jumpserver2.3.0

最新推荐文章于 2023-09-05 11:44:32 发布
最新推荐文章于 2023-09-05 11:44:32 发布
阅读量947 收藏 2
点赞数
分类专栏： Linux 文章标签： linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_42506599/article/details/108520427
版权

文章目录

简介

官网
GitHub
哔哩哔哩官方视频
jumpserver2.0发布会

jumpserver是全球首款完全开源的堡垒机，使用GUN GPL v2.0开源协议，是符合4A的专业运维审计系统。

jumpserver使用python/Django进行开发，遵循web2.0规范，配备了业界领先的web terminal解决方案，交互界面美观、用户体验好

jumpserver采纳分布式架构，支持多机房跨区域部署，中心节点提供API，各机房部署登录节点，可横向扩展、无并发访问限制。

jumpserver现已支持管理SSH、Telnet、RDP、VNC协议资产。

作用

jumpserver作为一款开源堡垒机，在jumpserver中方便查看资产的硬件设备规格信息，具备四种能力（也就是上文提到的4A能力）

身份鉴别：防止身份冒用和复用
授权控制：防止内部误操作和权限滥用
账号管理：人员和资产的管理
安全审计：追溯的保障和事故分析的依据

我认为jumpserver在企业中的作用：

1、如果是多个运维人员进行管理一个项目，平时的操作都是xshell方式连接，如果出现误操作后不承认，比较难以追责，jumpserver的录像功能，可以方便事后追究责任。
2、公司的服务器不宜暴露在外网中，所以需要一个jumpserver制定规范化的端口后进行开放端口，用于运维人员登录访问。
（如果是将jumpserver的访问来源设置为外网，则可以实现在家登陆jumpserver，进行操作服务器；但是更规范的方式为 搭建vpn远程到公司，jumpserver设置为内网，其他服务器位于内网中，服务器的sshd只允许jumpserver的22端口访问。）
jumpserver后在操作其他服务器，避免其他服务器暴露在外网中，降低被入侵的风险。并且jumpserver现在已经支持多因子认证，开放jumpserver的服务器在外网中可以安心使用，防止入侵。
3、权限划分，可以在jumpserver中设置开发人员的权限，管控权限防止权限滥用
4、传输文件，个人感觉比较鸡肋，不能实时的跟随所在目录进行传输文件，必须指定一个目录，如果想要的文件不是此目录，还需要手动mv 。只不过可以录像上传、下载文件而已。

协议

JumpServer 现已支持管理 SSH、 Telnet、 RDP、 VNC 协议资产。

原理

在这里插入图片描述
1、用户通过HTTP请求到nginx，nginx的页面到jumpserver
2、用户通过ssh请求到coco，通过api到jumpserver（管理linux机器）
3、用户通过ssh请求到guacamole，通过api调用到jumpserver（管理Windows）
4、用户通过HTTP请求到nginx，nginx转到Luna，通过浏览器调用api到nginx
5、jumpserver端和coco都对接数据库，数据库中存放着用户的数据（可以利用mariadb进行重构和恢复系统）。

架构

LINA：前端模块，负责页面展示。
LUNA：web terminal前端，只提供api。
CORE：管理后台，是核心组件，支持restful api。
COCO/KOKO：提供ssh和web socket接口，连接服务器。
Guacamole：实现RDP功能，支持jumpserver调用
在这里插入图片描述
jumpserver也有分布式部署的，在总公司部署核心节点，其他分公司部署proxy，可以实现统一管理。

安装

安装方式分为传统方式、极速脚本方式、容器方式、分布式方式 安装版本分为开源版和企业版，本文研究的是开源版

脚本方式

环境说明

全新安装的 Centos7 (7.x)
需要连接 互联网
使用 root 用户执行
需要有4G内存

下载文件

cd /opt
yum -y install wget git
git clone --depth=1 https://github.com/jumpserver/setuptools.git
cd setuptools
cp config_example.conf config.conf
vi config.conf

执行安装

./jmsctl.sh install

查看帮助

./jmsctl.sh -h

访问页面
http://ip:80

在这里插入图片描述
在这里插入图片描述

容器方式

docker环境准备

wget -O /etc/yum.repos.d/docker-ce.repo https://download.docker.com/linux/centos/docker-ce.repo
sed -i 's+download.docker.com+mirrors.tuna.tsinghua.edu.cn/docker-ce+' /etc/yum.repos.d/docker-ce.repo
yum install docker-ce -y
systemctl enable docker
systemctl start docker

