ssh跳板机通过proxyjump或proxycommand实现一步直达内网服务器，全程加密、私钥不落地、用户无感知中间环节，兼顾安全与效率。
跨域访问本身不是网络层概念，实际指的是不同安全域（如公网→VPC、办公网→生产内网）之间的受控连接。SSH跳板机（Bastion Host）正是为这类场景设计的标准化入口，其“透明加密转发”核心不在于隐藏跳转动作，而在于让终端用户无需感知中间环节，同时全程保障通信机密性与完整性。
用 ProxyJump 实现一步直达（推荐现代方式）
OpenSSH 7.3+ 原生支持 ProxyJump，配置简洁、无需额外工具、密钥不落地：
- 在 ~/.ssh/config 中添加两段主机定义：
Host bastion
HostName 203.0.113.10
User devops
IdentityFile ~/.ssh/id_rsa_bastion
Host app-server
HostName 10.10.20.5
User appuser
IdentityFile ~/.ssh/id_rsa_app
ProxyJump bastion
- 保存后，直接执行 ssh app-server 即可登录内网目标，整个过程自动完成两次加密握手，无交互提示；
- 所有流量经跳板机中转，但 SSH 协议层自动封装，应用层无感知；
- 私钥始终保留在本地，跳板机不存储也不接触原始密钥文件。
兼容旧版本：ProxyCommand + nc 或 -W 参数
若跳板机系统较老或需更精细控制，可用 ProxyCommand 指令：
- 使用 nc（需跳板机已安装 netcat）：
Host app-server
HostName 10.10.20.5
User appuser
ProxyCommand ssh -q bastion nc %h %p
- 更轻量推荐用 OpenSSH 内置 -W（无需 nc）：
Host app-server
HostName 10.10.20.5
User appuser
ProxyCommand ssh -q bastion -W %h:%p
- -q 减少冗余输出，-W 将标准输入输出直通目标主机，实现零拷贝转发；
- 该方式同样不暴露私钥，且兼容大多数企业跳板机环境。
配合动态代理满足图形/HTTP类跨域访问
当需要访问 Jupyter、Web 管理界面或数据库 GUI 工具时，仅 SSH 登录不够，需启用 SOCKS5 动态转发：
- 命令行启动动态隧道：ssh -D 1080 -fN bastion（监听本地 1080 端口）；
- 浏览器或客户端配置 SOCKS5 代理为 127.0.0.1:1080，即可访问跳板机路由可达的所有内网地址（如 http://10.10.20.5:8888）；
- 此隧道全程加密，HTTP、WebSocket、TCP 流量均被封装，等效于将本地网络“延伸”进目标域。
关键安全与运维要点
- 跳板机必须严格限制入向访问：仅开放 22 端口，且只允许可信 IP 段连接；
- 禁用密码登录，强制使用密钥认证，并定期轮换密钥；
- 目标主机的 ~/.ssh/authorized_keys 中应绑定跳板机用户公钥，避免宽泛授权；
- 如需多级跳转（例如公网→DMZ跳板→核心内网），ProxyJump 支持链式写法：ProxyJump bastion1,bastion2。
