如何改进SSH远程IP转发管理脚本，避免未重置转发配置？

针对你遇到的「忘记关闭脚本或本地重启导致远程IP转发无法重置」的问题，我整理了几个实用的改进思路，既能合并连接/断开脚本，又能确保远程设置在各种场景下都能恢复：

1. 用陷阱信号（trap）处理异常退出 #

这是最直接的方案——在脚本里设置信号捕获，不管是你主动输入退出、按Ctrl+C中断，还是本地意外重启导致SSH连接断开，脚本都会自动触发远程IP转发的重置操作。

合并后的脚本示例：

#!/bin/bash

# 远程服务器信息，替换成你的实际配置
REMOTE_USER="your_username"
REMOTE_HOST="your_remote_ip_or_domain"

# 开启IP转发的命令（根据你的实际网络接口调整eth0）
ENABLE_FORWARD_CMD="echo 1 > /proc/sys/net/ipv4/ip_forward && iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE"
# 关闭IP转发的命令
DISABLE_FORWARD_CMD="echo 0 > /proc/sys/net/ipv4/ip_forward && iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE"

# 定义清理函数：断开时执行远程设置重置
cleanup() {
    echo "正在重置远程IP转发设置..."
    ssh $REMOTE_USER@$REMOTE_HOST "$DISABLE_FORWARD_CMD"
    echo "远程设置已重置，脚本退出。"
    exit 0
}

# 捕获各种退出信号：正常退出(EXIT)、键盘中断(INT)、进程终止(TERM)
trap cleanup EXIT INT TERM

# 第一步：连接远程并开启转发
echo "正在连接远程服务器并开启IP转发..."
ssh $REMOTE_USER@$REMOTE_HOST "$ENABLE_FORWARD_CMD"
echo "远程IP转发已开启！"

# 等待用户输入，保持脚本运行
echo "按任意键执行断开操作..."
read -n 1 -s

# 主动触发清理（trap已覆盖，但这里明确写出更直观）
cleanup

这个脚本的核心是trap cleanup EXIT INT TERM：它会监听脚本的所有退出信号，只要脚本结束（不管是主动还是被动），都会调用cleanup函数去重置远程设置。

2. 给远程转发设置加超时兜底 #

如果担心本地脚本意外崩溃导致trap没触发，还可以在远程主机上设置一个「兜底机制」——定时检查你的SSH连接是否存在，一旦连接断开就自动重置IP转发。

比如在远程服务器上用crontab -e添加定时任务：

# 每1分钟检查一次是否有来自本地IP的SSH连接，无则重置转发
* * * * * /bin/bash -c 'if ! ss | grep -q "your_local_ip.*ssh"; then echo 0 > /proc/sys/net/ipv4/ip_forward && iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE; fi'

把your_local_ip换成你本地PC的固定IP；如果是动态IP，可以换成你的SSH客户端公钥指纹，用who命令查看当前登录的SSH会话信息即可获取。

3. 用SSH控制套接字优化连接管理 #

如果你的SSH版本支持，可以用控制套接字（ControlSocket）来复用连接，同时让断开操作更可靠。修改后的脚本示例：

#!/bin/bash

REMOTE_USER="your_username"
REMOTE_HOST="your_remote_ip_or_domain"
# 控制套接字的临时文件路径
CONTROL_SOCKET="/tmp/ssh_${REMOTE_HOST}_control"

ENABLE_FORWARD_CMD="echo 1 > /proc/sys/net/ipv4/ip_forward && iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE"
DISABLE_FORWARD_CMD="echo 0 > /proc/sys/net/ipv4/ip_forward && iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE"

cleanup() {
    echo "正在清理连接并重置远程设置..."
    # 关闭控制套接字连接
    ssh -S $CONTROL_SOCKET -O exit $REMOTE_USER@$REMOTE_HOST 2>/dev/null
    # 重置转发设置
    ssh $REMOTE_USER@$REMOTE_HOST "$DISABLE_FORWARD_CMD"
    # 删除临时套接字文件
    rm -f $CONTROL_SOCKET
    echo "完成清理。"
    exit 0
}

trap cleanup EXIT INT TERM

# 建立持久化SSH控制连接
echo "建立持久SSH连接..."
ssh -M -S $CONTROL_SOCKET -Nf $REMOTE_USER@$REMOTE_HOST

# 开启远程IP转发
echo "开启远程IP转发..."
ssh -S $CONTROL_SOCKET $REMOTE_USER@$REMOTE_HOST "$ENABLE_FORWARD_CMD"

echo "IP转发已开启，按任意键断开..."
read -n 1 -s

cleanup

控制套接字的好处是可以复用同一个SSH连接，避免多次登录验证，同时断开时能更可靠地关闭远程连接。

这几个方案可以组合使用，比如用trap处理正常退出，用远程定时任务做兜底，基本就能覆盖所有意外场景了。

内容的提问来源于stack exchange，提问作者Martin Herrmann