架构系列（四）跳板机加固安全，使用镜像快速动态扩展

首语

之前博主介绍了VPC等组件，搭建自己的内网机房。那么，所有服务器都不允许有外网IP，我们怎么登陆服务器？

跳板机以及堡垒机，在整个内网集群中是非常重要的一环。跳板机是唯一一个可以有外网IP（或者挂负载均衡器，或者打通与公司的内网网络），可以登陆的机器，通过跳板机，登陆到不同的子网中的机器。

跳板机

我们利用不同的跳板机，连接不同的内网机器，做到即便只有内网IP，也可以登陆服务器（跳板机需要和指定的内网交换机网络互通）

所有服务器（除了跳板机之外）均不允许对外22端口ssh，只可以对跳板机开发22 ssh

• 公司与云网络不打通（vpn、高速通道），这样的情况下，跳板机可以设置外网ip，并且指定白名单入方向只能是公司的网络出口，其余所有服务器取消外网IP以及22端口ssh（除了对跳板机开放）
• 公司与云网络打通，所有服务器全部取消外网IP，指定跳板机开启ssh 22端口
• 所有ssh方式均为pem方式，而不是账号密码。当然，pem+账号密码也是极好的。
• 可以指定免密码信任（在博主大数据系列博客有介绍），让所有的服务器信任跳板机

镜像

动态扩展

当服务器负载不够、当快速搭建相同环境的服务器、当所有服务器都要信任跳板机（jenkins）等等，我们肯定不能拉一台服务器，然后搭建环境、配置密钥。这样工程量是巨大的。

首先就想到了docker，但是，在使用云的情况下，其实用docker反而复杂了（一般情况下，只有私有云、公司自己有自己的infra的时候，可以使用docker做集群的管理）。其实阿里云提供了镜像组件。

创建镜像

镜像的含义大家都明白。当设定镜像后，在拉服务器的时候可以直接指定镜像，这样拉取的服务器所有的信息均为打镜像的服务器的配置

使用镜像

创建服务器的时候，选择自定义镜像。 这样，只需要1分钟，就可以快速的动态扩展服务器了

结束语

在从0到1搭建整套网络架构的时候，如果采用云方案，那么镜像是一个非常好用的小技巧。

• 前端环境
• 后端环境
• 自动化环境
• 跳板机

这些都做好镜像之后，立即开始搭建。非常方便