如何在 Go 中通过跳板机（Bastion）安全连接目标 SSH 服务器-Golang-PHP中文网

如何在 Go 中通过跳板机（Bastion）安全连接目标 SSH 服务器

本文详解如何使用 Go 的 golang.org/x/crypto/ssh 库，通过跳板机（Bastion）建立到内网目标服务器的 SSH 连接，替代 OpenSSH 中 ProxyCommand ssh bastion nc %h %p 的功能，并指出常见密钥配置与连接链路误区。

本文详解如何使用 go 的 `golang.org/x/crypto/ssh` 库，通过跳板机（bastion）建立到内网目标服务器的 ssh 连接，替代 openssh 中 `proxycommand ssh bastion nc %h %p` 的功能，并指出常见密钥配置与连接链路误区。

在实际云环境（如 AWS）中，出于安全考虑，生产服务器通常不直接暴露公网 IP，而是通过一台专用跳板机（Bastion Host）进行中转访问。OpenSSH 常用 ProxyCommand 配合 nc 实现该能力，例如：

Host 10.0.*.*
  User ec2-user
  IdentityFile ~/.ssh/xxx-dest.pem
  ProxyCommand ssh -q bastion "nc -w 3600 %h %p"

在 Go 中实现等效逻辑，无需调用外部 nc 或 shell 命令，而是利用 SSH 协议原生支持的“TCP 转发”能力：先建立到跳板机的 SSH 连接，再通过该连接的 Dial() 方法直连目标主机（即复用已认证的 SSH 信道），最后在目标主机上新建 SSH 客户端会话。

以下为完整、可运行的 Go 实现要点（已适配 Go 1.16+，使用 io/ioutil 已弃用，改用 os.ReadFile）：

package main

import (
    "bytes"
    "log"
    "os"
    "time"

    "golang.org/x/crypto/ssh"
)

const (
    Bastion = "xxx.xxx.xxx.xxx:22" // 跳板机地址（含端口）
    Target  = "10.0.1.100:22"      // 目标服务器地址（内网 IP + 端口）
    BastionPem = "/Users/me/.ssh/xxx-bastion.pem"
    DestPem    = "/Users/me/.ssh/xxx-dest.pem"
    Timeout    = 30 * time.Second
)

func loadSigner(pemPath string) (ssh.Signer, error) {
    pemBytes, err := os.ReadFile(pemPath)
    if err != nil {
        return nil, err
    }
    signer, err := ssh.ParsePrivateKey(pemBytes)
    if err != nil {
        return nil, err
    }
    return signer, nil
}

func bastionConfig() *ssh.ClientConfig {
    signer, err := loadSigner(BastionPem)
    if err != nil {
        log.Fatal("load bastion key failed:", err)
    }
    return &ssh.ClientConfig{
        User:            "ec2-user",
        Auth:            []ssh.AuthMethod{ssh.PublicKeys(signer)},
        HostKeyCallback: ssh.InsecureIgnoreHostKey(), // 生产环境请替换为 verifyHostKey
        Timeout:         Timeout,
    }
}

func destConfig() *ssh.ClientConfig {
    signer, err := loadSigner(DestPem)
    if err != nil {
        log.Fatal("load dest key failed:", err)
    }
    return &ssh.ClientConfig{
        User:            "ec2-user",
        Auth:            []ssh.AuthMethod{ssh.PublicKeys(signer)},
        HostKeyCallback: ssh.InsecureIgnoreHostKey(),
        Timeout:         Timeout,
    }
}

func Connect() {
    // Step 1: 连接跳板机
    bastionCfg := bastionConfig()
    bClient, err := ssh.Dial("tcp", Bastion, bastionCfg)
    if err != nil {
        log.Fatal("failed to dial bastion:", err)
    }
    defer bClient.Close()
    log.Println("✅ Connected to bastion")

    // Step 2: 通过跳板机连接目标服务器（复用 SSH 信道，等效于 nc 转发）
    targetConn, err := bClient.Dial("tcp", Target)
    if err != nil {
        log.Fatal("failed to dial target via bastion:", err)
    }
    defer targetConn.Close()
    log.Println("✅ Established TCP tunnel to target")

    // Step 3: 在目标连接上协商 SSH 协议（注意：此处必须传入 targetConfig！）
    destCfg := destConfig()
    ncc, chans, reqs, err := ssh.NewClientConn(targetConn, Target, destCfg)
    if err != nil {
        log.Fatal("failed to establish SSH session on target:", err)
    }

    targetClient := ssh.NewClient(ncc, chans, reqs)
    defer targetClient.Close()

    // Step 4: 执行命令（验证是否真正登录目标主机）
    session, err := targetClient.NewSession()
    if err != nil {
        log.Fatal("failed to create session on target:", err)
    }
    defer session.Close()

    var stdoutBuf bytes.Buffer
    session.Stdout = &stdoutBuf
    if err := session.Run("hostname"); err != nil {
        log.Fatal("command execution failed:", err)
    }
    log.Printf("? Target hostname: %s", stdoutBuf.String())
}

✅ 关键说明与避坑指南：

密钥严格分离：跳板机与目标服务器必须使用各自独立的私钥文件（如示例中的 xxx-bastion.pem 和 xxx-dest.pem）。混淆密钥是导致“返回跳板机 hostname”的最常见原因——因为 destConfig() 若误用了跳板机密钥，NewClientConn 将在跳板机本地伪造一个 SSH 会话，而非连接目标。
ssh.InsecureIgnoreHostKey() 仅用于测试：生产环境务必实现 HostKeyCallback，校验目标服务器公钥指纹，防止中间人攻击。
无需 nc 或子进程：Go 的 ssh.Client.Dial() 本质是复用已建立的 SSH 信道发起端口转发请求（类似 ssh -W），完全替代了 ProxyCommand ssh bastion nc %h %p 的语义。
连接链路清晰：Local → Bastion (SSH) → Target (TCP) → Target (SSH)，四层逻辑不可省略；targetConn 是 TCP 层隧道，ncc 才是目标上的 SSH 协议层。