如何配置JSch实现与OpenSSH一致的端口转发以解决SSL握手异常

首先，我注意到你的代码里有个明显的笔误：OpenSSH命令中目标服务的端口是443，但JSch代码里写的是433，这大概率是触发SSL握手失败的直接原因之一——你把HTTPS的默认端口写错了，先修正这个问题。

除此之外，JSch的默认配置和OpenSSH存在不少差异，需要调整以下几个参数来让两者行为完全对齐：

1. 正确解析私钥路径 #

Java不会自动将~解析为用户主目录，所以"~/.ssh/id_rsa"这个路径在代码中是无效的，需要替换为绝对路径：

String privateKey = System.getProperty("user.home") + "/.ssh/id_rsa";

2. 匹配OpenSSH的主机密钥检查策略 #

OpenSSH默认会校验目标主机的密钥（首次连接会提示确认，后续读取known_hosts文件），而JSch的默认StrictHostKeyChecking配置可能更严格或不匹配。你可以设置成和OpenSSH一致的行为：

• 如果是自动化场景，想自动接受未知主机密钥（等价于ssh -o StrictHostKeyChecking=no）：

session.setConfig("StrictHostKeyChecking", "no");

• 如果要遵循known_hosts校验（和OpenSSH默认行为一致）：

session.setConfig("StrictHostKeyChecking", "ask");
// 若已信任目标主机，也可设置为"yes"

3. 启用TCP_NODELAY #

OpenSSH默认启用TCP_NODELAY来减少数据传输延迟，JSch默认未开启该配置，这可能导致SSL握手时连接异常：

session.setConfig("TCP_NODELAY", "yes");

4. 设置会话心跳防止断开 #

长时间无数据传输时，SSH会话可能被中间网络设备断开，OpenSSH默认有心跳机制，JSch需要手动配置：

// 每30秒发送一次心跳包
session.setServerAliveInterval(30000);
// 心跳连续失败3次后自动断开会话（可选）
session.setServerAliveCountMax(3);

修正后的完整代码 #

public static void openTunnel() {
    JSch jsch = new JSch();
    // 正确解析用户主目录下的私钥路径
    String privateKey = System.getProperty("user.home") + "/.ssh/id_rsa";
    try {
        jsch.addIdentity(privateKey);
        log.info("Connecting to {}@{}", getJumpUser(), getJumpServer());
        Session session = jsch.getSession(getJumpUser(), getJumpServer(), 22);
        
        // 配置与OpenSSH对齐的参数
        session.setConfig("StrictHostKeyChecking", "ask"); // 匹配OpenSSH默认行为
        session.setConfig("TCP_NODELAY", "yes");
        session.setServerAliveInterval(30000);
        
        session.connect();
        // 修正端口号为443，和OpenSSH命令一致
        session.setPortForwardingL(8000, getHost(), 443);
        
        log.info("Port forwarding tunnel established successfully");
    } catch (JSchException e) {
        log.error("Failed to establish tunnel", e);
    }
}

额外排查点 #

如果上述调整后仍有问题，可以检查：

• 私钥文件的权限是否正确（Java进程需有读取权限，建议设置为600）
• getHost()方法返回的是否确实是dev.mycompany.com，和OpenSSH命令中的目标主机一致
• 跳转服务器的SSH配置是否限制了端口转发（比如AllowTcpForwarding是否开启）

内容的提问来源于stack exchange，提问作者Balázs Németh