ssh端口转发无需配置即可启用，连不通主因是目标地址写错、服务监听范围不对（须为0.0.0.0或对应IP而非仅127.0.0.1）、后台未稳定运行（需-fN），以及GatewayPorts未启用导致非localhost绑定失败。
ssh的端口转发不是“配出来”的功能，而是命令行直接启用的机制——只要能 SSH 登录跳板机，不改任何配置就能用。但绝大多数连不通的问题，都卡在地址写错、监听范围不对、后台没跑稳这三处。
ssh -L 本地转发连不上？先看目标地址是不是对跳板机有效的
很多人写 ssh -L 8080:192.168.1.100:3000 user@jump，本机访问 localhost:8080 却超时。问题往往不在 SSH 命令本身，而在 192.168.1.100:3000 这个地址——它必须是跳板机能直接访问的地址，且服务得监听在该 IP 或 0.0.0.0 上。
- 目标服务和跳板机在同一台机器上：必须写
localhost或127.0.0.1，不能写跳板机自己的局域网 IP（如192.168.1.50） - 目标服务在另一台内网机器（如
192.168.1.100）：先在跳板机上执行nc -zv 192.168.1.100 3000确认通路；再确认该服务监听的是0.0.0.0:3000或192.168.1.100:3000，而非仅127.0.0.1:3000 - 常见错误现象：
Connection refused或长时间等待无响应，基本就是目标服务没监听对的地址
想让同事也能访问你开的本地转发端口？绑定地址和服务器配置都要动
ssh -L 8080:localhost:3000 user@jump 默认只监听 127.0.0.1:8080，本机以外的设备根本连不到。要开放给局域网，得显式指定监听地址：
- 写成
ssh -L *:8080:localhost:3000 user@jump，但部分系统不支持*，换成0.0.0.0:8080 - 如果提示
bind: Cannot assign requested address，说明系统不认*，必须用0.0.0.0:8080 - 即使加了
0.0.0.0:，若跳板机的/etc/ssh/sshd_config中GatewayPorts是no（默认值），SSH 会静默拒绝绑定非 loopback 地址——必须设为clientspecified或yes，再sudo systemctl restart sshd
远程转发 ssh -R 没监听？别怪命令，先查服务端配置
ssh -R 8080:localhost:22 user@remote 执行成功不代表端口真开了。远程服务器默认禁用该功能，防止被滥用暴露内网服务：
- 必须在远程服务器的
/etc/ssh/sshd_config中设置GatewayPorts yes，否则netstat -tln | grep 8080一定看不到监听 - 若只想本机访问（更安全），改用
ssh -R 127.0.0.1:8080:localhost:22 user@remote，这样无需改配置 - 仍失败？检查远程防火墙是否放行，比如
ufw allow 8080
动态转发 -D 代理打不开网页？SOCKS 和 HTTP 不是一回事
ssh -D 1080 user@remote 启的是 SOCKS5 代理，浏览器或工具必须明确走 SOCKS 协议，否则流量根本不经过隧道：
- 浏览器代理设置里，“SOCKS Host”填
localhost，“Port”填1080，协议选SOCKS v5；不要勾选 “Proxy DNS when using SOCKS v5”，除非你真需要远程解析域名 - 命令行下用
curl必须加--socks5-hostname localhost:1080，用--proxy或--socks5都不行 - 很多 GUI 工具（如 Postman、TablePlus）默认不走系统代理，需单独配置 SOCKS 代理，或改用支持代理的 CLI 版本
真正容易被忽略的，是目标服务的监听地址和跳板机的 GatewayPorts 配置——前者决定流量能不能进，后者决定端口能不能对外暴露。这两处不动，其他参数调得再准也没用。
