搜索

[21913] 2021-04-28_(科普)堡垒机的基本原理与部署方式

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2021-04-28_(科普)堡垒机的基本原理与部署方式 ( 科 普 ) 堡 垒 机 的 基 本 原 理 与 部 署 方 式 S p r i n g F o r A l l 社 区   L e m o n S e c   2 0 2 1 - 0 4 - 2 8 本 文 来 源 ： h t t p : / / 3 t 7 . n e t / b 6 e d a 堡 垒 机 简 介 堡 垒 机 简 介 堡 垒 机 是 什 么 ？ 堡 垒 机 是 什 么 ？ 堡 垒 机 ， 即 在 一 个 特 定 的 网 络 环 境 下 ， 为 了 保 障 网 络 和 数 据 不 受 来 自 外 部 和 内 部 用 户 的 入 侵 和 破 坏 ， 而 运 用 各 种 技 术 手 段 监 控 和 记 录 运 维 人 员 对 网 络 内 的 服 务 器 、 网 络 设 备 、 安 全 设 备 、 数 据 库 等 设 备 的 操 作 行 为 ， 以 便 集 中 报 警 、 及 时 处 理 及 审 计 定 责 。 [ 百 度 百 科 解 释 ] 堡 垒 机 目 前 也 有 很 多 叫 运 维 审 计 系 统 。 简 单 总 结 一 句 话 ： 堡 垒 机 是 用 来 控 制 哪 些 人 可 以 登 录 哪 些 资 产 （ 事 先 防 范 和 事 中 控 制 ） ， 以 及 录 像 记 录 登 录 资 产 后 做 了 什 么 事 情 （ 事 后 溯 源 . ） 堡 垒 机 的 核 心 是 可 控 及 审 计 可 控 及 审 计 。 可 控 是 指 权 限 可 控 、 行 为 可 控 。 权 限 可 控 ， 比 如 某 个 工 程 师 要 离 职 或 要 转 岗 了 。 如 果 没 有 一 个 统 一 的 权 限 管 理 入 口 ， 是 一 场 梦 魇 。 行 为 可 控 ， 比 如 我 们 需 要 集 中 禁 用 某 个 危 险 命 令 ， 如 果 没 有 一 个 统 一 入 口 ， 操 作 的 难 度 可 想 而 知 。 堡 垒 机 的 由 来 ： 堡 垒 机 的 由 来 ： 堡 垒 机 由 来 图 ： 堡 垒 机 工 作 原 理 堡 垒 机 是 从 跳 板 机 （ 也 叫 前 置 机 ） 的 概 念 演 变 过 来 的 。 早 在 2 0 0 0 年 左 右 的 时 候 ， 一 些 中 大 型 企 业 为 了 能 对 运 维 人 员 的 远 程 登 录 进 行 集 中 管 理 ， 会 在 机 房 部 署 一 台 跳 板 机 。
跳 板 机 其 实 就 是 一 台 u n i x / w i n d o w s 操 作 系 统 的 服 务 器 。 所 有 运 维 人 员 都 需 要 先 远 程 登 录 跳 板 机 ， 然 后 从 跳 板 机 登 录 其 他 服 务 器 中 进 行 运 维 操 作 。 随 着 技 术 和 需 求 的 发 展 ， 越 来 越 多 的 客 户 需 要 对 运 维 操 作 进 行 审 计 。 因 此 ， 堡 垒 机 应 运 而 生 。 堡 垒 机 的 发 展 ： 堡 垒 机 的 发 展 ： 堡 垒 机 的 发 展 大 致 经 历 了 三 个 方 面 ： 1 .   工 具 时 代 主 要 是 作 为 跳 板 机 的 运 维 工 具 2 .   场 景 化 时 代 自 动 运 维 、 自 动 改 密 、 工 单 、 应 用 中 心 3 .   云 计 算 时 代 云 资 产 平 滑 接 入 、 V P C 、 数 据 库 运 维 、 A I 运 维 推 荐 、 云 中 心 。 为 什 么 需 要 堡 垒 机 ？ 为 什 么 需 要 堡 垒 机 ？ 这 是 因 为 在 运 维 方 面 存 在 以 下 安 全 挑 战 ： 1 .   集 中 管 理 难 主 机 分 散 （ 多 中 心 ， 云 主 机 ） ； 运 维 入 口 分 散 ， 办 公 网 络 、 家 庭 网 络 均 需 要 访 问 。 2 .   权 限 管 理 难 账 号 多 人 共 享 ； 高 权 限 账 号 滥 用 ； 越 权 操 作 、 误 操 作 等 3 .   第 三 方 外 包 运 维 外 包 ； 账 号 泄 露 ； 操 作 不 透 明 ； 无 审 计 ； 发 生 事 故 ， 难 以 定 位 定 责 4 .   法 律 法 规
