Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用手动设置打开隧道并连接到远程设备

当您打开隧道时，可以选择快速设置方法或手动设置方法来打开通往远程设备的隧道。本教程介绍如何使用手动设置方法打开隧道，以及如何配置和启动本地代理以连接到远程设备。

使用手动设置方法时，必须在创建隧道时手动指定隧道配置。创建隧道后，您可以在浏览器中使用 SSH 或在 Amazon IoT 控制台之外打开终端。本教程说明如何使用控制台外部的终端访问远程设备。您还将学习如何配置本地代理，然后连接到本地代理以与远程设备进行交互。要连接到本地代理，必须在创建隧道时下载源访问令牌。

通过此设置方法，可以使用 SSH 以外的服务（例如 FTP）连接到远程设备。有关不同设置方法的信息，请参阅隧道设置方法。

手动设置方法的先决条件

打开隧道

您可以使用、 Amazon IoT API 参考或 Amazon Web Services Management Console，打开安全隧道 Amazon CLI。您可以选择配置目标名称，但本教程不要求这样做。如果您配置了目标，安全隧道将使用 MQTT 自动将访问令牌传送到远程设备。有关更多信息，请参阅 Amazon IoT 控制台中的隧道创建方法。

使用 API 打开隧道

要打开新隧道，可以使用 OpenTunnelAPI 操作。您还可以使用 API 指定其他配置，例如隧道持续时间和目标配置。

aws iotsecuretunneling open-tunnel \ 
    --region us-east-1 \ 
    --endpoint https://api.us-east-1.tunneling.iot.amazonaws.com

运行此命令将创建新隧道，并为您提供源和目标访问令牌。

{
    "tunnelId": "01234567-89ab-0123-4c56-789a01234bcd",
    "tunnelArn": "arn:aws:iot:us-east-1:123456789012:tunnel/01234567-89ab-0123-4c56-789a01234bcd",
    "sourceAccessToken": "<SOURCE_ACCESS_TOKEN>",
    "destinationAccessToken": "<DESTINATION_ACCESS_TOKEN>"
}

重新发送隧道访问令牌

创建隧道时获得的令牌只能用于连接到隧道一次。如果您放错了访问令牌或隧道断开连接，则可以使用 MQTT 向远程设备重新发送新的访问令牌，无需支付额外费用。 Amazon IoT 安全隧道将撤消当前令牌并返回新的访问令牌以重新连接到隧道。

使用 API 轮换访问令牌

要轮换隧道访问令牌，您可以使用 RotateTunnelAccessTokenAPI 操作撤消当前令牌并返回新的访问令牌以重新连接到隧道。例如，以下命令可轮换目标设备 RemoteThing1 的访问令牌。

aws iotsecuretunneling rotate-tunnel-access-token \ 
    --tunnel-id <tunnel-id> \ 
    --client-mode DESTINATION \ 
    --destination-config thingName=<RemoteThing1>,services=SSH \ 
    --region <region>

运行此命令将生成以下示例中所示的新访问令牌。然后，如果设备代理设置正确，系统会使用 MQTT 将令牌传送到设备以连接到隧道。

{
    "destinationAccessToken": "destination-access-token", 
    "tunnelArn": "arn:aws:iot:region:account-id:tunnel/tunnel-id"
}

有关说明如何以及何时轮换访问令牌的示例，请参阅通过轮换客户端访问令牌来解决 Amazon IoT 安全隧道连接问题。

配置和启动本地代理

要连接到远程设备，请在笔记本电脑上打开终端，然后配置并启动本地代理。本地代理通过安全连接使用安全隧道传输源设备上运行的应用程序发送的数据。 WebSocket 您可以从中下载本地代理源GitHub。

配置本地代理后，复制源客户端访问令牌，然后在源模式下使用它来启动本地代理。以下显示了启动本地代理的示例命令。在以下命令中，本地代理配置用以侦听端口 5555 上的新连接。在此命令中：

./localproxy -r us-east-1 -s 5555 -t source-client-access-token

运行此命令将在源模式下启动本地代理。如果在运行此命令后收到以下错误，请设置 CA 路径。有关信息，请参阅上的安全隧道本地代理。 GitHub

Could not perform SSL handshake with proxy server: certificate verify failed

以下显示了在 source 模式下运行本地代理的示例输出。

...
...

Starting proxy in source mode
Attempting to establish web socket connection with endpoint wss://data.tunneling.iot.us-east-1.amazonaws.com:443
Resolved proxy  server IP: 10.10.0.11
Connected successfully with proxy server
Performing SSL handshake with proxy server	
Successfully completed SSL handshake with proxy server
HTTP/1.1 101 Switching Protocols

...

Connection: upgrade
channel-id: 01234567890abc23-00001234-0005678a-b1234c5de677a001-2bc3d456
upgrade: websocket

...

Web socket session ID: 01234567890abc23-00001234-0005678a-b1234c5de677a001-2bc3d456
Web socket subprotocol selected: aws.iot.securetunneling-2.0
Successfully established websocket connection with proxy server: wss://data.tunneling.iot.us-east-1.amazonaws.com:443
Setting up web socket pings for every 5000 milliseconds
Scheduled next read:

...

Starting web socket read loop continue reading...
Resolved bind IP: 127.0.0.1
Listening for new connection on port 5555

启动 SSH 会话

打开另一个终端并使用以下命令通过连接到端口 5555 上的本地代理来启动新的 SSH 会话。

ssh username@localhost -p 5555

系统可能会提示您输入 SSH 会话的密码。完成 SSH 会话后，键入 exit 以关闭会话。

清理