ssh -R 连不上主因是服务端 GatewayPorts 默认为 no，需改为 clientspecified 或 yes 并重启 sshd，同时开放防火墙端口；localhost 在 -R 中指内网机而非服务器，不可误写为 127.0.0.1；断连需用 autossh 保活；connection refused 则检查内网机 SSH 状态、防火墙及云安全组。
能用 ssh -R 建起来，但连不上、连着连着就断、或者连上了却只能本机访问——这些问题不是配置写错了，而是默认行为和网络边界没对齐。
为什么 ssh -R 2222:localhost:22 user@server 连不上？
最常见原因是服务器 SSH 守护进程默认只监听 127.0.0.1 上的反向端口，外部 IP 无法访问。这不是客户端命令的问题，是服务端限制。
- 检查服务器
/etc/ssh/sshd_config是否包含GatewayPorts no（默认值） - 改成
GatewayPorts clientspecified或GatewayPorts yes - 改完必须重启服务：
sudo systemctl restart sshd - 如果服务器开了防火墙（如
ufw），还要放行对应端口：sudo ufw allow 2222
-R 参数里 localhost 和 127.0.0.1 的区别
在反向隧道中，localhost 不是指服务器本机，而是指“发起隧道的那台内网机器”。所以 2222:localhost:22 的意思是：把服务器上收到的 2222 端口请求，转发回内网机的 22 端口。
- 不要写成
2222:127.0.0.1:22——这会让 SSH 尝试在服务器本地找 22 端口，而不是回连内网机 - 如果内网机不是监听
127.0.0.1:22（比如绑定了0.0.0.0:22），不影响；SSH 反向隧道只认你写的 host 字段语义 - 想让多个客户端都能连这个隧道端口，必须配合
GatewayPorts clientspecified+ 绑定到*:2222，即用-R *:2222:localhost:22
连接断开后自动重连怎么做？
原生命令不保活，ssh 断了隧道就没了。别靠 while 循环套 ssh，用 autossh 更稳。
- 安装：
sudo apt install autossh（Debian/Ubuntu）或sudo yum install autossh（CentOS/RHEL） - 启动命令示例：
autossh -M 0 -N -f -R *:2222:localhost:22 user@server -
-M 0表示禁用内置监控端口（避免端口冲突），依赖 SSH 自身的ServerAliveInterval保活 - 务必配好免密登录，否则
autossh会卡在密码提示上 - 验证是否运行：
ps aux | grep autossh，再看服务器上netstat -tlnp | grep :2222
为什么连通后 ssh -p 2222 user@server 提示 connection refused？
不是隧道没建好，而是目标内网机的 SSH 服务没开、没监听、或被本地防火墙拦了。
- 先在内网机上确认：
ss -tlnp | grep :22，看是否有0.0.0.0:22或[::]:22 - 检查内网机防火墙：
sudo ufw status，若为 active，需允许 22：sudo ufw allow OpenSSH - 如果内网机是云主机（如阿里云、腾讯云），安全组也得放开 22 端口——注意：这是内网机自己的安全组，不是服务器的
- 别忽略 SELinux（RHEL/CentOS）：
sudo setsebool -P ssh_sysadm_login on可能影响
真正麻烦的从来不是敲哪条命令，而是每层网络设备（内网机防火墙、云安全组、服务器 SSH 配置、服务器系统防火墙）都得对齐绑定地址和端口策略。少一个 GatewayPorts，整条链就卡在最后一公里。