配置镜像加速

sudo mkdir -p /etc/docker
sudo tee /etc/docker/daemon.json <<-'EOF'
{
  "registry-mirrors": ["https://h8h8tgzq.mirror.aliyuncs.com"]
}
EOF
sudo systemctl daemon-reload
sudo systemctl restart docker

Linux 生成随机加密秘钥

if [ ! "$SECRET_KEY" ]; then
  SECRET_KEY=`cat /dev/urandom | tr -dc A-Za-z0-9 | head -c 50`;
  echo "SECRET_KEY=$SECRET_KEY" >> ~/.bashrc;
  echo $SECRET_KEY;
else
  echo $SECRET_KEY;
fi  
if [ ! "$BOOTSTRAP_TOKEN" ]; then
  BOOTSTRAP_TOKEN=`cat /dev/urandom | tr -dc A-Za-z0-9 | head -c 16`;
  echo "BOOTSTRAP_TOKEN=$BOOTSTRAP_TOKEN" >> ~/.bashrc;
  echo $BOOTSTRAP_TOKEN;
else
  echo $BOOTSTRAP_TOKEN;
fi

运行docker部署jumpserver

mkdir  -p /opt/jumpserver/data
mkdir  -p /opt/jumpserver/mysql

docker run --name jms_all -d \
  -p 80:80 -p 2222:2222 \
  -e SECRET_KEY=$SECRET_KEY \
  -e BOOTSTRAP_TOKEN=$BOOTSTRAP_TOKEN \
  -v /opt/jumpserver/data:/opt/jumpserver/data \
  -v /opt/jumpserver/mysql:/var/lib/mysql \
  --privileged=true \
  jumpserver/jms_all:v2.3.1

访问

浏览器访问: http://<容器所在服务器IP>
SSH 访问: ssh -p 2222 <容器所在服务器IP>
XShell 等工具请添加 connection 连接, 默认 ssh 端口 2222
默认管理员账户 admin 密码 admin

传统方式

分布式方式

配置

常用文件

文件名作用
/opt/jumpserver/config.ymljumpserver配置文件
/opt/jumpserver/tmpjumpserver组件服务的pid
/opt/jumpserver/config.ymljumpserver配置文件
/opt/setuptools/config.confjumpserver安装信息文件

使用前须知

存储规划
硬盘容量主要用于存储审计录像，所以容量的选择需要根据用户资产数量以及使用程度来评估，建议最好200G以上，以100台Linux虚拟机资产为例，正常的日常使用，200G可以存储5-6个月的录像。
存储空间评估标准
每小时产生录像大小（Linux和Windows平均值）10MB
每天操作时限 4小时
保留期限 30天
存储空间 109104*30=127GB
主要是用于录像存储

端口
22 SSH
80,880 jumpserver的web服务（Nginx） 根据用户需求可以修改
2222 jumpserver的终端连接端口 给第三方远程终端工具（xshell，putty等）使用
5000 Koko服务端口
8081 guacamole服务端口
8070
3306 mariadb数据库端口
6379 Redis
详细见图
（注释：参考Nginx的配置文件利于分析端口作用）

在这里插入图片描述
docker容器运行 guacamole组件、Koko组件

目录
/opt/jumpserver/data/ 录像位置
/opt/jumpserver/data/ 静态资源

概念区分
用户列表中创建用户

jumpserver平台用户，并不是登录Linux服务器的用户

资产管理中的管理用户

管理用户是资产（被控服务器）上的 root，或拥有 NOPASSWD: ALL sudo 权限的用户， JumpServer 使用该用户来 `推送系统用户`、`获取资产硬件信息` 等。

资产管理中的系统用户

可以理解为登录资产用户。单来说是用户使用自己的用户名登录 JumpServer，JumpServer 使用系统用户登录资产。 系统用户创建时，如果选择了自动推送，JumpServer 会使用 Ansible 自动推送系统用户到资产中。

