ssh -O ProxyJump 无法实现跨物理隔离网闸的内网穿透，因其仅控制已有连接，而ProxyJump需TCP/IP层可达；真实物理网闸须改用摆渡协议或专用平台。
不能用 ssh -O ProxyJump 实现跨多重物理隔离网闸的内网穿透 —— 因为 ssh -O 是用于控制已存在的 SSH 连接（如挂起、退出、检查状态），它根本不支持 ProxyJump 或任何连接建立功能。
真正可用的 ProxyJump 语法是 -J 或 ProxyJump 配置项
OpenSSH 的 ProxyJump 功能通过以下两种方式启用，二者等价：
-
命令行方式：用
ssh -J jump_user@jump_host:port target_user@target_host。例如：ssh -J admin@192.168.1.50:22002 dev@10.0.1.100 -p 22001 -
配置文件方式：在
~/.ssh/config中定义 Host 别名并设置ProxyJump jump，之后直接运行ssh target即可自动穿透。
物理隔离网闸场景下的关键限制
所谓“物理隔离网闸”，通常指无网络连通性、无 IP 层可达、靠摆渡或单向光纤等非 TCP/IP 方式传输的设备。这类环境根本无法承载 SSH 连接，更谈不上 ProxyJump。
ProxyJump 依赖的是标准 TCP/IP 网络层可达性 —— 跳板机必须能通过 IP+端口直连下一级目标（无论是另一台跳板还是最终服务器）。如果中间存在真实物理网闸（如 GAPP、单向光闸），则：
- SSH 流量无法穿越，ProxyJump 会立即失败（超时或 connection refused）
- 任何基于 SSH 的隧道（-L/-R/-J）均不适用
- 此时需改用合规审批后的专用摆渡协议、API 接口同步、或经认证的工业网闸管理平台
若实际是“逻辑隔离但网络可达”的多跳环境
很多用户口中的“物理隔离网闸”，实为策略隔离（如防火墙 ACL、VLAN 分隔、安全域划分），只要 IP 层双向可达，就仍可使用 ProxyJump 多层穿透：
- 三层链写法示例（
local → A → B → target）：ssh -J admin@jumpA,admin@jumpB dev@10.0.2.20 - 或配置
~/.ssh/config：Host jumpA<br> HostName 203.0.113.10<br> User admin<br><br>Host jumpB<br> HostName 172.16.5.15<br> User admin<br> ProxyJump jumpA<br><br>Host prod-db<br> HostName 10.0.2.20<br> User dev<br> ProxyJump jumpB
- 执行
ssh prod-db即完成三级穿透
安全与运维要点
ProxyJump 本身不降低安全性 —— 所有中间跳板机仅转发加密流，不接触明文密钥或会话内容。但需确保：
- 本地和每一级跳板的 OpenSSH ≥ 7.3（运行
ssh -V和sshd -V 2>&1 | head -1验证） -
~/.ssh/config权限为600，否则 SSH 直接忽略该文件 - 跳板机之间、跳板到目标之间的网络策略放通对应端口（通常是 22，或自定义端口）
- 避免在配置中混用 Tab 和空格；Host 别名不以点或短横开头；ProxyJump 值不加等号
