Переадресация портов для TightVNC только с ssh портом?

Question

Я хочу иметь возможность подключиться к моей коробке Windows с VNC. Я установил TightVNC и freesshd. Я настроил TightVNC для обслуживания на 5899, и freesshd для обслуживания на 2223. (TightVNC совет по переадресации портов.)

Если я перенесу на мой маршрутизатор forwarding 5899 и 2223, я могу подключиться как напрямую (на 5899), так и через переадресацию через ssh:

ssh -p 2223 -L 5699:<myip>:5899 myaccount@<myip>

и подключение к localhost:5699. Все идет нормально.

Однако, если я закрою порт 5899 на своем маршрутизаторе, я не смогу подключиться, даже используя переадресацию порта ssh. Я получаю это сообщение на консоли Windows, к которой у меня есть ssh-ed:

channel 3: open failed: connect failed: Connect failed

Просмотр в журналах показывает много вещей, которые я не понимаю. «ssh -v» показывает, что он пытается перенаправить локальный 5699 на удаленный 5899, и это правильно.

Я хотел бы закрыть 5899, если смогу, потому что это открытый порт VNC без имени учетной записи, он просто имеет пароль VNC (длина которого ограничена 8 символами!). Кажется небезопасным.

Как закрыть 5899 и все еще иметь возможность подключиться через туннелирование по ssh?

Примечание: я читаю Почему я не могу подключиться к своему VNC-серверу извне моей сети? и не видел, как применить совет там.

Answer 1

Отвечая здесь с моим комментарием, который решил это.

Я вижу проблему, когда вы помещаете <myip> здесь 5699:<myip>:5899 . Я не уверен, может ли это вызвать эту ошибку, может быть, но это похоже на ошибку. Конец, который запускает sshd, я полагаю, тот с вашим VNC-сервером. Таким образом, конец с sshd должен пересылаться на 127.0.0.1, а не через какой-либо маршрутизатор. Таким образом, это должно быть 5699:127.0.0.1:5899, некоторые маршрутизаторы позволяют вам, например, пинговать ваш публичный IP-адрес изнутри, и я не знаю, будет ли это проходить через Интернет или просто делать это в частном порядке, но здесь есть смысл использовать 127.0.0.1 И да, порт 5899 не должен быть открыт на вашем маршрутизаторе.