Xshell端口转发配置教程：本地/远程/动态转发类型与参数详解

在 Windows 电脑上使用 Xshell 管理远程服务器时，经常需要访问服务器内部网络的服务，或者将本地服务暴露给远程环境。Xshell 的端口转发功能（Tunneling）能通过加密的 SSH 通道实现这一需求。正确配置的关键在于先明确“谁发起连接”，再选择对应的转发类型，最后准确填写监听地址和目标地址。

本文以 Windows 版 Xshell 8 为例，演示如何建立一条本地转发规则，让本地浏览器通过 SSH 隧道访问远程服务器上的 HTTP 测试服务。同时解析远程转发和动态转发的适用场景，避免混淆登录端口、监听端口和服务端口。

本地转发数据流向：从本地浏览器经SSH隧道到达远程服务器内部服务

1. 根据连接发起方选择转发类型

配置前需明确数据流向。本例的需求是：在 Windows 电脑的浏览器中输入地址，访问位于远程 SSH 服务器本机（127.0.0.1:8080）的 Web 服务。

由于连接是由本地电脑发起的，应选择本地转发（Local Forwarding）。它的工作原理是：Xshell 在本地监听一个端口，接收本地应用的请求，通过 SSH 隧道发送给远程服务器，再由服务器连接到最终的目标地址。

另外两种类型的区别如下：

• 远程转发（Remote Forwarding）：由远程服务器发起连接请求，将流量通过隧道传回本地。适用于让外网访问你内网电脑的服务。

• 动态转发（Dynamic Forwarding）：在本地建立一个 SOCKS 代理入口，由支持 SOCKS 的应用（如浏览器配合插件）动态决定目标地址。适用于浏览网页等灵活场景，但不适合固定端口的应用映射。

本例的数据流向为：Windows(127.0.0.1:18080) → SSH隧道 → 服务器(127.0.0.1:8080)。注意，SSH 登录本身使用的端口（如 22）是控制通道，与转发数据的端口相互独立。

1. 根据连接发起方选择转发类型

2. 在会话属性中新增转发规则

打开 Xshell，在左侧会话管理器中找到已保存的 SSH 会话。右键点击该会话，选择【属性】（Properties）。在弹出的窗口左侧导航栏中，依次展开【连接】→【SSH】→【隧道】（Connection → SSH → Tunneling）。

在Xshell会话属性的SSH隧道面板中添加新规则

点击右侧的【添加】（Add）按钮，进入规则编辑界面。在【类型】（Type）下拉菜单中，确保选择本地转发（Local Forwarding）。

接下来填写关键参数：

1. 侦听主机（Source Host）：填写 127.0.0.1。这表示只允许本机访问该监听端口，提高安全性。

2. 侦听端口（Listening Port）：填写 18080。这是你在 Windows 浏览器中将要访问的端口。

3. 目标主机（Destination Host）：填写 127.0.0.1。注意：这里的 IP 是相对于远程服务器而言的。因为目标服务运行在服务器本机，所以填服务器的回环地址。

4. 目标端口（Destination Port）：填写 8080。这是远程服务器上实际运行 HTTP 服务的端口。

5. 描述：可填写“本地访问测试网页”，便于后续管理。

点击【确定】保存规则，再次点击【确定】关闭会话属性窗口。

3. 检查监听范围与端口占用

在【侦听主机】设置为 127.0.0.1 的情况下，只有当前 Windows 电脑能访问 127.0.0.1:18080。如果希望局域网内的其他电脑也能通过你的电脑访问该服务，需将侦听主机改为 0.0.0.0 或勾选【接受来自其他主机的连接】（Accept local connections only 的反义选项，具体名称视版本而定），但这通常涉及防火墙设置，本例保持默认仅限本机即可。

此外，需确保本地端口 18080 未被其他程序占用。如果启动会话时提示“端口绑定失败”或类似错误，请更换一个未使用的本地端口（如 18081），并同步修改浏览器访问地址。远程服务器的目标端口 8080 则必须保持与服务实际运行端口一致。

切勿为了图方便而修改服务器上的服务配置，也不要将“本地端口被占用”误判为“SSH 密码错误”。前者是本地网络问题，后者是认证问题，报错信息截然不同。

4. 连接会话并验证转发效果

双击刚才配置好的会话，输入用户名和密码完成 SSH 登录。保持终端窗口开启，不要关闭会话，因为隧道依赖于活跃的 SSH 连接。

打开 Windows 上的浏览器（如 Chrome 或 Edge），在地址栏输入 http://127.0.0.1:18080 并回车。

在本地浏览器中通过127.0.0.1:18080成功加载远程服务页面

如果配置正确，浏览器应显示远程服务器 8080 端口提供的网页内容。如果看到“无法访问此网站”或“连接被重置”，请按以下顺序排查：

1. 检查 SSH 连接状态：确认终端窗口未断开，且登录成功。

2. 检查目标服务：确认远程服务器上 8080 端口的服务正在运行，且在服务器本机可以通过 curl http://127.0.0.1:8080 访问。

3. 检查服务器策略：部分 SSH 服务端配置（sshd_config）可能禁用了端口转发（AllowTcpForwarding no），需联系管理员确认。

4. 区分错误类型：如果浏览器返回 HTTP 404 或 500 错误，说明隧道已通，但目标服务有问题；如果浏览器直接提示“拒绝连接”，则可能是隧道未建立或本地端口监听失败。

5. 切换类型时的参数重构

如果需求变为“让远程服务器访问我 Windows 电脑上的某个服务”，则需改用远程转发。此时，【侦听主机】和【侦听端口】指的是远程服务器侧的地址，而【目标主机】和【目标端口】指的是你 Windows 电脑的地址（通常填 127.0.0.1 和本地服务端口）。

如果使用动态转发，只需设置本地的侦听地址和端口（如 127.0.0.1:1080），然后在浏览器的代理设置中配置 SOCKS5 代理指向该地址。动态转发不需要指定固定的目标主机和端口，因为它由应用程序在运行时决定。

对于不再需要的规则，可在【隧道】设置列表中选中该规则，点击【删除】（Remove）。请注意，断开 SSH 会话后，所有基于该会话的隧道都会立即停止。保存的规则仅在下一次建立连接时生效，不会在后台去独立运行。

5. 切换类型时的参数重构