如何在Docker容器内建立SSH端口转发满足跨内外网开发环境需求

以下是2种适配你分发场景的Docker侧实现逻辑，你可以根据团队使用习惯选择：

方案1：无侵入镜像配置（无需修改现有LAMP镜像，适合快速验证） #

适合不需要修改镜像、直接用现有LAMP镜像临时启动的场景，所有SSH相关配置在启动时传入：

• 提前要求外网开发人员将企业跳转服务器的访问私钥存到宿主机固定路径，例如~/.ssh/company_jump_key，权限设置为600
• 启动容器时通过只读卷挂载私钥到容器内部，同时在启动命令中后台运行SSH端口转发隧道，再启动LAMP核心服务
• 启动命令示例：

docker run -d \
  -p 80:80 -p 443:443 \
  -v ~/.ssh/company_jump_key:/root/.ssh/company_jump_key:ro \
  --name company-lamp \
  你的现有LAMP镜像名 \
  sh -c "ssh -f -N -o StrictHostKeyChecking=no -i /root/.ssh/company_jump_key -L 3306:内网数据库地址:3306 jump_user@企业跳转服务器地址 && 你的原有LAMP启动命令（例如apache2-foreground）"

参数说明：-f 代表SSH后台运行，-N 代表只做端口转发不执行远程命令，-o StrictHostKeyChecking=no 跳过首次连接的主机指纹确认，适配自动化启动场景

方案2：内置适配逻辑到镜像（适合分发，自动适配内外网开发人员） #

只需修改一次镜像，后续开发人员启动时通过环境变量切换是否启用隧道，无需记忆复杂启动参数：

1. 新增Dockerfile在你现有LAMP镜像基础上安装SSH客户端，替换启动入口：

FROM 你的现有LAMP镜像名
# Debian/Ubuntu系镜像用以下命令安装SSH客户端，CentOS系替换为yum install openssh-clients -y
RUN apt update && apt install -y openssh-client && rm -rf /var/lib/apt/lists/*
RUN mkdir -p /root/.ssh && chmod 700 /root/.ssh
COPY entrypoint.sh /usr/local/bin/entrypoint.sh
RUN chmod +x /usr/local/bin/entrypoint.sh
ENTRYPOINT ["entrypoint.sh"]

2. 新建入口脚本entrypoint.sh，实现内外网自动适配逻辑：

#!/bin/bash
# 外网用户传入USE_SSH_TUNNEL=yes环境变量时自动启动隧道
if [ "$USE_SSH_TUNNEL" = "yes" ]; then
  ssh -f -N -o StrictHostKeyChecking=no -i /root/.ssh/company_jump_key \
    # 需要映射多个端口就新增多行-L参数
    -L 3306:内网数据库地址:3306 \
    -L 6379:内网Redis地址:6379 \
    jump_user@企业跳转服务器地址
fi
# 执行原有LAMP启动逻辑
exec "$@"

3. 使用方式：
   • 内网开发人员直接正常启动容器即可，不需要额外参数
   • 外网开发人员启动时挂载私钥、传入环境变量即可，示例命令：

docker run -d \
  -p 80:80 -p 443:443 \
  -v ~/.ssh/company_jump_key:/root/.ssh/company_jump_key:ro \
  -e USE_SSH_TUNNEL=yes \
  --name company-lamp \
  你构建好的新LAMP镜像名 \
  你的原有LAMP启动命令

注意事项 #

• 不要把私钥打包到镜像内，必须通过挂载的方式传入，避免密钥泄露风险
• 如果企业跳转服务器SSH端口不是默认22，在SSH命令中添加-p 跳转服务器端口参数即可

内容的提问来源于stack exchange，提问作者Todd Hammer