最近家里买了一台NAS服务器，用来完成多项任务，比如存储和管理大量的照片，用做24小时离线下载机器等。但其中NAS比较吸引我的一个功能是，能够随时随地从外网访问家里NAS机器上的数据，并且能够在外地游玩的时候，把照片通过互联网随时传到家里的NAS机器上备份并腾出设备空间继续拍照。
这样做的前提是你的路由器得有一个外网ip。有了外网ip后，可通过设置路由器的端口转发，再设置一个DDNS域名就可随时访问家里的NAS了。但恰好自己使用的网络是鹏博士集团下的一家公司（宽带通，长城宽带都是），恰好他们以转卖二手带宽，不给拨号用户外网ip而著称。他们给你的拨号ip实际是经过多层NAT转发的一个大局域网ip。为了实现目的，必须解决所谓的NAT穿透/NAT打洞/内网穿透问题。
一开始搜到了花生壳，最近刚好除了内网版，号称可以实现没有公网ip的情况下访问你的内网设备。测试了一下果然可以，但需要交年费，并且限制流量，要想用更多的流量就得交更多的钱，弃用之。
最后找到了ssh的反向端口转发（reverse port forwarding）功能，这是常被忽略但是非常强大的一个用途。原理是在本地机器的端口和远程机器的端口建立映射关系，这样访问远程机器指定端口时，所有请求都会被加密并传输到本地机器的端口上，本地机器响应后将结果在转发回远程机器的端口，整个过程看起来就像远程机器做出响应一样，强大之处是远程机器可以直接绕过防火墙和各种NAT转发，准确找到你的内网机器。
具体做法很简单，只需要一个命令：
ssh -NfR <remote port>:localhost:<local port> remoteuser@remoteserver
其中remote port是要接受请求的远程机器端口，local port是要做出响应的本地机器的端口， remoteserver是远程机器的地址，remoteuser是负责转发的具体用户。比如家里的NAS端口是8080，你的vps外网地址1.2.3.4，那么可以通过在你的NAS上执行ssh –NfR 8888:localhost:8080 user1@1.2.3.4命令后，访问vps的8888端口来访问家里的NAS机器了。
几个需要注意的问题：1. 需要设置远程机器ssh配置文件中的GatewayPorts参数来达到允许任意地址机器来使用这个转发规则的目的， 否则上述命令只允许在远程机器本机上的请求通过，centos上操作见此；2. 该命令执行后，如果一段时间内没有请求被转发，则ssh反向连接会自动断开，这时候就需要autossh之类的工具来维持这个连接（实时监测，断开后自动重连），具体使用方法可以搜到很多例子；3. ssh通过autossh自动重连时不可能每次都手动输入用户密码，所以需要改用key authentication的方式连接（将本地机器的用户公钥添加到远程机器用户的~/.ssh/authorized_keys文件中）。
虽然鹏博士的实际出口网速很慢，但在大局域网下迅雷下载能满10M/s，可在线看1080p视频，性价比还是挺高的，明年不用换高价的宽带了。。。
PS: 此方法可用于其他场景，比如回家后远程访问公司机器上的资料，给外网客户演示公司内网机器上的demo等。
参考资料：