如何从Windows桌面通过端口转发访问私有OKE集群的Grafana？

下面提供几种无需暴露VM公网IP和端口的可行方案，均通过加密隧道实现本地到Grafana的访问：

方案一：SSH端口转发链（本地→VM→Grafana） #

利用SSH的本地端口转发功能，将Windows本地端口与VM上已转发的Grafana端口打通：

1. 调整VM安全组，仅开放**22端口（SSH）**的公网入站权限，关闭9090端口的公网访问（避免暴露）。
2. 在Windows本地打开PowerShell/CMD，执行以下SSH命令：

   ssh -L 9000:127.0.0.1:9090 -o ServerAliveInterval=60 <VM用户名>@<VM公网IP>
   

   其中-L 9000:127.0.0.1:9090表示将本地9000端口的请求转发到VM的9090端口；-o ServerAliveInterval=60用于保持SSH连接活跃，防止超时断开。
3. 保持SSH连接开启，在本地浏览器访问http://127.0.0.1:9000即可直接访问Grafana。

方案二：本地kubectl直接端口转发（跳过VM中间进程） #

通过SSH代理让本地kubectl直接连接OKE集群，省去在VM上运行kubectl的步骤：

1. 在Windows本地建立SOCKS代理隧道，用于kubectl访问OKE私有端点：

   ssh -D 1080 -o ServerAliveInterval=60 <VM用户名>@<VM公网IP>
   

2. 临时配置环境变量，让kubectl使用该代理（PowerShell命令）：

   $env:HTTP_PROXY = "socks5://127.0.0.1:1080"
   $env:HTTPS_PROXY = "socks5://127.0.0.1:1080"
   

   若需长期生效，可在kubeconfig文件的cluster节点中添加proxy-url: socks5://127.0.0.1:1080。
3. 在本地执行kubectl端口转发命令：

   kubectl --namespace monitoring port-forward svc/grafana 9000:3000
   

4. 直接在本地访问http://127.0.0.1:9000即可连接Grafana。

方案三：OCI堡垒机原生端口转发 #

若你使用OCI堡垒机建立与VM的会话，可直接通过OCI CLI实现端口转发：

1. 获取已创建的堡垒会话ID（可通过OCI控制台或oci bastion session list命令查询）。
2. 在Windows本地执行OCI CLI命令：

   oci bastion session port-forward --session-id <堡垒会话ID> --local-port 9000 --target-port 9090 --target-host <VM私有IP>
   

3. 命令执行后，本地访问http://127.0.0.1:9000即可访问Grafana。

内容的提问来源于stack exchange，提问作者Zama Ques