JumpServer简介

已于 2024-05-17 23:46:12 修改
阅读量982 收藏 14
点赞数 28
分类专栏： linux云计算 文章标签： php 开发语言
于 2024-04-05 02:29:16 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/mantou_riji/article/details/137094487
版权

文章目录


jumpServer官网： https://www.jumpserver.org/

堡垒机

堡垒机的含义

堡垒机是在一个特定的网络环境下，为了保障网络和数据不受来自外部和内部用户的入侵和破坏，而实时收集和监控网络环境中每一个组成部分的系统状态、安全事件、网络活动，以便集中报警、及时处理。

  • 堡垒机本质上可以看作用于防御攻击的计算机，又被称为"堡垒主机"。堡垒机是一个主机系统，其自身通常经过了一定的加固，具有较高的安全性，可抵御一定的攻击。
  • 堡垒机将需要保护的信息系统资源与安全威胁的来源进行隔离，从而在被保护的资源前面形成一个坚固的"堡垒"，并且在抵御威胁的同时又不影响普通用户对资源的正常访问。
  • 堡垒机还集成了行为审计和权限控制，从而加强了对操作和安全的控制。

堡垒机的分类

网关型堡垒机

  • 网关型堡垒机主要部署在外部网络和内部网络之间，本身不直接向外部提供服务，而是作为进入内部网络的一个检查点，用于提供对内部网络特定资源的安全访问控制。
  • 网关型堡垒机不提供路由功能，将内外网从网络层隔离开来，除授权访问外，还可以过滤掉一些针对内网的、来自应用层以下的攻击，为内部网络资源提供了一道安全屏障。
  • 网关型堡垒机需要处理应用层的数据内容，性能消耗很大，所以随着网络进出口处流量越来越大，部署在网关位置的堡垒机逐渐成为了性能瓶颈，所以，网关型的堡垒机逐渐被日趋成熟的防火墙、UTM、IPS、网闸等安全产品所取代。

运维审计型堡垒机

  • 运维审计型堡垒机，也被称作"内控堡垒机"，这类堡垒机也是当前应用最为普遍的一种。运维审计型堡垒机被部署在内网中服务器和网络设备等核心资源的前面，对运维人员的操作权限进行控制和操作行为审计。
  • 运维审计型堡垒机即解决了运维人员权限难以控制混乱局面，又可对违规操作行为进行控制和审计，而且由于运维操作本身不会产生大规模的流量，堡垒机不会成为性能的瓶颈，所以堡垒机作为运维操作审计的手段得到了快速发展。

JumpServer的含义

JumpServer 是广受欢迎的开源堡垒机，是符合 4A 规范的专业运维安全审计系统。JumpServer 帮助企业以更安全的方式管控和登录所有类型的资产，实现事前授权、事中监察、事后审计。
在这里插入图片描述

JumpServer的安装

以下都是在linux系统下安装的命令。
注意堡垒机的基本运行条件是：2个cpu内核、4G内存、50G硬盘

在线安装

  • 安装命令

    curl -sSL https://resource.fit2cloud.com/jumpserver/jumpserver/releases/latest/download/quick_start.sh | bash

  • 首次安装后需要修改config.txt配置文件，定义 DOMAINS 字段后即可正常使用

      vim /opt/jumpserver/config/config.txt 
  # 可信任 DOMAINS 定义,
  # 定义可信任的访问 IP, 请根据实际情况修改, 如果是公网 IP 请改成对应的公网 IP,
  # DOMAINS="demo.jumpserver.org"    # 使用域名访问
  # DOMAINS="172.17.200.191"         # 使用 IP 访问
  # DOMAINS="demo.jumpserver.org,172.17.200.191"    # 使用 IP 和 域名一起访问
  DOMAINS=

  • JumpServer服务的开启和关闭命令

    cd /opt/jumpserver-installer-v3.10.7
# 启动
./jmsctl.sh start
# 停止
./jmsctl.sh down
# 卸载
./jmsctl.sh uninstall
# 帮助
./jmsctl.sh -h

