开源的访问管理系统Teleport

于 2024-08-12 09:22:44 发布
阅读量6.3k 收藏 27
点赞数 9
文章标签： 群晖 docker SSH 堡垒机 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/wbsu2004/article/details/141122484
版权

在这里插入图片描述

什么是 Teleport ？

Teleport 作为一个开源访问控制系统，设计用于增强现代基础设施的安全性，同时提供易用性和灵活性。Teleport 能够提供安全的远程访问和会话管理，并且支持多因素身份验证。

Teleport 具有以下主要特性：

  • 堡垒机：通过 Teleport，用户可以安全地远程访问服务器和集群。
  • SSH代理：Teleport 提供了一个 SSH 代理，可以将用户隔离到独立的会话中，并且支持会话录制和审计。
  • 多因素身份验证：Teleport 支持多种身份验证方式，包括TOTP、U2F和 LDAP等。
  • Web界面：Teleport提供了一个易于使用的 Web 界面，方便用户管理和监控远程访问。
  • 多协议支持: Teleport 不仅支持 SSH，还理解 HTTPS、RDP、Kubernetes API、MySQL、MongoDB 和 PostgreSQL 等多种协议。
  • 统一访问控制: Teleport 提供了一个统一的访问控制系统，可以集中管理各种资源的访问权限。

安装

在群晖上以 Docker 方式安装。

docker 镜像地址：https://gallery.ecr.aws/gravitational

采用命令行安装方式，首先需要用 SSH 客户端登录到群晖主机

创建目录

用于挂载到容器

# 新建文件夹 teleport 和 子目录
mkdir -p /volume1/docker/teleport/{config,data}

# 进入 teleport 目录
cd /volume1/docker/teleport

生成配置文件

将容器的名称设置为 localhost，以便浏览器可以信任代理服务的自签名 TLS 证书

# 生成配置文件
docker run --rm \
  --hostname localhost \
  --entrypoint=/usr/local/bin/teleport \
  public.ecr.aws/gravitational/teleport:14.3.19 configure --roles=proxy,auth > ./config/teleport.yaml

在这里插入图片描述

打开文件 teleport.yaml

需要手动添加对 web 的侦听，否则访问网页会打不开

老苏在局域网使用，所以用的局域网 IP

proxy_service:
  web_listen_addr: 0.0.0.0:3080
  public_addr: <您的服务器公网IP>:3080

启动 Teleport

# 运行容器
docker run -d \
  --hostname localhost \
  --name teleport \
  -p 3023:3023 \
  -p 3024:3024 \
  -p 3025:3025 \
  -p 3080:3080 \
  -v $(pwd)/config/teleport.yaml:/etc/teleport/teleport.yaml \
  -v $(pwd)/data:/var/lib/teleport \
  public.ecr.aws/gravitational/teleport:14.3.19

一般来说，Teleport 在 Docker 中主要使用以下端口：

  • 3023：用于 SSH 代理
  • 3024：用于反向隧道（如果需要）
  • 3025：用于 Auth 服务
  • 3080：用于 Web UI 和 HTTPS 代理

更多的端口请参考官方文档：https://goteleport.com/docs/reference/networking/#ports

运行

在浏览器中输入 https://群晖IP:3080

⚠️ 注意：是 https 而不是 http

点 高级

选择 继续前往

在这里插入图片描述

然后就会看到登录界面了

但是现在我们还没有账号，所以还需要创建账号

创建用户

执行下面的命令进入容器

# 进入容器
docker exec -it teleport /bin/sh

现在已经在容器内部，可以使用 tctl 命令创建用户。基本的命令格式如下

# 基本命令
tctl users add <username> --roles=<role1,role2> --logins=<login1,login2>

# 示例
tctl users add laosu --roles=access,auditor,editor --logins=laosu,root

示例创建了一个名为 laosu 的用户，具有 access、auditor、editor 三个角色，并允许他以 laosu 和 root 身份登录到服务器

执行此命令后，Teleport 将生成一个注册链接。该链接将允许用户设置他们的密码和二次认证方式。

User "laosu" has been created but requires a password. Share this URL with the user to complete user setup, link is valid for 1h:
https://<proxy-address>:3080/web/invite/<token>

将此链接发送给用户。用户需要在链接过期之前（默认为1小时）访问此链接来完成账户设置。

在这里插入图片描述

点 GET STARTED 开始填写密码

需要用 Authy 作为 opt 设备扫描二维码

Authy 是一款跨平台的、支持多个设备同时使用的两步验证（2FA）管理工具，基于 TOTP 协议，旨在提高账户的安全性。主要功能是生成时间敏感的一次性密码（OTP），这些密码可以在每次登录时使用，作为双重验证的一部分，能够显著提升用户账户的安全性。

