Termius 共享端口转发与团队协作 | 团队统一管理隧道规则
团队场景的痛点
在企业内网里，很多基础设施是所有人都需要通过同一套 SSH 隧道访问的：
- 开发团队要访问同一个内网 MySQL（端口 3306）
- DB 管理员要通过跳板机访问生产数据库只读副本
- QA 团队要访问 staging 环境的内部接口
传统做法：
- 运维把跳板机 IP、MySQL 内网 IP、端口写成文档发给全员
- 每个人自己在 Termius / PuTTY / Xshell 里手动配一套
-L参数 - 跳板机 IP 变了或 MySQL 端口变了 → 运维通知全员改文档 → 每个人手动改配置
这很容易出错，而且新人进来还要一遍一遍教。
Termius 的解法：共享转发规则
在 Team / Business 版里，端口转发规则可以和主机、凭证、Snippets 一样存在共享 Vaults 里：
- 运维把跳板机和 MySQL 的主机配置加到 Team Vault
- 在跳板机上配好本地转发规则（Local 3307 → MySQL内网 3306）
- 邀请团队成员加入 Team Vault（只读权限也行）
- 每个成员登录 Termius 后自动看到跳板机 + 转发规则
- 双击启用规则就能用，不需要手动填任何东西
效果对比
| 传统做法 | Termius 共享转发 | |
|---|---|---|
| 新人配置 | 翻文档、手动填 3~5 个参数 | 登录 Vault → 看到规则 → 点启用 |
| 信息变更 | 全员手动改 | 运维改 Vault 里的规则 → 全员自动同步 |
| 错误风险 | 手动填容易错 IP / 端口 | Vault 里是运维核对好的 |
| 审计 | 不知道谁连了、有没有违规 | Vault 权限控制 + Business 版审计日志 |
共享转发规则的配置
前提条件
- Team / Business 版订阅
- 有共享 Vault（Team Vault 或自定义 Vault）
- 跳板机和目标服务器的主机配置都在同一个 Vault 里
配置步骤（和个人配置一样，只是存到了共享 Vault）
- 确保跳板机主机存在于共享 Vault
- 编辑跳板机 → Port Forwarding → Add Rule
- 填好转发规则（比如 Local 3307 → 目标 MySQL 内网 IP:3306）
- 保存
共享 Vault 里的任何成员登录 Termius 后：
- 主机列表里能看到跳板机
- Port Forwarding 页面里能看到这套转发规则
- 连接跳板机后启用规则就能用
权限控制
可以给 Vault 成员分配不同权限：
- 完全访问（Full access）：能看、能用、能改、能删转发规则
- 只读（Read only）：能看、能用、不能改转发规则
日常运维场景下，开发和 QA 团队成员给只读权限就够了——他们要的是「能用」，不是「能改」。
审计日志（Business / Enterprise）
Business 和 Enterprise 版有审计日志，可以查：
- 谁在什么时候启用了哪条转发规则
- 用了多长时间
- 连接了哪些目标服务
这对合规审计很重要——比如 PCI DSS 合规要求数据库访问留痕。
实际例子：一家 SaaS 公司的转发布局
| Vault | 成员 | 转发规则 |
|---|---|---|
| Team Vault | 全员（只读） | 跳板机 → Staging MySQL、Redis、Elasticsearch |
| Production Vault | DevOps（完全） | 跳板机 → Production MySQL（只读副本）、Redis 只读 |
| Personal Vault | 各自 | 每个人自定义测试用的转发 |
效果：
- 全员能访问 Staging 环境（用于开发和 QA）
- 只有 DevOps 能访问 Production 环境的数据库
- 运维在 Team Vault 改规则后全员自动同步
- 新人入职 → 邀请进 Vault → 自动获得所有转发规则 → 直接用
与 Jump Host 配合
共享 Vault 里还可以配置 Jump Host（链式连接）。比如 Staging 环境：
开发电脑 → 跳板机（Team Vault） → Staging 内网各台服务器转发规则自动包含 Jump Host 链，开发不需要关心「先连跳板再转发」这回事——直接启用规则就行。
共享转发 vs 传统 VPN
有些公司会用 VPN + 直接内网访问的方案。Termius 共享转发相比 VPN 的优势：
| VPN | Termius 共享转发 | |
|---|---|---|
| 复杂度 | 装 VPN 客户端、配证书 | 登录 Termius 自动可用 |
| 访问范围 | 连上 VPN = 能访问所有内网 | 只暴露配置好的端口 |
| 审计 | 依赖 VPN 日志（可能不全） | Business 版有操作审计 |
| 移动设备 | VPN App 配置麻烦 | Termius App 登录即同步 |
当然，两者不是互斥的——VPN 提供基础网络连通，Termius 共享转发提供精细化的应用层访问控制。
注意事项
- 转发规则跟着主机配置绑定在 Vault 里——主机必须在同一个 Vault 才能建立跨主机转发
- 规则的目标地址可以是内网 IP，不需要额外配置（Vault 成员的 Termius 客户端只管发起 SSH 隧道，不管跳板机能不能到目标——跳板机自己解决）
- 远程转发（-R）因为涉及服务器端端口，一般不建议在团队 Vault 里共享，除非团队有明确的外部共享需求
下一步
下一篇「端口转发的常见陷阱与调试」讲转发不工作时怎么排查。