ssh隧道安全依赖底层ssh连接的严格身份校验，核心是确保服务器身份可信、客户端身份唯一、密钥受控、通道生命周期可控；需强制预置主机密钥、禁用代理转发、绑定隧道生命周期并叠加totp双因子认证。
SSH 隧道本身不自带身份校验逻辑，所有安全校验都依赖底层 SSH 连接的认证与主机验证机制。隧道劫持（如中间人篡改跳板机、窃取代理权限、复用会话转发内网服务）几乎全源于身份校验松动——不是隧道“没配好”，而是连接“没验严”。核心是让每一次隧道建立，都强制满足：服务器身份可信、客户端身份唯一、密钥使用受控、通道生命周期可管。
强制主机密钥预置与严格校验
这是防中间人攻击的第一道铁闸。若客户端自动接受未知主机密钥，攻击者只需控制跳板机 DNS 或 ARP 就能截获全部隧道流量。
- 禁用自动添加：在 ~/.ssh/config 中为所有隧道跳板机显式配置
Host bastion.example.com<br> StrictHostKeyChecking yes<br> UserKnownHostsFile ~/.ssh/known_hosts_bastion
- 预置指纹：用
ssh-keyscan -t ed25519,ecdsa 192.168.5.10获取跳板机公钥，人工比对 SHA256 指纹后写入 known_hosts；禁止使用-o StrictHostKeyChecking=accept-new - 验证生效：首次连接时必须看到
The authenticity of host '...' can't be established提示并手动输入yes，否则说明策略未加载
禁用代理转发，改用专用密钥+端口映射
启用 ssh -A（ForwardAgent）等于把本地 ssh-agent 的调用权交出去——远程服务器可随时用你的私钥签名访问任意 Git 仓库或 API，且无日志、无提示、不可审计。这不是“便利”，是凭证裸奔。
- 全局关闭：在 ~/.ssh/config 中加
ForwardAgent no，高危主机再单独强化：Host *.internal<br> ForwardAgent no
- 生成部署密钥：为每个隧道用途建独立密钥，例如：
ssh-keygen -t ed25519 -f ~/.ssh/tunnel-bastion -C "bastion tunnel only" - 服务端限制：将该公钥写入跳板机
~/.ssh/authorized_keys，并在前面加强制指令：command="echo 'tunnel-only session'; exit 1",no-pty,restrict ssh-ed25519 AAAA...，彻底禁用交互式 shell
绑定隧道生命周期，杜绝长连滥用
长期保持的 SSH 隧道（尤其 -fN 后台运行）一旦被攻陷，就成为稳定跳板。零信任原则要求“按需建立、用完即焚”。
- 设置超时自动断开：连接时加参数
-o ServerAliveInterval=30 -o ServerAliveCountMax=2，60 秒无响应即断连 - 本地端口绑定仅限回环：避免用
0.0.0.0:8080，统一用127.0.0.1:8080，防止局域网其他设备误连或嗅探 - 脚本化启停：封装成运维命令，例如
./tunnel-up.sh --to webdb --port 5432，执行后自动记录 PID 并注册 trap 清理；异常退出时 kill 掉对应 ssh 进程
叠加 TOTP 双因子，堵住密钥泄露缺口
即使部署密钥文件被窃取，没有动态口令仍无法建立连接。这不是替代密钥，而是补上最后一环。
- 服务端启用 PAM TOTP：Ubuntu 上安装
libpam-google-authenticator，编辑/etc/pam.d/sshd加入auth [success=done new_authtok_reqd=done default=ignore] pam_google_authenticator.so nullok - 客户端配合：DBeaver、MobaXterm 等工具在 SSH 认证页勾选“Keyboard Interactive”，输入密钥后会弹出 TOTP 输入框；命令行连接时自动触发
- 关键限制：TOTP 必须与密钥认证串联（
AuthenticationMethods publickey,keyboard-interactive），禁止单独使用密码或单独使用 TOTP