企 业 运 维 需 要 监 控 ； 等 级 保 护 要 求 ； 合 规 性 要 求 ； 设 计 理 念 ： 设 计 理 念 ： 堡 垒 机 主 要 是 有 4 A 理 念 。 即 认 证 （ 认 证 （ A u t h e n ） 、 授 权 （ ） 、 授 权 （ A u t h o r i z e ） 、 账 号 （ ） 、 账 号 （ A c c o u n t ） 、 审 计 （ ） 、 审 计 （ A u d i t ） ） 为 核 心 。 堡 垒 机 的 目 标 是 什 么 ？ 堡 垒 机 的 目 标 是 什 么 ？ 堡 垒 的 建 设 目 标 可 以 概 括 为 5 “ W ” ， 主 要 是 为 了 降 低 运 维 风 险 。 具 体 如 下 ： 1 .   审 计 ： 你 做 了 什 么 ？ （ W h a t ） 2 .   授 权 ： 你 能 做 哪 些 ？ （ W h i c h ） 3 .   账 号 ： 你 要 去 哪 ？ （ W h e r e ） 4 .   认 证 ： 你 是 谁 ？ （ W h o ） 5 .   来 源 ： 访 问 时 间 ？ （ W h e n ） 堡 垒 机 的 价 值 ： 堡 垒 机 的 价 值 ： 1 .   集 中 管 理 2 .   集 中 权 限 分 配 3 .   统 一 认 证 4 .   集 中 审 计 5 .   数 据 安 全 6 .   运 维 高 效 7 .   运 维 合 规 8 .   风 险 管 控 堡 垒 机 的 分 类 ： 堡 垒 机 的 分 类 ： 堡 垒 机 分 为 商 业 堡 垒 机 和 开 源 堡 垒 ， 开 源 软 件 毫 无 疑 问 将 是 未 来 的 主 流 。 J u m p s e r v e r   是 全 球 首 款 完 全 开 源 的 堡 垒 机 ， 是 符 合   4 A   的 专 业 运 维 审 计 系 统 ， G i t H u b   S t a r   数 超 过   1 . 1   万 ， S t a r   趋 势 就 可 以 看 出 其 受 欢 迎 程 度 。 堡 垒 机 原 理 堡 垒 机 原 理
目 前 常 见 堡 垒 机 的 主 要 功 能 架 构 ： 目 前 常 见 堡 垒 机 的 主 要 功 能 架 构 ： 功 能 架 构 目 前 常 见 堡 垒 机 主 要 功 能 分 为 以 下 几 个 模 块 ： 运 维 平 台 R D P / V N C 运 维 ； S S H / T e l n e t 运 维 ； S F T P / F T P 运 维 ； 数 据 库 运 维 ； W e b 系 统 运 维 ； 远 程 应 用 运 维 ； 管 理 平 台 三 权 分 立 ； 身 份 鉴 别 ； 主 机 管 理 ； 密 码 托 管 ； 运 维 监 控 ； 电 子 工 单 ； 自 动 化 平 台 自 动 改 密 ； 自 动 运 维 ； 自 动 收 集 ； 自 动 授 权 ； 自 动 备 份 ； 自 动 告 警 ； 控 制 平 台 I P 防 火 墙 ； 命 令 防 火 墙 ； 访 问 控 制 ； 传 输 控 制 ； 会 话 阻 断 ； 运 维 审 批 ； 审 计 平 台 命 令 记 录 ； 文 字 记 录 ； S Q L 记 录 ； 文 件 保 存 ； 全 文 检 索 ； 审 计 报 表 ；
三 权 分 立 ： 三 权 的 理 解 ： 配 置 ， 授 权 ， 审 计 三 员 的 理 解 ： 系 统 管 理 员 ， 安 全 保 密 管 理 员 ， 安 全 审 计 员 三 员 之 三 权 ： 废 除 超 级 管 理 员 ； 三 员 是 三 角 色 并 非 三 人 ； 安 全 保 密 管 理 员 与 审 计 员 必 须 非 同 一 个 人 。 堡 垒 机 的 身 份 认 证 ： 堡 垒 机 的 身 份 认 证 ： 堡 垒 机 主 要 就 是 为 了 做 统 一 运 维 入 口 ， 所 以 登 录 堡 垒 机 就 支 持 灵 活 的 身 份 认 证 方 式 ： 本 地 认 证 ： 本 地 账 号 密 码 认 证 ， 一 般 支 持 强 密 码 策 略 远 程 认 证 ： 一 般 可 支 持 第 三 方 A D / L D A P / R a d i u s 认 证 双 因 子 认 证 ： U s b K e y 、 动 态 令 牌 、 短 信 网 关 、 手 机 A P P 令 牌 等 第 三 方 认 证 系 统 ： O A u t h 2 . 0 、 C A S 等 。 