使用

1、系统设置

1、基础设置

在这里插入图片描述

浏览器中 访问 liushiya.com
在这里插入图片描述
2、邮件设置
在这里插入图片描述
我的授权码：JTBALJJIIUKAYHGR
3、邮件内容设置
在这里插入图片描述
注意：只要将邮件设置完成再创建用户才会发送邮件 提醒修改密码
在这里插入图片描述
4、LDAP设置

5、安全设置
勾选 多因子认证以及设置限制登陆失败次数，防止暴力破解
在这里插入图片描述
重新登录时会提示要求输入admin用户的密码
在这里插入图片描述
要求安装手机端令牌应用
在这里插入图片描述
在这里插入图片描述
问题
问题在于 设置时 是在系统设置----> 安全设置中进行勾选
但是取消时 却不是简单取消勾选就可以的
而是需要
1、系统设置----> 安全设置中进行取消勾选
2、首页右上角administrator用户 ----> 个人信息 ----> 禁用 多因子认证
3、重新登录就不会再要求输入认证码了。
在这里插入图片描述

![在这里插入图片描述](https://img-blog.csdnimg.cn/20200917224751770.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MjUwNjU5OQ==,size_16,color_FFFFFF,t_70#pic_center

2、创建用户

1、用户管理 —> 用户列表 ----> 创建
在这里插入图片描述
解释：此创建的用户为登录jumpserver的用户，并非是操作Linux系统的用户，仅用于登录jumpserver而已。

2、资产管理 ----> 管理用户 ------> 创建管理用户
此管理用户是指Linux系统上的真实存在的用户，用于推送系统用户、获取资产硬件信息等
在这里插入图片描述
3、创建资产
在这里插入图片描述

4、更新硬件信息（更新后 如果是正确可以连接但是没有显示出来硬件信息，请刷新浏览器）
在这里插入图片描述

3、创建资产

此步骤需要在完成第二步的创建管理用户之后操作

资产管理 ----> 资产列表 ----> 创建

在这里插入图片描述

测试资产服务器是否可以连接
正常可以连接
在这里插入图片描述
不可以连接
在这里插入图片描述
为了实现安全性 在配置完成后 根据资产服务器列表，进行sshd的访问控制（只允许jumpserver的端口进行远程连接，拒绝其他IP地址的连接）
具体sshd的远程连接控制 查看博客 《sshd服务的白名单和黑名单》

4、资产授权

1、创建系统用户
资产管理 ----> 系统用户 ----> 创建系统用户
（系统用户是登录真实服务器时的用户，不是jumpserver的用户）
在这里插入图片描述
系统用户创建完成后 点击系统用户，添加资产
在这里插入图片描述
先选择推送，在选择测试

2、资产授权
权限管理 ----> 资产授权 ----> 创建资产授权规则
在这里插入图片描述
提交后30秒的时间，就可以使用了。

会话管理-----> web终端 登录即可了。

注释：jumpserver的用户列表的用户和资产管理的系统用户是相互绑定的，因为资产授权是将系统用户和资产进行绑定，而系统用户又需要登录jumpserver的用户才能使用，所以这三者之间是相互绑定的（jumpserver用户----系统用户----被管理的资产）

安全建议

Jumpserver 对外需要开放 80 和 2222 端口，如果你配置了 ssl 还需要开放 443 端口, 8080 端口开放给 koko 和 guacamole 组件访问

JumpServer 所在服务器操作系统应该升级到最新
JumpServer 依赖的软件升级到最新版本
服务器、数据库、redis 等依赖组件请勿使用弱口令密码
不推荐关闭 firewalld 和 selinux
只开放必要的端口，必要的话请通过 vpn 或者 sslvpn 访问 JumpServer
如果必须开放到外网使用，你应该部署 web 应用防火墙做安全过滤
请部署 ssl 证书通过 https 协议来访问 JumpServer
JumpServer 不要使用弱口令密码，应立即改掉默认的 admin 密码
推荐开启 MFA 功能，避免因密码泄露导致的安全问题

升级

卸载

!!!此操作不可逆, 请确认已经备份好数据库
确保已经停止 jms koko guacamole 进程
确定数据已经处理完毕
请自行替换文中相关路径为你的实际环境路径

1、 正常部署卸载

rm -rf /opt/jumpserver
rm -rf /opt/koko /opt/koko
rm -rf /opt/docker-guacamole
rm -rf /opt/lina
rm -rf /opt/luna
rm -rf /opt/py3
rm -rf /config
rm -rf /etc/nginx/conf.d/jumpserver.conf

