本文详解如何使用 Go 的 golang.org/x/crypto/ssh 库，通过跳板机（Bastion）建立到内网目标服务器的 SSH 连接，替代 OpenSSH 中 ProxyCommand ssh bastion nc %h %p 的功能，并指出常见密钥配置与连接链路误区。
本文详解如何使用 go 的 `golang.org/x/crypto/ssh` 库，通过跳板机（bastion）建立到内网目标服务器的 ssh 连接，替代 openssh 中 `proxycommand ssh bastion nc %h %p` 的功能，并指出常见密钥配置与连接链路误区。
在实际云环境（如 AWS）中，出于安全考虑，生产服务器通常不直接暴露公网 IP，而是通过一台专用跳板机（Bastion Host）进行中转访问。OpenSSH 常用 ProxyCommand 配合 nc 实现该能力，例如：
Host 10.0.*.* User ec2-user IdentityFile ~/.ssh/xxx-dest.pem ProxyCommand ssh -q bastion "nc -w 3600 %h %p"
在 Go 中实现等效逻辑，无需调用外部 nc 或 shell 命令，而是利用 SSH 协议原生支持的“TCP 转发”能力：先建立到跳板机的 SSH 连接，再通过该连接的 Dial() 方法直连目标主机（即复用已认证的 SSH 信道），最后在目标主机上新建 SSH 客户端会话。
以下为完整、可运行的 Go 实现要点（已适配 Go 1.16+，使用 io/ioutil 已弃用，改用 os.ReadFile）：
package main
import (
"bytes"
"log"
"os"
"time"
"golang.org/x/crypto/ssh"
)
const (
Bastion = "xxx.xxx.xxx.xxx:22" // 跳板机地址（含端口）
Target = "10.0.1.100:22" // 目标服务器地址（内网 IP + 端口）
BastionPem = "/Users/me/.ssh/xxx-bastion.pem"
DestPem = "/Users/me/.ssh/xxx-dest.pem"
Timeout = 30 * time.Second
)
func loadSigner(pemPath string) (ssh.Signer, error) {
pemBytes, err := os.ReadFile(pemPath)
if err != nil {
return nil, err
}
signer, err := ssh.ParsePrivateKey(pemBytes)
if err != nil {
return nil, err
}
return signer, nil
}
func bastionConfig() *ssh.ClientConfig {
signer, err := loadSigner(BastionPem)
if err != nil {
log.Fatal("load bastion key failed:", err)
}
return &ssh.ClientConfig{
User: "ec2-user",
Auth: []ssh.AuthMethod{ssh.PublicKeys(signer)},
HostKeyCallback: ssh.InsecureIgnoreHostKey(), // 生产环境请替换为 verifyHostKey
Timeout: Timeout,
}
}
func destConfig() *ssh.ClientConfig {
signer, err := loadSigner(DestPem)
if err != nil {
log.Fatal("load dest key failed:", err)
}
return &ssh.ClientConfig{
User: "ec2-user",
Auth: []ssh.AuthMethod{ssh.PublicKeys(signer)},
HostKeyCallback: ssh.InsecureIgnoreHostKey(),
Timeout: Timeout,
}
}
func Connect() {
// Step 1: 连接跳板机
bastionCfg := bastionConfig()
bClient, err := ssh.Dial("tcp", Bastion, bastionCfg)
if err != nil {
log.Fatal("failed to dial bastion:", err)
}
defer bClient.Close()
log.Println("✅ Connected to bastion")
// Step 2: 通过跳板机连接目标服务器（复用 SSH 信道，等效于 nc 转发）
targetConn, err := bClient.Dial("tcp", Target)
if err != nil {
log.Fatal("failed to dial target via bastion:", err)
}
defer targetConn.Close()
log.Println("✅ Established TCP tunnel to target")
// Step 3: 在目标连接上协商 SSH 协议（注意：此处必须传入 targetConfig！）
destCfg := destConfig()
ncc, chans, reqs, err := ssh.NewClientConn(targetConn, Target, destCfg)
if err != nil {
log.Fatal("failed to establish SSH session on target:", err)
}
targetClient := ssh.NewClient(ncc, chans, reqs)
defer targetClient.Close()
// Step 4: 执行命令（验证是否真正登录目标主机）
session, err := targetClient.NewSession()
if err != nil {
log.Fatal("failed to create session on target:", err)
}
defer session.Close()
var stdoutBuf bytes.Buffer
session.Stdout = &stdoutBuf
if err := session.Run("hostname"); err != nil {
log.Fatal("command execution failed:", err)
}
log.Printf("? Target hostname: %s", stdoutBuf.String())
}✅ 关键说明与避坑指南：
-
密钥严格分离：跳板机与目标服务器必须使用各自独立的私钥文件（如示例中的
xxx-bastion.pem和xxx-dest.pem）。混淆密钥是导致“返回跳板机 hostname”的最常见原因——因为destConfig()若误用了跳板机密钥，NewClientConn将在跳板机本地伪造一个 SSH 会话，而非连接目标。 -
ssh.InsecureIgnoreHostKey()仅用于测试：生产环境务必实现HostKeyCallback，校验目标服务器公钥指纹，防止中间人攻击。 -
无需
nc或子进程：Go 的ssh.Client.Dial()本质是复用已建立的 SSH 信道发起端口转发请求（类似ssh -W），完全替代了ProxyCommand ssh bastion nc %h %p的语义。 -
连接链路清晰：
Local → Bastion (SSH) → Target (TCP) → Target (SSH)，四层逻辑不可省略；targetConn是 TCP 层隧道，ncc才是目标上的 SSH 协议层。
运行 Connect() 后，日志中输出的 hostname 即为目标服务器（如 ip-10-0-1-100），而非跳板机，表明链路完全正确。此方案轻量、安全、无外部依赖，是构建自动化运维工具或云平台代理服务的理想基础。