  • 验证是否已经安装成功
    通过浏览器访问登录 JumpServer：

    • 地址: http://<JumpServer服务器IP地址>:<服务运行端口>，默认服务运行端口号是80
    • 用户名: admin
    • 密码: admin
      在这里插入图片描述

  • jumpServer操作页面
    登陆成功之后就进入到jumpServer的操作页面，可以进行内容的管理。
    在这里插入图片描述

离线安装

内网机器可能不联网所以我们需要离线安装。

  • 再本地机器上从飞致云社区 下载最新的 linux/amd64 离线包, 并上传到部署服务器的 /opt 目录：
    在这里插入图片描述

  • 然后将下载好的文件通过rz命令上传到虚拟机上/opt目录：
    在这里插入图片描述

  • 部署：

    • 解压文件，进入文件目录

      cd /opt
tar -xf jumpserver-offline-installer-v3.10.7-amd64.tar.gz
cd jumpserver-offline-installer-v3.10.7-amd64

    • 配置文件
      根据需要修改配置文件模板config-example.txt ,

      cat config-example.txt

      	# JumpServer configuration file example.
	#
	# 如果不了解用途可以跳过修改此配置文件, 系统会自动填入
	# 完整参数文档 https://docs.jumpserver.org/zh/master/admin-guide/env/
	
	################################## 镜像配置 ###################################
	#
	# 国内连接 docker.io 会超时或下载速度较慢, 开启此选项使用华为云镜像加速
	# 取代旧版本 DOCKER_IMAGE_PREFIX
	#
	# DOCKER_IMAGE_MIRROR=1
	
	################################## 安装配置 ###################################
	#
	# JumpServer 数据库持久化目录, 默认情况下录像、任务日志都在此目录
	# 请根据实际情况修改, 升级时备份的数据库文件(.sql)和配置文件也会保存到该目录
	#
	VOLUME_DIR=/data/jumpserver
	
	# 加密密钥, 迁移请保证 SECRET_KEY 与旧环境一致, 请勿使用特殊字符串
	# (*) Warning: Keep this value secret.
	# (*) 勿向任何人泄露 SECRET_KEY
	#
	SECRET_KEY=
	
	# 组件向 core 注册使用的 token, 迁移请保持 BOOTSTRAP_TOKEN 与旧环境一致,
	# 请勿使用特殊字符串
	# (*) Warning: Keep this value secret.
	# (*) 勿向任何人泄露 BOOTSTRAP_TOKEN
	#
	BOOTSTRAP_TOKEN=
	
	# 日志等级 INFO, WARN, ERROR
	#
	LOG_LEVEL=ERROR
	
	# JumpServer 容器使用的网段, 请勿与现有的网络冲突, 根据实际情况自行修改
	#
	DOCKER_SUBNET=192.168.250.0/24
	
	# ipv6 nat, 正常情况下无需开启
	# 如果宿主不支持 ipv6 开启此选项将会导致无法获取真实的客户端 ip 地址
	#
	USE_IPV6=0
	DOCKER_SUBNET_IPV6=fc00:1010:1111:200::/64
	
	################################# MySQL 配置 ##################################
	# 外置 MySQL 需要输入正确的 MySQL 信息, 内置 MySQL 系统会自动处理
	#
	DB_HOST=mysql
	DB_PORT=3306
	DB_USER=root
	DB_PASSWORD=
	DB_NAME=jumpserver
	
	# 如果外置 MySQL 需要开启 TLS/SSL 连接, 参考 https://docs.jumpserver.org/zh/master/install/install_security/#ssl
	#
	# DB_USE_SSL=True
	
	################################# Redis 配置 ##################################
	# 外置 Redis 需要请输入正确的 Redis 信息, 内置 Redis 系统会自动处理
	#
	REDIS_HOST=redis
	REDIS_PORT=6379
	REDIS_PASSWORD=
	