堡 垒 机 的 运 维 方 式 常 见 有 以 下 几 种 ： 堡 垒 机 的 运 维 方 式 常 见 有 以 下 几 种 ： B / S 运 维 ： 通 过 浏 览 器 运 维 。 C / S 运 维 ： 通 过 客 户 端 软 件 运 维 ， 比 如 X s h e l l ， C R T 等 。 H 5 运 维 ： 直 接 在 网 页 上 可 以 打 开 远 程 桌 面 ， 进 行 运 维 。 无 需 安 装 本 地 运 维 工 具 ， 只 要 有 浏 览 器 就 可 以 对 常 用 协 议 进 行 运 维 操 作 ， 支 持 s s h 、 t e l n e t 、 r l o g i n 、 r d p 、 v n c 协 议 网 关 运 维 ： 采 用 S S H 网 关 方 式 ， 实 现 代 理 直 接 登 录 目 标 主 机 ， 适 用 于 运 维 自 动 化 场 景 。 堡 垒 机 其 他 常 见 功 能 ： 堡 垒 机 其 他 常 见 功 能 ： 文 件 传 输 ： 一 般 都 是 登 录 堡 垒 机 ， 通 过 堡 垒 机 中 转 。 使 用 R D P / S F T P / F T P / S C P / R Z / S Z 等 传 输 协 议 传 输 。 细 粒 度 控 制 ： 可 以 对 访 问 用 户 、 命 令 、 传 输 等 进 行 精 细 化 控 制 。 支 持 开 放 的 A P I 堡 垒 机 常 见 部 署 方 式 堡 垒 机 常 见 部 署 方 式
单 机 部 署 ： 单 机 部 署 ： 堡 垒 机 主 要 都 是 旁 路 部 署 ， 旁 挂 在 交 换 机 旁 边 ， 只 要 能 访 问 所 有 设 备 即 可 。 部 署 特 定 ： 旁 路 部 署 ， 逻 辑 串 联 。 不 影 响 现 有 网 络 结 构 。 H A 高 可 靠 部 署 ： 高 可 靠 部 署 ： 旁 路 部 署 两 台 堡 垒 机 ， 中 间 有 心 跳 线 连 接 ， 同 步 数 据 。 对 外 提 供 一 个 虚 拟 I P 。 部 署 特 点 ： 两 台 硬 件 堡 垒 机 ， 一 主 一 备 / 提 供 V I P 。 当 主 机 出 现 故 障 时 ， 备 机 自 动 接 管 服 务 。 异 地 同 步 部 署 模 式 ： 异 地 同 步 部 署 模 式 ： 通 过 在 多 个 数 据 中 心 部 署 多 台 堡 垒 机 。 堡 垒 机 之 间 进 行 配 置 信 息 自 动 同 步 。 部 署 特 点 ： 多 地 部 署 ， 异 地 配 置 自 动 同 步 运 维 人 员 访 问 当 地 的 堡 垒 机 进 行 管 理 不 受 网 络 / 带 宽 影 响 ， 同 时 祈 祷 灾 备 目 的 集 群 部 署 （ 分 布 式 部 署 ） ： 集 群 部 署 （ 分 布 式 部 署 ） ： 当 需 要 管 理 的 设 备 数 量 很 多 时 ， 可 以 将 n 多 台 堡 垒 机 进 行 集 群 部 署 。 其 中 两 台 堡 垒 机 一 主 一 备 ， 其 他 n - 2 台 堡 垒 机 作 为 集 群 节 点 ， 给 主 机 上 传 同 步 数 据 ， 整 个 集 群 对 外 提 供 一 个 虚 拟 I P 地 址 。 部 署 特 点 ： 两 台 硬 件 堡 垒 机 ， 一 主 一 备 、 提 供 V I P 当 主 机 出 现 故 障 时 ， 备 机 自 动 接 管 服 务 。
参 考 资 料 ： 三 权 分 立 ： h t t p s : / / b l o g . c s d n . n e t / c h e l p / a r t i c l e / d e t a i l s / 4 2 0 6 2 4 8 9 堡 垒 机 是 干 什 么 的 ？ h t t p s : / / w w w . z h i h u . c o m / q u e s t i o n / 2 1 0 3 6 5 1 1 推 荐 链 接 ： 【 堡 垒 机 测 评 】 关 于 纽 盾 堡 垒 机 、 j u m p s e r v e r 堡 垒 机 、 行 云 管 家 堡 垒 机 的 使 用 对 比 ： h t t p s : / / z h u a n l a n . z h i h u . c o m / p / 1 1 4 6 7 7 8 0 6 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理