JSch SSH隧道通信：正确建立本地端口转发与直连通道-java教程-PHP中文网

JSch SSH隧道通信：正确建立本地端口转发与直连通道

本文详解如何在Java/Scala中使用JSch库稳定构建SSH隧道，支持向远程服务持续发送认证数据并接收流式响应，重点解决channel is not opened和session is down等典型初始化异常。

本文详解如何在java/scala中使用jsch库稳定构建ssh隧道，支持向远程服务持续发送认证数据并接收流式响应，重点解决`channel is not opened`和`session is down`等典型初始化异常。

在使用 JSch 实现 SSH 隧道通信时，常见误区是混淆两种互补但不可混用的隧道机制：本地端口转发（setPortForwardingL） 与 直连 TCP/IP 通道（direct-tcpip 或 getStreamForwarder）。二者本质不同：前者在本地暴露一个真实 TCP 端口供外部进程（如 nc）连接；后者则在 JVM 内部直接建立加密隧道通道，无需中间 Socket。若错误组合（例如调用 setPortForwardingL 后又试图打开 direct-tcpip 通道），或遗漏关键配置步骤，将必然触发 JSchException("channel is not opened") 或 "session is down"。

✅ 推荐方案一：使用 setPortForwardingL + Socket（类 Bash 行为）

该方式完全复刻你的 Bash 命令逻辑，适合需与现有工具链集成或调试验证的场景：

JSch jsch = new JSch();
jsch.addIdentity(privateKeyPath);
Session session = jsch.getSession(username, remoteHost, 22);
session.setConfig("StrictHostKeyChecking", "no");
session.connect();

// ✅ 正确顺序：先设置端口转发，再创建 Socket
int localPort = 8080; // 任意可用本地端口
int remotePort = 9000; // 远程服务监听端口
String remoteTarget = "127.0.0.1"; // 远程主机上目标地址（通常为 localhost）

// 启动本地端口转发（阻塞式，返回实际分配的端口）
int assignedPort = session.setPortForwardingL(localPort, remoteTarget, remotePort);

// ✅ 确保隧道已就绪后再创建 Socket
Socket socket = new Socket("localhost", assignedPort);
socket.setSoTimeout(30000); // 设置读超时，避免阻塞

OutputStream out = socket.getOutputStream();
InputStream in = socket.getInputStream();
BufferedReader reader = new BufferedReader(new InputStreamReader(in, StandardCharsets.UTF_8));
PrintWriter writer = new PrintWriter(out, true); // auto-flush

// 发送认证 JSON（注意换行符！netcat 依赖 \n 分隔）
String authJson = "{\"id\": 1234, \"auth\": \"abcdefghijklmnopqrstuvwxyz\"}";
writer.println(authJson);

// 持续读取远程服务推送的多行响应
String line;
while ((line = reader.readLine()) != null) {
    System.out.println("Received: " + line);
    // 可在此处添加每10秒重发认证逻辑（如用 ScheduledExecutorService）
}
socket.close();
session.disconnect();

⚠️ 关键注意事项：

dmap-jsapi-skill

DMap GL地图JSAPI（dmapgl）开发指南。用于编写、审查、调试 DMap 地图 API 代码，涵盖地图初始化、覆盖物渲染、图层管理、事件处理、控件交互等任务。当用户提及 dmap、dmapgl、jsapi‑gl 或相关地图开发需求时自动触发。

下载

setPortForwardingL() 必须在 session.connect() 之后调用；
Socket 必须在 setPortForwardingL() 返回后立即创建，不要等待延迟——JSch 后台线程会自动维护隧道，但首次连接需及时触发；
若指定 localPort=0，JSch 将自动分配空闲端口，返回值即为实际端口；
StrictHostKeyChecking="no" 仅用于开发，生产环境应通过 KnownHosts 文件校验主机密钥。

✅ 推荐方案二：使用 getStreamForwarder（更高效、纯 Java 方式）

当全部逻辑均在 JVM 内完成（无外部 nc 进程），此方案更轻量、可控性更强：

Session session = jsch.getSession(username, remoteHost, 22);
session.setConfig("StrictHostKeyChecking", "no");
session.connect();

// ✅ 直接获取流式转发通道（目标为远程服务地址+端口）
Channel channel = session.getStreamForwarder(remoteHost, remotePort); // 注意：此处 remoteHost 是远程服务所在主机（非跳板机IP！）
// 若服务在远程主机的 loopback 上，且 SSH 登录用户可直连，则用 "127.0.0.1"
// channel = session.getStreamForwarder("127.0.0.1", remotePort);

// ✅ 必须显式 connect()，且必须在 session 保持活跃状态下执行
channel.connect();

InputStream in = channel.getInputStream();
OutputStream out = channel.getOutputStream();
BufferedReader reader = new BufferedReader(new InputStreamReader(in, StandardCharsets.UTF_8));
PrintWriter writer = new PrintWriter(out, true);

writer.println("{\"id\": 1234, \"auth\": \"abcdefghijklmnopqrstuvwxyz\"}");

// 持续读取
String line;
while ((line = reader.readLine()) != null) {
    System.out.println("Remote: " + line);
}
channel.disconnect();
session.disconnect();

? 为什么原代码失败？

getStreamForwarder 报 "session is down"：因 channel.connect() 调用前，session 可能已被意外关闭（如异常提前退出），或 connect() 在 session 失效后调用；

direct-tcpip 报 "channel is not opened"：因未调用 setHost()/setPort() 设置目标地址，或在 connect() 前尝试 I/O —— direct-tcpip 通道必须手动配置目标：

Channel channel = session.openChannel("direct-tcpip");
((ChannelDirectTCPIP) channel).setHost("127.0.0.1"); // 必须设置
((ChannelDirectTCPIP) channel).setPort(9000);         // 必须设置
channel.connect(); // 此后才能 getInputStream/getOutputStream

? 总结与最佳实践

场景	推荐方式	优势	注意点
模拟 Bash ssh -L + nc	setPortForwardingL + Socket	兼容性强，便于调试	确保 Socket 创建及时；避免端口冲突
纯 Java 内部通信	getStreamForwarder	无额外端口开销，性能更高	目标地址需准确（常为 "127.0.0.1"）；严格保证 session.connect() → channel.connect() → I/O 的时序
需动态目标或复杂路由	direct-tcpip	完全可控目标地址	必须显式 setHost/setPort，且仅适用于支持 SSH 直连的目标

最后提醒：始终在 try-with-resources 或 finally 块中确保 channel.disconnect() 和 session.disconnect() 被调用，防止连接泄漏。结合 ScheduledExecutorService 实现周期性认证发送，即可完整复现你的 Bash 流式交互逻辑。