	# 如果使用外置 Redis Sentinel, 请手动填写下面内容
	#
	# REDIS_SENTINEL_HOSTS=mymaster/192.168.100.1:26379,192.168.100.1:26380,192.168.100.1:26381
	# REDIS_SENTINEL_PASSWORD=your_sentinel_password
	# REDIS_PASSWORD=your_redis_password
	# REDIS_SENTINEL_SOCKET_TIMEOUT=5
	
	# 如果外置 Redis 需要开启 TLS/SSL 连接, 参考 https://docs.jumpserver.org/zh/master/install/install_security/#redis-ssl
	#
	# REDIS_USE_SSL=True
	
	################################## 访问配置 ###################################
	# 对外提供服务端口, 如果与现有服务冲突请自行修改
	#
	HTTP_PORT=80
	SSH_PORT=2222
	MAGNUS_MYSQL_PORT=33061
	MAGNUS_MARIADB_PORT=33062
	MAGNUS_REDIS_PORT=63790
	
	################################# HTTPS 配置 #################################
	# 参考 https://docs.jumpserver.org/zh/master/admin-guide/proxy/ 配置
	#
	# HTTPS_PORT=443
	# SERVER_NAME=your_domain_name
	# SSL_CERTIFICATE=your_cert
	# SSL_CERTIFICATE_KEY=your_cert_key
	#
	
	# Nginx 文件上传下载大小限制
	#
	CLIENT_MAX_BODY_SIZE=4096m
	
	################################## 组件配置 ###################################
	# 组件注册使用, 默认情况下向 core 容器注册, 集群环境需要修改为集群 vip 地址
	#
	CORE_HOST=http://core:8080
	PERIOD_TASK_ENABLED=True
	
	# Core Session 定义,
	# SESSION_COOKIE_AGE 表示闲置多少秒后 session 过期,
	# SESSION_EXPIRE_AT_BROWSER_CLOSE=true 表示关闭浏览器即 session 过期
	#
	# SESSION_COOKIE_AGE=86400
	SESSION_EXPIRE_AT_BROWSER_CLOSE=True
	
	# 可信任 DOMAINS 定义,
	# 定义可信任的访问 IP, 请根据实际情况修改, 如果是公网 IP 请改成对应的公网 IP,
	# DOMAINS="demo.jumpserver.org"
	# DOMAINS="172.17.200.191"
	# DOMAINS="demo.jumpserver.org,172.17.200.191"
	DOMAINS=
	
	# Lion 开启字体平滑, 优化体验
	#
	JUMPSERVER_ENABLE_FONT_SMOOTHING=True
	
	################################# XPack 配置 #################################
	# XPack 包, 开源版本设置无效
	#
	RDP_PORT=3389
	MAGNUS_POSTGRESQL_PORT=54320
	MAGNUS_ORACLE_PORTS=30000-30030
	
	################################## 其他配置 ##################################
	# 终端使用宿主 HOSTNAME 标识, 首次安装自动生成
	#
	SERVER_HOSTNAME=${HOSTNAME}
	
	# 使用内置 SLB，如果 Web 页面获取到的客户端 IP 地址不正确，请将 USE_LB 设置为 0
	# USE_LB 设置为 1 时，使用配置 proxy_set_header X-Forwarded-For $remote_addr
	# USE_LB 设置为 0 时，使用配置 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for
	USE_LB=1
	
	# 当前运行的 JumpServer 版本号, 安装和升级完成后自动生成
	#
	CURRENT_VERSION=

    • 安装

      ./jmsctl.sh install

    • 启动

      ./jmsctl.sh start

      支持自启动，启动之后再开机无需再启动，支持自启动。

  • 登录
    访问安装jumServer的主机地址，jumServer默认安装在80端口，可以获取jumServer的登录页面。有默认的账户：用户名 - admin，密码 - admin 。

