什么是堡垒机？堡垒机，即在特定的网络环境中，为了保护网络和数据免受外部和内部用户的入侵和破坏，采用各种技术手段对运维人员对网络的访问情况进行监控和记录。对内部服务器、网络设备、安全设备、数据库等设备的操作行为进行集中告警、及时处理和审计判定。总之，堡垒机用于控制谁可以登录哪些资产（事件中的预防和控制），视频记录登录资产后做了什么（事件可追溯）。堡垒机常被称为运维。审计系统，其核心是可控性和审计性。可控是指权限可控，行为可控。权限是可控的，例如工程师即将离职或调动。如果没有统一的权限管理入口，那将是一场噩梦。行为是可控的。例如，我们需要集中禁用某个危险命令。如果没有统一入口，运营难度可想而知。为什么需要堡垒机？堡垒机是从跳板机（也叫前端机）的概念演变而来的。早在2000年左右，一些大中型企业为了集中管理运维人员的远程登录，就会在机房部署一台跳板机。跳板机实际上是一个带有Unix/windows操作系统的服务器。所有运维人员都需要远程登录跳板机，再从跳板机登录其他服务器进行运维操作。但是跳板机并没有实现对运维人员操作行为的控制和审计。在使用跳板机的过程中，仍然会出现因误操作和违规操作而造成的操作事故。一旦发生操作事故，很难快速定位原因和责任人。此外，跳板机存在严重的安全隐患。一旦跳板机系统被黑，后台资源的风险将完全暴露。同时，对于个别资源（如telnet），可以通过跳板完成一定的内部控制，但对于越来越多的特殊资源（ftp、rdp等），就显得力不从心了。人们逐渐认识到跳板机的不足，进而需要更新更好的安全技术理念来实现运维操作管理。需要一个产品能够满足角色管理和授权审批、信息资源访问控制、操作记录和审计、系统变更和维护控制，并生成一些统计报表配合管理规范，不断提高IT内控的合规性.在这些理念的指引下，2005年前后，堡垒机开始以独立产品的形式广泛部署，有效降低了运维风险，使运维运营管理更简单、更安全。堡垒机的设计理念堡垒机主要有4A概念，即认证（Authen）、授权（Authorize）、账户（Account）、审计（Audit）。堡垒机的目标堡垒机的建设目标可以概括为5W，主要是降低运维风险。详情如下：审计：你做了什么？（什么）授权：你能做什么？(Which)Account:你要去哪里？(Where)认证：你是谁？（谁）来源：访问时间？（当）堡垒机的价值集中管理集中权限分配统一认证集中审计数据安全运维高效运维合规风险管控堡垒机原理当前常见堡垒机主要功能架构推荐给你：教你从0搭建跳转服务器，为服务器安全保驾护航！目前常见的堡垒机主要功能分为以下几个模块：1、运维平台RDP/VNC运维；SSH/Telnet运维；SFTP/FTP运维；数据库运维；Web系统运维；远程应用运维；2．管理平台三权分立；身份认证；主机管理；密码保管；运维监控；电子工单；4.控制平台IP防火墙；命令防火墙；访问控制;传输控制；会话阻塞；操作和维护批准；5.审核平台指令记录；文字记录；SQL记录；三权分立的理解：配置、授权、审计三个成员的理解：系统管理员、安全管理员、安全审计员。三名委员的三项权力：取消超级管理员；管理员和审计员必须是不同的人。堡垒机的身份认证堡垒机主要是统一运维入口，所以登录堡垒机必须支持灵活的身份认证方式，比如：1.本地认证本地账号密码认证一般支持强密码策略2.远程认证普遍可用支持第三方AD/LDAP/Radius认证3、双因素认证UsbKey、动态令牌、短信网关、手机APP令牌等4、第三方认证系统OAuth2.0、CAS等堡垒机常见的运维方式是B/S运维：通过浏览器运维。C/S运维：通过客户端软件运维，如Xshell、CRT等。H5运维：可以直接在网页打开远程桌面进行运维。无需安装本地运维工具，只要有浏览器即可对常用协议进行运维操作，支持ssh、telnet、rlogin、rdp、vnc协议。运维自动化场景。堡垒机其他常用功能文件传输：一般登录堡垒机，通过堡垒机传输。使用RDP/SFTP/FTP/SCP/RZ/SZ等传输协议进行传输。细粒度控制：可对接入用户、命令、传输等进行细粒度控制。支持开放API堡垒机的部署方式1.单机部署堡垒机主要部署在旁路，挂在交换机旁边，只要能接入所有设备即可。特定于部署：旁路部署、逻辑串联。不影响现有网络结构。2、HA高可靠部署，旁路部署两台堡垒机，中间有心跳连接同步数据。对外提供一个虚拟IP。部署特点：两台硬件堡垒机，一主一备/提供VIP。当主机出现故障时，备机自动接管服务。3、通过在多个数据中心部署多台堡垒机实现异地同步部署。配置信息在堡垒机之间自动同步。部署特点：多站点部署，远程配置自动同步，运维人员接入本地堡垒机进行管理，不受网络/带宽影响，同时祈求容灾目的4.集群部署（分布式deployment）当需要管理的设备较多时，集群中可以部署n台以上的堡垒机。其中两台堡垒机为主备，另外n-2台堡垒机作为集群节点向主机上传同步数据，整个集群对外提供虚拟IP地址。部署特点：两台硬件堡垒机，一主一备，提供VIP。当master出现故障时，backup会自动接管服务。开源堡垒机产品目前常用的堡垒机有付费和开源两种。收费的有行云管家和纽顿堡垒，jumpserver是开源的。这些类型中的每一种都有其自身的优点和缺点。如何选择，大家可以根据实际场景来判断。原文：https://www.toutiao.com/i6881...作者：猿语