扫描完成后，输入在 Authy 上生成的 6 位数字

验证通过后，就注册成功了。会自动进入首界面，可以点 ADD MY FIRST RESOURCE 添加资源了

在这里插入图片描述

之后的登录，除了账号、密码外，还需要 Authy 上生成的身份验证码

添加资源

可以从左上角切换到 Management 界面

现在你要新增的资源（Resource）

以老苏的编译镜像的虚拟机 CentOS 8 为例，选择了 RHEL/CentOS 7+

需要在 CentOS 上执行下面的命令

脚本是有时限的，默认是 4 小时

sudo bash -c "$(curl --insecure -fsSL https://192.168.0.197:3080/scripts/ada9610f30751d3f2be8f6059a78e836/install-node.sh)"

老苏新增了使用 --insecure 标志来信任 Teleport 的自签名证书。在生产中，您需要从受信任的 CA（例如 Let's Encrypt）向代理服务提供 TLS 凭据。

在这里插入图片描述

这里我们假设你的网络访问相关资源是没问题，否则你会看到👇这样的内容

安装完成后

正常情况下应该会自动检测到 Teleport 实例，但实际上可能会一直处于等待中 We're still looking for your server

因为我们的证书是自签的，而不是受信任的，所以需要禁用证书验证，这可能会带来安全风险。所以下面的步骤应该只作为临时的故障排除措施使用，不建议在生产环境中长期使用。

找到 /etc/systemd/system/multi-user.target.wants/teleport.service 文件，在 ExecStart 中增加 --insecure 参数

从 ExecStart=/usr/local/bin/teleport start --config /etc/teleport.yaml --pid-file=/run/teleport.pid

改为 ExecStart=/usr/local/bin/teleport start --insecure --config /etc/teleport.yaml --pid-file=/run/teleport.pid

保存之后，再需要执行下面👇的命令

# 重新加载 systemd 配置
sudo systemctl daemon-reload

# 重启 Teleport 服务
sudo systemctl restart teleport

# 检查 Teleport 服务状态
sudo systemctl status teleport

# 检测日志
sudo journalctl -fu teleport

如果没问题的话，应该很快就会看到新实例连接成功的信息

点 Next

选择用户

可以测试连接

完成后

可以查看添加成功的资源

可以选择不同的身份连接

连接成功后

问题处理

在安装过程中遇到任何问题，都可以在官方文档：https://goteleport.com/docs/

点 Switvh to Ask AI 切换到 AI模式提问

在这里插入图片描述

例如如何创建账号

或者亚要不要暴露端口，AI 都能给你满意的答案
在这里插入图片描述

参考文档

gravitational/teleport: Certificate authority and access plane for SSH, Kubernetes, web apps, databases and desktops
地址：https://github.com/gravitational/teleport/

Teleport: Easiest, most secure way to access infrastructure | Teleport
地址：https://goteleport.com/

Installing Teleport | Teleport Docs
地址：https://goteleport.com/docs/installation/#docker

Introduce support for Synology NAS · Issue #4754 · gravitational/teleport
地址：https://github.com/gravitational/teleport/issues/4754