  • 其他明令：

    # 停止
./jmsctl.sh down

# 卸载
./jmsctl.sh uninstall

# 帮助
./jmsctl.sh -h

  • 配置文件路径

    /opt/jumpserver/config/config.txt

JumServer的使用

jumpServer一共有3种模式：控制台、审计台、工作台。
在这里插入图片描述

控制台

用户管理

作用：给用户分配账号使用。

总共有3种角色：

  • 用户：权限最低。只有工作台的权限
  • 系统审计员：有工作台和审计台的权限
  • 系统管理员：权限最高。有控制台、审计台、工作台的权限。

用户管理常做的操作是：创建用户，为用户分配权限；创建分组，为用户分组。
添加用户：
在这里插入图片描述

资产管理

资产管理

常见的资产有：

  • 主机
  • 网络设备
  • 数据库
  • 云服务
  • web
  • GPT

所添加的资产就是对应我们需要控制的 主机、网络设备、数据库、云服务等现实资产。
添加资产的时候通过资产的唯一标识添加资产信息，这里以Linux主机为例：
在这里插入图片描述

网域管理

网域功能是为了解决部分环境无法连接的问题，原理是通过网关服务器进行 SSH 隧道进行流量转发。
具体操作：https://docs.jumpserver.org/zh/v3/guide/admin/asset/domain_list/#1

账号管理

不同的资产可以对应一个或多个账号，这里的账号只的是登录主机或数据库所需要的账号，需要设置对应的密码。所以一个资产必须要有一个对应的账号操作它。
上面的Linux需要创建如下账号：
在这里插入图片描述

权限管理

创建好用户、资产和账号之后就可以将三者连接起来：
在这里插入图片描述

选择用户、资产和账号创建对应的权限管理，创建之后就可以建立起三者的联系：用户通过指定的账号登录资产。

上述登录示例：使用yang用户，点击工作台==>我的资产，选择刚刚分配的资产，点击右侧运行按钮：
在这里插入图片描述

点击之后就是登录界面，点击连接，连接成功之后就可以控制对应的资产：
在这里插入图片描述
右侧的设置按钮可以进行一些操作。

这样管理的好处是：用户无需知道资产的用户名和密码就可以登录资产，完全由管理员控制，保护了资产的安全性。

任务管理

jumpServer自动执行的任务，我们无法干预。

审计台

审计主要就是记录用户的操作内容

会话审计

  • 会话记录：以视频的方式记录用户的操作
    在这里插入图片描述

  • 命令记录：记录用户操作的命令

  • 文件传输：记录文件传输内容

日志审计

  • 登录日志
  • 操作日志
  • 改密日志
  • 作业日志

工作台

用户通过工作台执行的文件、作业操作都会被记录下来，jumpServer可以识别所操作信息的安全性，来中断或执行操作，所以可以使用jumpServer达到保护的效果。

我的资产

里面包含用户所能看到的所有资产，但是只有部分资产该用户可以使用：
在这里插入图片描述

web终端

连接资产的终端

文件管理

使用文件管理可以将目标资产的文件进行下载，将本地的文件进行上传：
在这里插入图片描述

作业中心

一些命令的管理：
在这里插入图片描述

堡垒机命令过滤规则创建

对于一些信息敏感的命令我们不希望用户进行操作，就可以使用过滤规则过滤掉该命令：

  • 首先创建命令组：控制台==>权限管理==>命令过滤==>命令组
    在这里插入图片描述
  • 其次创建命令过滤：控制台==>权限管理==>命令过滤==>命令过滤
    在这里插入图片描述
    创建完之后就生效了：
    在这里插入图片描述

jumpServer系统设置

在这里插入图片描述

比较重要的是消息通知，设置之后可以是jumpServer发送邮件给用户：

  • 邮件服务器：
    需要SMTP的主机、端口、账号和密码，需要我们手动申请。
    SMTP主机：smtp.qq.com
    SMTP端口：465
    SMTP账号：即QQ账号
    SMTP密码：就是授权码，需要我们手动申请，如下是QQ申请的方式。
    以QQ邮箱申请为例：

    • 登录QQ邮箱==>设置==>账号==>POP3/IMAP/SMTP/Exchange/CardDAV/CalDAV服务
      在这里插入图片描述
    • 首先点击开启服务
      在这里插入图片描述
    • 开启之后，然后点击继续获取授权码。通过短信验证获取授权码。