2、脚本部署卸载

cd /opt/setuptools
./jmsctl.sh uninstall

3、docker 组件部署卸载

rm -rf /opt/jumpserver
rm -rf /opt/py3
rm -rf /etc/nginx/conf.d/jumpserver.conf
docker rm jms_koko
docker rm jms_guacamole
docker rmi jumpserver/jms_koko:v2.3.1
docker rmi jumpserver/jms_guacamole:v2.3.1
rm -rf /usr/lib/systemd/system/jms.service
rm -rf /opt/start_jms.sh
rm -rf /opt/stop_jms.sh

删除数据库

mysql -uroot
drop database jumpserver;
exit

清空 redis

redis-cli -h 127.0.0.1
flushall
exit

问题

1、用户登录时出现问题

error: dial tcp 10.0.0.102:22: i/o timeout
在这里插入图片描述
在这里插入图片描述

解决

jumpserver的GitHub反馈
也是描述了相同的问题
使用docker方式部署没有这个问题，
使用脚本方式安装确实会出现这个问题的。

脚本方式版本信息 2.2.3
在这里插入图片描述

docker方式版本信息 2.3.0
在这里插入图片描述

2、查看资产用户列表时要输入MFA认证

在这里插入图片描述

修改用户的FTP默认目录

热气球、
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Layui 2.3.0
10-12
Layui是一款采用自身模块规范编写的国产前端UI框架，遵循原生HTML/CSS/JS的书写与组织形式，门槛极低，拿来即用，其外在极简，却又不失饱满的内在，体积轻盈，组件丰盈，从核心代码
JumpServer
m0_52970706的博客
12-21 772
JumpServer
【Linux 的开胃小菜】JumpServer来袭,开源堡垒机安装及使用教程
秋刀鱼的博客
04-06 3763
介绍 JumpServer 是全球首款开源的堡垒机，使用 GNU GPL v2.0 开源协议，是符合 4A 规范的运维安全审计系统。 JumpServer 采纳分布式架构，支持多机房跨区域部署，支持横向扩展，无资产数量及并发限制。 特色优势 开源：零门槛，线上快速获取和安装； 分布式：轻松支持大规模并发访问； 无插件：仅需浏览器，极致的 Web Terminal 使用体验； 多云支持：一套系统，同时管理不同云上面的资产； 云端存储：审计录像云端存储，永不丢失； 多租户：一套系统，多个子公司和部..
jumpserver单节点模式改高可用架构
hello_250的博客
03-23 518
jumpserver 高可用改造
jumpserver 安装
lkylinux
03-22 800
建议使用 centos 6 mini环境快速安装，安装过一些软件后，其中可能会安装一些不兼容的python库，如pycrypto, django, 会影响快速安装 一、环境 CentOS 6.x x86_64 mini service iptables stop 关闭SELinux的方法： 修改/etc/selinux/config文件中的SELINUX=”” 为 disabled ，然
Python调用Jumpserver的Api接口增删改查
南宫乘风-Linux运维-虚拟化容器-Python编程 ownit.top
09-05 1609
Jumpserver是一种堡垒机系统，它提供了一种安全且集中的方式来管理和控制用户对服务器的访问权限。Jumpserver可以帮助企业实现统一认证、审计日志记录、权限管理等功能，从而提高网络安全性。
APKTool _2.3.0
11-08
APKTool _2.3.0 ，分拆apk神奇 ，在大神的基础上解决bug后，修改的 亲测可以 请放心使用
NPOI 2.3.0
11-29
NPOI最新版 v2.3.0版本.............................................................
tensorflowCpu2.3.0
11-11
tensorflowCup版本，不依赖与显卡和cuda库，在vs2019下编译生成。
apktool2.3.0
12-13
Apktool 2.3.0 版本反编译工具，使用方法请自行搜索命令。
开源堡垒机jumpserver的配置和使用
weixin_30375427的博客
06-13 816