杨浦老苏
关注
B-Visit - Visitor Management System:开源| 访客通行证| 访客证| 访客管理系统-开源
05-27
基于Web的微型，简单的开源访客管理系统，用于打印带有照片的访客通行证并提供报告。 您可以有多个进入/退出。
Visitor ID Management System:管理、创建和打印身份证-开源
05-30
打印专业品质证卡所需的一切 使用此解决方案在几分钟内设置好证卡打印系统并开始制作照片 ID — 无需软件专业知识。 它包括快速、经济高效地制作专业品质的识别、安全和商业相关卡片所需的一切。 简单而完整的解决方案 这种易于使用的端到端解决方案使任何规模的组织都能轻松制作高质量的专业 ID 证卡。 这些应用的理想选择： 零售和酒店：忠诚卡、礼品卡和会员卡； 酒店、游轮或其他酒店卡 身份与访问：员工 ID 卡、门禁卡、访客胸卡、名片、库存或货物 ID 卡 政府与教育：学生证、图书证、娱乐设施和会员使用的 ID 卡，身份证，门禁卡会员卡，俱乐部和协会卡学校和图书馆卡访客证章
Java项目:访客管理系统(java+SpringBoot+layUi+JSP+Maven+mysql)
常年被追砍的博客
05-01 1385
源码获取：博客首页 "资源" 里下载！ 项目介绍 springboot搭建的访客管理系统，针对高端基地做严格把控来访人员信息管理，用户后端可以设置多个管理员帐号，给予不同部门的管理层使用，用户管理可以增加/修改内部成员的基本信息，需要到访的人员必须通过进入程序，在访客预约里面提交预约申请，预约后管理员可查询预约记录以及访客出入记录。 环境需要 1.运行环境：最好是java jdk 1.8，我们在这个平台上运行的。其他版本理论上也可以。 2.IDE环境：IDEA，Eclipse,Myeclipse.
PacketFence 开源网络访问控制（NAC）系统教程
gitblog_01039的博客
08-09 636
PacketFence 开源网络访问控制（NAC）系统教程 packetfencePacketFence is a fully supported, trusted, Free and Open Source network access control (NAC) solution. Boasting an impressive feature set including a captive-...
MyIP IP Management System-开源
05-04
MyIP是一个IPv4和IPv6地址管理系统（IPAM）。 支持重叠地址空间（VRF），每个VRF或全局子网的自定义字段，VLAN分配等等！
Teleport:适用于弹性基础设施的特权访问管理解决方案。-开源
06-22
**Teleport: 开源的特权访问管理解决方案** Teleport 是由 Gravitational 公司开发的一个强大且安全的工具，特别设计用于管理弹性基础设施中的特权访问。作为一个开源软件项目，Teleport 提供了灵活的解决方案，使 ...
基于vue3+elementPlus的后台管理系统模板
02-18
Vue3是Vue.js的最新版本，带来了诸多性能优化和开发体验改进，而ElementPlus则是一个基于Vue3的组件库，提供了丰富的UI组件，使得开发者能够快速构建出美观、响应式的后台管理系统。 Vue3的核心改进包括： 1. **...
teleport堡垒机安装、部署（步骤详细，包含保活脚本）
03-23
Teleport是一款开源的身份访问管理(IAM)解决方案，特别适合需要安全远程访问的应用场景。本篇文章将详细讲解如何安装和部署Teleport堡垒机，包括配置Nginx以及设置保活脚本。 首先，我们从`Teleport-安装与配置.pdf...
一个基于vue3和Java构建的通用管理系统源码.zip
07-07
这是一个基于Vue3和Java开发的通用管理系统的源代码包，名为"lingxi-main"。这个系统可能被设计为一个后台管理平台，适用于多种业务场景，如企业内部的资源管理、用户管理、数据统计等。接下来，我们将深入探讨Vue3...
springboot访客管理系统（java源代码+数据库）
01-09
springboot搭建的访客管理系统，针对高端基地做严格把控来访人员信息管理，用户后端可以设置多个管理员帐号，给予不同部门的管理层使用，用户管理可以增加/修改内部成员的基本信息，需要到访的人员必须通过进入程序，在访客预约里面提交预约申请，预约后管理员可查询预约记录以及访客出入记录。
访客管理系统
01-05
访客管理系统
访客系统访客系统
11-16
访客系统访客系统访客系统访客系统访客系统访客系统
公司访客登记系统（JavaBean+Servlet+MySql）
06-03
题目：公司访客登记系统 1、系统介绍：公司访客登记系统可以用来随时记录来访者信息，并能进行查询和统计功能。 2、系统功能性需求： 系统要操作简单方便，让公司内部的所有人都可以使用。大致功能如下： 1） 添加客户信息 2） 修改客户信息 3） 删除客户信息 4） 检索查询客户信息 5） 具有分类统计功能。
探索网络安全新境界：PacketFence 开源网络访问控制系统的强大魅力
最新发布
gitblog_00529的博客
08-09 996
探索网络安全新境界：PacketFence 开源网络访问控制系统的强大魅力 packetfencePacketFence is a fully supported, trusted, Free and Open Source network access control (NAC) solution. Boasting an impressive feature set including a ...
开源网络访问控制(NAC)工具 - PacketFence
weixin_30471561的博客
07-19 664
PacketFence是一个开放源代码的网络访问控制工具，它被积极的维护着并且已经被一些大的机构采用。它能够有效的保证网络的安全，包括从小的到非常大的不同种类的网络。 PacketFence具备的特色功能包括：注册登记新的网络设备，检测非正常的网络活动(与snort配合)，隔离有问题的网络设备，基于已登记注册的和有计划地漏洞扫描。PacketFence 1.9.0版增加了对64位系统的支持，...
超好用的开源 IP 地址管理系统，告别传统 Excel 统计方式！
关注微信公众号【开源Linux】，后台回复『10T』，领取10T学习资源大放送，涵盖Linux、虚拟化、容器、云计算、网络、Python、Go等书籍和视频
05-19 5745
来自：释然IT杂谈一、前言：对于运维管理人员，ip地址进行管理很重要，很多公司都是采用电子文档的形式，以手工更新为主，对ip地址和子网的实际使用情况无法进行有效的实时监控和统计，随着网络变得越来越大，ip设备越来越多，手工IP地址管理将会成为网络管理和扩展的瓶颈。二软件介绍： phpIPAM是一个开源的Web IP地址管理应用程序(IPAM)。其目标是提供轻松，现代...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

杨浦老苏

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值