    邮件服务器注册：

    在这里插入图片描述

  • 邮件发送
    发件人：默认是SMTP的邮箱
    主题前缀：邮件发送的主题

  • 邮件内容定制
    发给用户的邮件内容

  • 最后可以设置收件人，测试功能是否可用

_洋
关注
  • 28
    点赞
  • 踩
  • 14
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Jumpsever介绍
QQ7462212的博客
03-05 794
一.跳板机的定义 跳板机就是一台服务器，开发或运维人员在维护过程中首先要统一登录到这台服务器，然后再登录到目标设备进行维护和操作： 二.跳板机缺点 没有实现对运维人员操作行为的控制和审计，使用跳板机的过程中还是会出现误操作、远规 操作导致的事故，一旦出现操作事故很难快速定位到原因和责任人； 三.堡垒机的定义 堡垒机，即在一个特定的网络环境下，为了保障网络和数据丌受来自外部和内部用户的***和破坏...
jumpserver 跳板机
weixin_44666439的博客
05-22 421
1.jumpserver 官方文档：https://docs.jumpserver.org/zh/master/index.html 自建服务器极速安装 说明 全新安装的 Centos7 系统 保持服务器网络畅通 2核4G环境 3. 开始安装 3.1 防火墙设置 $ echo -e "\033[31m 1. 防火墙 Selinux 设置 \033[0m" \ && if [ "$(systemctl status firewalld | grep running)" != "" ];
堡垒机 JumpServer
最新发布
qq_57093716的博客
05-08 831
了解和搭建堡垒机
jumpserver（堡垒机）
qq_53195102的博客
02-02 8009
统一入口：登录公司的任何资源都通过堡垒机 批量管理：批量的管理服务器，比如: 批量的执行命令 自动运维： 安全运营： 身份鉴别： 账号管理： 权限控制：可以针对不同的用户指定访问不同的机器，还有禁用一个敏感的命令 安全审计：执行的每一个命令都有录屏的操作
Jumpserver
Liu_handsome_brother的博客
01-12 5671
http://note.youdao.com/noteshare?id=51e0b703007d0cd5312971ce43cc375d&amp;sub=9B2CF90458FE4A1F8B4D1A6FBD89FE0D
JumpServer 堡垒机
愿许浪尽天涯的博客
06-02 6197
JumpServer 是全球首款完全开源的堡垒机，使用 GNU GPL v2.0 开源协议，是符合 4A 的专业运维审计系统。 使用 Python/Diango 进行开发，遵循 Web 2.0 规范，配备了业界领先的 Web Terminal 解决方案，交互界面美观、用户体验好。 采用分布式架构，支持多机房跨区域部署，中间节点提供 API，各机房部署登录节点，可横向扩展、无并发显示。 为互联网企业提供了认证、授权、审计，自动化运维等功能。 主要功能：身份验证 | 账号管理 | 授权控制 | 安全审计
JUmpserver使用手册
01-19
JUmpserver使用手册
Jumpserver v1.5.0
09-30
Jumpserver 是一款由python编写开源的跳板机(堡垒机)系统，实现了跳板机应有的功能。基于ssh协议来管理，客户端无需安装agent。 支持常见系统:1、redhat centos2、debian3、suse ubuntu4、freebsd5、
jumpserver.zip
02-23
jumpserver.zip
jumpserver4.0
12-04
jumpserver开源跳板机，linux版本。一款强大的开源跳板机。
jumpserver压缩包
11-16
部署堡垒机器jumpserver
jumpserver 使用教程_Jumpserver 简单使用
weixin_32254267的博客
12-29 5028
说起跳板机，现在首先被提起的一定是jumpserver，由于开源免费且功能强大，深受欢迎出于学习和实验的目的，通过docker方式就可以简单的搭建起来jumpserver/jms_all:latest 官方镜像运行容器docker run -d -p 8080:80 -p 2220:2222 --name jumpserver jumpserver/jms_all:latest03f9b2f8c7...
