ssh -D 建 SOCKS5 隧道需同时满足四条件：端口空闲（如10808）、加-Nf参数后台常驻、关闭macOS防火墙“阻止所有传入连接”、浏览器手动配置SOCKS5并启用远程DNS解析。
在 macos 中用 ssh 建 socks5 代理隧道，核心是 ssh -d 命令，但光敲一行命令往往连不上——常见失败不是 ssh 本身问题，而是端口、后台、防火墙、浏览器四道关卡没过。下面直说关键点，不绕弯。
一、启动本地 SOCKS5 代理隧道（必须加关键参数）
基础命令形如：
ssh -D 10808 -Nf user@server-ip
这行里三个参数缺一不可：
- -D 10808：在本机开一个 SOCKS5 动态端口（推荐用 10808 这类高位端口，避开系统默认占用的 1080）
- -N：告诉 SSH 只建隧道、不执行远程命令；没有它，连接一建立就退出，代理瞬间断
- -f：让 SSH 进入后台运行；配合 -N 才真正“常驻”，否则终端一关，隧道就死
执行前先检查端口是否空闲：lsof -i :10808 —— 若有输出，换一个端口再试。
二、绕过 macOS 防火墙拦截（很多人卡在这步）
macOS 自带防火墙默认不拦 SSH 出站，但会阻止其他进程监听本地端口（尤其普通用户启动时）。解决方法：
- 打开「系统设置 → 网络 → 防火墙 → 防火墙选项」
- 取消勾选「阻止所有传入连接」——这个选项一开，
ssh -D监听的 10808 就会被静默拒绝 - 如果仍不行，临时关闭防火墙测试一次，确认是否为根源
三、浏览器配置要点（系统代理 ≠ 浏览器代理）
macOS 系统级 SOCKS 设置（网络偏好设置里填的）对 Safari 和 Chrome 默认无效：
- Safari 直接不支持 SOCKS5，只认 SOCKS4，所以填了 127.0.0.1:10808 也白搭
-
Chrome 默认不读系统代理：需手动进
chrome://settings/system→ 关闭「使用系统代理设置」→ 再点「打开您的计算机的代理设置」跳转到系统面板填地址和端口（注意：这只是走系统代理路径，CLI 工具仍不走） - 更稳妥做法：用
proxychains-ng（brew install proxychains-ng），改配置文件最后一行：socks5 127.0.0.1 10808，然后跑proxychains curl https://httpbin.org/ip验证 CLI 是否生效
四、DNS 解析问题（打不开网页的隐藏原因）
SSH 的 -D 隧道只转发 TCP 流量，不做 DNS 解析转发。你在浏览器输域名，DNS 查询仍在本地发生。后果：
- 某些网站（如带地域 CDN 的）根据你本地 DNS 来源返回 IP，结果远程服务器拿到的是错误地址，连不上
- 解决办法：启用远程 DNS 解析（仅限 Firefox 或支持该选项的客户端）；或改用
ssh -D+dnsmasq本地 DNS 转发方案；简单场景可直接用 IP 访问测试连通性