开源跳板机jumpserver配置和使用 http://docs.jumpserver.org/zh/docs/quick_start.html#id9 系统设置 基本设置 # 修改url 的"localhost"为你的实际url地址, 否则邮件收到的地址将为"localhost"也无法创建新用户 邮件设置 # 点击页面上边的"邮件设置", 进入邮件设置...
安装JumpServer堡垒机以及使用
weixin_69010236的博客
03-31 1123
用户组是用于资产授权，当某个资产对一个用户组授权后，这个用户组下面所有用户都可以使用这个资产。使用admin用户登录jumpserver，添加节点，节点不能重名，右击节点可以添加、删除和重命名节点，以及进行资产相关的操作。注：查看操作历史点击左上角的切换，切换到审计台，点击会话审计，在里面就可以查看操作记录。点击奇迹暖暖-服务器这个节点，点击创建的11服务器 等待一会就会连接成功。再次登录，使用新修改的密码进入，进去的页面是这样的。点击用户管理---查看用户组---添加用户组。
学习笔记：基于python的JumpServer api自动化操作开发
cykablyta的博客
08-19 3393
python：JumpServer api自动化操作开发
Jumpserver API调用 python
清风徐来的博客
12-01 1956
Jumpserver API调用 使用pandas 作为数据筛选工具 import requests import datetime import uuid from httpsig.requests_auth import HTTPSignatureAuth from pypinyin import lazy_pinyin import json import panda...
linux 如何指定nologin用户执行命令
杨杨杨杨杨
12-08 1711
在linux中建立网站时，我们一般分配一个www之类的用户给网站应用程序。 如果我们使用root或者具有管理员权限的账号在网站目录下去创建文件时，会遇到各种权限问题。 这时我们可以切换到www用户，这类用户一般是nologin，不允许登录。 如果我们su www或者sudo www,切换到www用户时，会出错。 网上解决办法时修改/etc/passwd文件 nologin改为bin/bash，这样www用户可以登录服务器， 比较危险。可以通过以下办法使用www用户执行命令 方法1. 为了安全，使用nolog
jumpserver 节点部署_携程 Jumpserver 堡垒机部署与运营实战
weixin_39794734的博客
12-18 156
原标题：携程 Jumpserver 堡垒机部署与运营实战编者注：以下内容根据携程旅行网系统保障中心云平台研发部高级经理熊辉于8月24日在“2019 Jumpserver 堡垒机 Meetup · 上海站”的演讲内容整理而成。携程旅行网系统保障中心云平台研发部 熊辉 从1999年正式创立至今，携程旅行网(以下简称为携程)在过去的20年里实践并见证了旅行行业的变迁。作为中国在线旅游业的开创者之一，携程...
jumpserver 节点部署_Jumpserver部署与应用
weixin_39946266的博客
12-18 218
说句大白话：就是监控运维人员、开发人员对服务器的命令操作。出了事故能找到具体责任人。体系化的指令审计规则，让运维操作安全可控。支持多重身份认证，让非法访问无所遁形。主机账号统一管理，SSH密钥对一键批量下发。使用Python/Django进行开发,遵循Web2.0规范,配备了业界领先的Web Terminal解决方案,交互界面美观、用户体验好。采纳分布式架构,支持多机房跨区域部署,中心节点提供AP...
三、JumpServer堡垒机用户使用手册
SpringLei
09-07 4911
本文主要介绍JumpServer堡垒机的用户常用功能，包括使用ssh、web方式登录管理服务器、服务器文件上传、批量命令管理服务器等。
基于jumpserver堡垒机使用sftp传输文件
热门推荐
qq_39314099的博客
04-15 2万+
公司服务器一般都是需要通过跳板机进行登录： 传输文件可以用sftp命令，但是sftp命令也是和服务器打通一个传输文件的通道，那么想要往服务器上传文件，首先需要打通jumpserver的通道，也就是说需要sftp到跳板机， 跳上来以后，由于我只有一个服务器的访问权限，所以使用 ls 命令只能看到一个文件夹，进入和服务器 id 同名的文件夹，即可传文件，传到这个目录的文件相对应的是在相应服...
emqttd2.3.0
最新发布
12-15
根据提供的引用内容，无法确定您具体想了解emqttd2.3.0的哪方面内容。MQTT是一种消息协议，而emqttd是一个开源的MQTT消息服务器，它实现了MQTT V3.1和V3.1.1协议，支持多种操作系统和语言。emqttd2.3.0是emqttd的一...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值