安全堡垒机

前言

1 什么是跳板机

跳板机就是一台服务器，具备公网和内网，我们的开发人员或者运维 人员，要想维护内部集群服

务时，需要先统一登陆到跳板机这台服务 器，然后在通过跳板机的内网登陆目标集群服务器

2 跳板机缺陷

没有实现对运维人员操作行为的控制和审计，使用跳板机的过程中还是会出现误操作，违规操作导

致故障，一旦出现操作事故很难快速定位到原因和责任人；此时堡垒机就诞生了

一 堡垒机

1.1堡垒机是什么

堡垒机其实是基于跳板机基础之上，能够实现运维更加安全的操作目标集群服务器，提供安全保证

堡垒机，即在一个特定的网络环境下，为了保障网络和数据不受来自外部和内部用户的入侵和破

坏，而运用各种技术手段监控和记录运维人员对网络内的服务器、网络设备、安全设备、数据库等

设备的操作行为，以便集中报警、及时处理及审计定责

堡垒机目前也有很多叫运维审计系统。

简单总结一句话：堡垒机是用来控制哪些人可以登录哪些资产（事先防范和事中控制），以及录像

记录登录资产后做了什么事情（事后溯源）

堡垒机的核心是可控及审计。

可控是指权限可控、行为可控。

权限可控，比如某个工程师要离职或要转岗了。如果没有一个统一的权限管理入口，是一场梦魇。

行为可控，比如我们需要集中禁用某个危险命令，如果没有一个统一入口，操作的难度可想而知。

资产集中管理（统一管理）

审计，记录，视频回放操作记录

 限制如 rm，dd 等危险命令的执行

限制登陆目标服务器的身份权限

1.2堡垒机的由来

堡垒机是从跳板机（也叫前置机）的概念演变过来的。早在2000年左右的时候，一些中大型企业

为了能对运维人员的远程登录进行集中管理，会在机房部署一台跳板机。

跳板机其实就是一台lunix/windows操作系统的服务器。所有运维人员都需要先远程登录跳板机，

然后从跳板机登录其他服务器中进行运维操作。

随着技术和需求的发展，越来越多的客户需要对运维操作进行审计。因此，堡垒机应运而生。

1.3堡垒机设计理念

堡垒机主要是有4“A”理念。

即认证（Authen）、授权（Authorize）、账号（Account）、审计（Audit）为核心

堡垒机提供了运维安全审计的 4A 规范：

 Authentication：身份鉴别，防止身份冒用和复用

Authorization ：授权控制，防止内部误操作和权限滥用

Accouting:账号管理，人员和资产的管理

Auditing：安全审计，追溯和分析事故的依据

1.4堡垒机的建设目标

堡垒的建设目标可以概括为5“W”，主要是为了降低运维风险。具体如下：

审计：你做了什么？（What）

授权：你能做哪些？（Which）

账号：你要去哪？（Where）

认证：你是谁？（Who）

来源：访问时间？（When）

1.5堡垒机的价值

集中管理

集中权限分配

统一认证

集中审计

数据安全

运维高效

运维合规

风险管控

1.6堡垒机的分类

堡垒机分为商业堡垒机和开源堡垒

开源软件毫无疑问将是未来的主流。Jumpserver 是全球首款完全开源的堡垒机，是符合 4A 的专

业运维审计系统，GitHub Star 数超过 1.1 万，Star 趋势就可以看出其受欢迎程度

1.7堡垒机原理

目前常见堡垒机的主要功能分为以下几个模块：

1 运维平台

RDP/VNC运维；SSH/Telnet运维；SFTP/FTP运维；数据库运维；Web系统运维；远程应用运维；

2 管理平台

三权分立；身份鉴别；主机管理；密码托管；运维监控；电子工单；

3 自动化平台

自动改密；自动运维；自动收集；自动授权；自动备份；自动告警；

4 控制平台

IP防火墙；命令防火墙；访问控制；传输控制；会话阻断；运维审批；

5 审计平台

命令记录；文字记录；SQL记录；文件保存；全文检索；审计报表；

说明：三权分立

三权的理解：配置，授权，审计

三员的理解：系统管理员，安全保密管理员，安全审计员

三员之三权：废除超级管理员；三员是三角色并非三人；安全保密管理员与审计员必须非同一个人

1.8堡垒机的身份认证

堡垒机主要就是为了做统一运维入口，所以登录堡垒机就支持灵活的身份认证方式：

本地认证：本地账号密码认证，一般支持强密码策略

远程认证：一般可支持第三方AD/LDAP/Radius认证

双因子认证：UsbKey、动态令牌、短信网关、手机APP令牌等

第三方认证系统：OAuth2.0、CAS等。

1.9堡垒机的运维方式常见有以下几种

B/S运维：通过浏览器运维。

C/S运维：通过客户端软件运维，比如Xshell，CRT等。

H5运维：直接在网页上可以打开远程桌面，进行运维。

无需安装本地运维工具，只要有浏览器就可以对常用协议进行运维操作，支持ssh、telnet、

rlogin、rdp、vnc协议

网关运维：采用SSH网关方式，实现代理直接登录目标主机，适用于运维自动化场景。

1.10堡垒机其他常见功能

文件传输：一般都是登录堡垒机，通过堡垒机中转。使用RDP/SFTP/FTP/SCP/RZ/SZ等传输协议

传输。

细粒度控制：可以对访问用户、命令、传输等进行精细化控制

支持开放的API

二、jumpserver

2.1jumpserver介绍

umpServer 是由 FIT2CLOUD（飞致远）公司旗下一款开源的堡垒机， 这款也是全球首款开源的

堡垒机，
使用 GNU GPL v2.0 开源协议，是 符合 4A 规范的运维安全审计系统，使用 Python 开发，遵循

Web 2.0 规范，配备了业界领先的 Web Terminal 方案，交互界面美观、 用户体验好，

同时采纳分布式架构，支持多机房跨区域部署以及横向 扩展，无资产数量及并发限制。

 JumpServer 现已支持管理 SSH、 Telnet、 RDP、 VNC 协议资产

堡垒机的核心功能是“运维+安全审计”，要实现这一目标，需要在 终端计算机和服务器资产中间加

一层协议转发节点，多有对目标资产的请求都需要经过这一节点，该节点能够拦截非法访问，阻断

不合规 的危险命令，并对内部人员的所有操作进行审计监控，以便进行时候 追溯，以上所说的中

间节点就是堡垒机。堡垒机在网络环境中的经典