共计 2378 个字符，预计需要花费 6 分钟才能阅读完成。
什么是堡垒机
堡垒机，即在一个特定的网络环境下，为了保障网络和数据不受来自内部和外部用户的入侵和毁坏，而使用各种技术手段监控和记录运维人员对网络内的服务器、网络设备、安全设备、数据库等设施的操作行为，以便集中报警、及时处理及审计定责。
用一句话来说，堡垒机就是用来后管制哪些人能够登录哪些资产（当时防备和事中管制），以及录像记录登录资产后做了什么事件（事溯源）
堡垒机很多时候也叫运维审计零碎，它的外围是可控及审计。可控是指权限可控、行为可控。权限可控，比方某个工程师要到职或要转岗了。如果没有一个对立的权限治理入口，是一场梦魇。行为可控，比方咱们须要集中禁用某个危险命令，如果没有一个对立入口，操作的难度可想而知。
为什么须要堡垒机
堡垒机是从跳板机（也叫前置机）的概念演变过去的。早在 2000 年左右，一些中大型企业为了能对运维人员的近程登录进行集中管理，会在机房部署一台跳板机。跳板机其实就是一台 unix/windows 操作系统的服务器，所有运维人员都须要先近程登录跳板机，而后再从跳板机登录其余服务器中进行运维操作。
但跳板机并没有实现对运维人员操作行为的管制和审计，应用跳板机过程中还是会有误操作、违规操作导致的操作事变，一旦呈现操作事变很难疾速定位起因和责任人。此外，跳板机存在重大的平安危险，一旦跳板机系统被攻入，则将后端资源危险齐全暴露无遗。同时，对于个别资源（如 telnet）能够通过跳板机来实现肯定的内控，然而对于更多更非凡的资源（ftp、rdp 等）来讲就显得力不从心了。
人们逐步意识到跳板机的有余，进而须要更新、更好的平安技术理念来实现运维操作治理。须要一种能满足角色治理与受权审批、信息资源访问控制、操作记录和审计、零碎变更和保护管制要求，并生成一些统计报表配合治理标准来一直晋升 IT 内控的合规性的产品。在这些理念的领导下，2005 年前后，堡垒机开始以一个独立的产品状态被宽泛部署，无效地升高了运维操作危险，使得运维操作治理变得更简略、更平安。
堡垒机的设计理念
堡垒机次要是有 4A 理念，即认证（Authen）、受权（Authorize）、账号（Account）、审计（Audit）。
堡垒机的指标
堡垒机的建设指标能够概括为 5W，次要是为了升高运维危险。具体如下：
- 审计：你做了什么？（What）
- 受权：你能做哪些？（Which）
- 账号：你要去哪？（Where）
- 认证：你是谁？（Who）
- 起源：拜访工夫？（When）
堡垒机的价值
- 集中管理
- 集中权限调配
- 对立认证
- 集中审计
- 数据安全
- 运维高效
- 运维合规
- 危险管控
堡垒机的原理
目前常见堡垒机的次要性能架构
举荐给你：手把手从 0 开始教你搭建 Jumpserver, 为服务器平安保驾护航！
目前常见堡垒机的次要性能分为以下几个模块：
1、运维平台
RDP/VNC 运维；SSH/Telnet 运维；SFTP/FTP 运维；数据库运维；Web 零碎运维；近程利用运维；
2、治理平台
三权分立；身份甄别；主机治理；明码托管；运维监控；电子工单；
3、自动化平台
主动改密；主动运维；主动收集；主动受权；主动备份；主动告警；
4、管制平台
IP 防火墙；命令防火墙；访问控制；传输管制；会话阻断；运维审批；
5、审计平台
命令记录；文字记录；SQL 记录；文件保留；全文检索；审计报表；
阐明：三权分立
三权的了解：配置，受权，审计
三员的了解：系统管理员，平安窃密管理员，平安审计员
三员之三权：破除超级管理员；三员是三角色并非三人；平安窃密管理员与审计员必须非同一个人。堡垒机的身份认证
堡垒机次要就是为了做对立运维入口，所以登录堡垒机必须反对灵便的身份认证形式，比方：
1、本地认证
- 本地账号密码认证，个别反对强明码策略
2、近程认证
- 个别可反对第三方 AD/LDAP/Radius 认证
3、双因子认证
- UsbKey、动静令牌、短信网关、手机 APP 令牌等
4、第三方认证零碎
- OAuth2.0、CAS 等。
堡垒机的常见运维形式
- B/ S 运维：通过浏览器运维。
- C/ S 运维：通过客户端软件运维，比方 Xshell，CRT 等。
- H5 运维：间接在网页上能够关上远程桌面，进行运维。无需装置本地运维工具，只有有浏览器就能够对罕用协定进行运维操作，反对 ssh、telnet、rlogin、rdp、vnc 协定
- 网关运维：采纳 SSH 网关形式，实现代理间接登录指标主机，实用于运维自动化场景。
堡垒机的其余常见性能
- 文件传输：个别都是登录堡垒机，通过堡垒机直达。应用 RDP/SFTP/FTP/SCP/RZ/SZ 等传输协定传输。
- 细粒度管制：能够对拜访用户、命令、传输等进行精细化管制。
- 反对凋谢的 API
堡垒机的部署形式
1、单机部署
堡垒机次要都是旁路部署，旁挂在交换机旁边，只有能拜访所有设施即可。
部署特定：
- 旁路部署，逻辑串联。
- 不影响现有网络结构。
2、HA 高牢靠部署
旁路部署两台堡垒机，两头有心跳线连贯，同步数据。对外提供一个虚构 IP。
部署特点：
- 两台硬件堡垒机，一主一备 / 提供 VIP。
- 当主机呈现故障时，备机主动接管服务。
3、异地同步部署
通过在多个数据中心部署多台堡垒机。堡垒机之间进行配置信息主动同步。
部署特点：
- 多地部署，异地配置主动同步
- 运维人员拜访当地的堡垒机进行治理
- 不受网络 / 带宽影响，同时祷告灾备目标
4、集群部署（分布式部署）
当须要治理的设施数量很多时，能够将 n 多台堡垒机进行集群部署。其中两台堡垒机一主一备，其余 n - 2 台堡垒机作为集群节点，给主机上传同步数据，整个集群对外提供一个虚构 IP 地址。
部署特点：
- 两台硬件堡垒机，一主一备、提供 VIP
- 当主机呈现故障时，备机主动接管服务。
开源堡垒机产品
目前，罕用的堡垒机有免费和开源两类。免费的有行云管家、纽盾堡垒机，开源的有 jumpserver。这几种各有各的优缺点，如何抉择，大家能够依据理论场景来判断。
原文：https://www.toutiao.com/i6881… 作者：猿话
