologin
当用户配置成/sbin/nologin时，如果再使用该用户ssh到linux操作系统，会提示
This account is currently not available.

如果在树莓派下，配置错误，误将/usr/sbin/nologin配置成/sbin/nologin，SSH时会提示
root@raspberrypi:/home# useradd -s /sbin/nologin piaohailin
root@raspberrypi:/home# su piaohailin
Cannot execute /sbin/nologin: No such file or directory

false
当用户配置成/bin/false时，ssh之后显示如下：
root@raspberrypi:/home# useradd -s /bin/false piaohailin
root@raspberrypi:/home# su piaohailin
root@raspberrypi:/home# whoami
root
不会有任何提示，用户切换不过去。

绑定本地端口

既然SSH可以传送数据，那么我们可以让那些不加密的网络连接，全部改走SSH连接，从而提高安全性。
假定我们要让8080端口的数据，都通过SSH传向远程主机，命令就这样写：
$ ssh -D 8080 user@host
SSH会建立一个socket，去监听本地的8080端口。一旦有数据传向那个端口，就自动把它转移到SSH连接上面，发往远程主机。可以想象，如果8080端口原来是一个不加密端口，现在将变成一个加密端口。

SSH的默认端口是22，也就是说，你的登录请求会送进远程主机的22端口。使用p参数，可以修改这个端口。
$ ssh -p 2222 user@host
上面这条命令表示，ssh直接连接远程主机的2222端口。

本地转发

有时，远程机器能访问某个端口（如remote-secret.com:8080），但本地机器无法访问。这时使用SSH的本地转发功能，即可将远程端口映射到本地：
$ ssh -L 9090:remote-secret.com:8080 my-remote-host.com
此时访问本地的9090端口就相当于用远程服务器my-remote-host.com访问remote-secret.com:8080。
提示：如果写成-L 9090:localhost:8080，就是把远程服务器的8080端口映射到本地的9090端口了
应用举例：如果远程服务器处于某受保护的内网中，可以借助其SSH服务获得与其等同的访问权限。
提示：默认情况下，本地转发的端口只能在本机上访问，要想允许外部访问，请添加-g选项。

参考链接：

1 7 月, 2014

admin

Other, Tools

/bin/false, /sbin/nologin, SSH, useradd