centos安装jumpsever
qq_42365664的博客
10-11 384
1.1、准备环境 关闭防火墙和selinux 修改centos的字符集 localedef -c -f UTF-8 -i zh_CN zh_CN.UTF-8 export LC_ALL=zh_CN.UTF-8 echo 'LANG="zh_CN.UTF-8"' &gt; /etc/locale.conf 1.2、准备python环境 上传python3.6.3的包，没有可以去官网下载...
堡垒机——网络技术手段
一坨小橙子的博客
05-06 842
什么是跳板机、跳板机的缺陷、什么是堡垒机、为什么要使用堡垒机、堡垒机分类、原理、身份认证、运维方式、其他功能、JumpServer介绍、架构、组件、优势、实现的功能、Authentication身份认证、账号管理Account、授权控制Authorization、Audit安全审计、JumpServer安装部署、部署方式（单机部署、HA高可用部署、异地同步部署、集群部署）、官网下载安装包、Linux系统安装JumpServer、启动并访问
【堡垒机】jumpserver简介
m0_70746078的博客
09-22 5923
Jumpserver 是全球首款完全开源、符合 4A 规范（包含认证Authentication 、授权 Authorization、账号 Accounting 和审计 Auditing）的运维安全审计系统，Jumpserver 通过软件订阅服务或者软硬件一体机的方式，向企业级用户交付多云环境下更好用的堡垒机。
JumpServer学习使用
someby的博客
12-21 1233
背景：最近在公司使用jumpserver进行测试，但是在jumpserver上遇到了很多尴尬的问题，想着学习一下，好看看自己是如何在坑中犯二的 JumpServer官网：Jumpserver - 开源堡垒机 - 官网 官网首页 JumpServer的优点： 多云环境下更好用的堡垒机 1. 分布式架构设计无限扩展，轻松对接多云资产； 2. 支持使用云存储（AWS S3, ES等）存储...
CentOS 7下JumpServer安装及配置（超详细版）
Mortalz7
10-12 5731
Jumpserver是一种用于访问和管理远程设备的Web应用程序，通常用于对服务器进行安全访问。它基于SSH协议，提供了一个安全和可管理的环境来管理SSH访问。Jumpserver是基于Python开发的一款开源工具，其提供了强大的访问控制功能，可以轻松实现用户、主机、命令和审计日志的管理。 本文包含koko部署、guacamole部署、luna部署、nginx配置安装以及Jumpserver启动关闭登录测试等等。
jumpserver-堡垒机
m0_51586984的博客
03-29 1244
但跳板机没有实现对运维人员操作行为的控制和审计，此外，跳板机存在严重的安全风险，一旦跳板机系统被攻入，则将后端资源风险完全暴露无遗。由于跳板机的不足，更多的组织需要更先进、更好的安全技术,来实现运维操作管理和安全。管理的资产基于后台的操作系统，基于不同的网络连接协议，可以在资产平台进行同一化设置和管理（注意：默认平台有些协议和功能无法更改，可以自定义资产平台进行更改）创建网关,指定网关服务器的公网IP,认证指定root和jumpserver的root的私钥文件(或者网关服务器的root密码)
jumpserver【基本使用教程】
L596462013的博客
06-21 3721
管理用户是资产被控服务器上的root，jumpserver使用此用户可以【推送推送系统用户】【获取资产硬件信息】等，需要注意的是【jumpserver需要先与资产节点做免密，将私钥发送到资产主机】将运维组划分为（北京、山西），将开发组划分为（北京）
jumpserver
07-27
JumpServer是一款开源的堡垒机系统，用于管理和控制服务器的访问权限。它提供了安全的远程访问和权限管理功能，可以帮助企业实现对服务器和敏感数据的保护。JumpServer支持多种认证方式和授权策略，可以对用户进行细粒度的权限控制，并记录用户操作日志以提高安全性。它还提供了Web界面和命令行工具，方便管理员进行配置和管理。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值