搜索

[26336] 2020-12-23_什么是堡垒机？为什么需要堡垒机？

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2020-12-23_什么是堡垒机？为什么需要堡垒机？ 什 么 是 堡 垒 机 ？ 为 什 么 需 要 堡 垒 机 ？ 猿 话   L i n u x 学 习   2 0 2 0 - 1 2 - 2 3 来 自 ： 今 日 头 条 ， 作 者 ： 猿 话 来 自 ： 今 日 头 条 ， 作 者 ： 猿 话 链 接 ： 链 接 ： h t t p s : / / w w w . t o u t i a o . c o m / i 6 8 8 1 4 6 2 7 0 0 2 2 9 3 2 9 4 2 1 什 么 是 堡 垒 机 什 么 是 堡 垒 机 堡 垒 机 ， 即 在 一 个 特 定 的 网 络 环 境 下 ， 为 了 保 障 网 络 和 数 据 不 受 来 自 外 部 和 内 部 用 户 的 入 侵 和 破 坏 ， 而 运 用 各 种 技 术 手 段 监 控 和 记 录 运 维 人 员 对 网 络 内 的 服 务 器 、 网 络 设 备 、 安 全 设 备 、 数 据 库 等 设 备 的 操 作 行 为 ， 以 便 集 中 报 警 、 及 时 处 理 及 审 计 定 责 。 用 一 句 话 来 说 ， 堡 垒 机 就 是 用 来 后 控 制 哪 些 人 可 以 登 录 哪 些 资 产 （ 事 先 防 范 和 事 中 控 制 ） ， 以 及 录 像 记 录 登 录 资 产 后 做 了 什 么 事 情 （ 事 溯 源 ） 堡 垒 机 很 多 时 候 也 叫 运 维 审 计 系 统 ， 它 的 核 心 是 可 控 及 审 计 。 可 控 是 指 权 限 可 控 、 行 为 可 控 。 权 限 可 控 ， 比 如 某 个 工 程 师 要 离 职 或 要 转 岗 了 。 如 果 没 有 一 个 统 一 的 权 限 管 理 入 口 ， 是 一 场 梦 魇 。 行 为 可 控 ， 比 如 我 们 需 要 集 中 禁 用 某 个 危 险 命 令 ， 如 果 没 有 一 个 统 一 入 口 ， 操 作 的 难 度 可 想 而 知 。 为 什 么 需 要 堡 垒 机 为 什 么 需 要 堡 垒 机 堡 垒 机 是 从 跳 板 机 （ 也 叫 前 置 机 ） 的 概 念 演 变 过 来 的 。 早 在 2 0 0 0 年 左 右 ， 一 些 中 大 型 企 业 为 了 能 对 运 维 人 员 的 远 程 登 录 进 行 集 中 管 理 ， 会 在 机 房 部 署 一 台 跳 板 机 。 跳 板 机 其 实 就 是 一 台 u n i x / w i n d o w s 操 作 系 统 的 服 务 器 ， 所 有 运 维 人 员 都 需 要 先 远 程 登 录 跳 板 机 ， 然 后 再 从 跳 板 机 登 录 其 他 服 务 器 中 进 行 运 维 操 作 。 但 跳 板 机 并 没 有 实 现 对 运 维 人 员 操 作 行 为 的 控 制 和 审 计 ， 使 用 跳 板 机 过 程 中 还 是 会 有 误 操 作 、 违 规 操 作 导 致 的 操 作 事 故 ， 一 旦 出 现 操 作 事 故 很 难 快 速 定 位 原 因 和 责 任 人 。 此 外 ， 跳 板 机 存 在 严 重 的 安 全 风 险 ， 一 旦 跳 板 机 系 统 被 攻 入 ， 则 将 后 端 资 源 风 险 完 全 暴 露 无 遗 。 同 时 ， 对 于 个 别 资 源 （ 如 t e l n e t ） 可 以 通 过 跳 板 机 来 完 成 一 定 的 内 控 ， 但 是 对 于 更 多 更 特 殊 的 资 源 （ f t p 、 r d p 等 ） 来 讲 就 显 得 力 不 从 心 了 。 人 们 逐 渐 认 识 到 跳 板 机 的 不 足 ， 进 而 需 要 更 新 、 更 好 的 安 全 技 术 理 念 来 实 现 运 维 操 作 管 理 。 需 要 一 种 能 满 足 角 色 管 理 与 授 权 审 批 、 信 息 资 源 访 问 控 制 、 操 作 记 录 和 审 计 、 系 统 变 更 和 维 护 控 制 要 求 ， 并 生 成 一 些 统 计 报 表 配 合 管 理 规 范 来 不 断 提 升 I T 内 控 的 合 规 性 的 产 品 。 在 这 些 理 念 的 指 导 下 ， 2 0 0 5 年 前 后 ， 堡 垒 机 开 始 以 一 个 独 立 的 产 品 形 态 被 广 泛 部 署 ， 有 效 地 降 低 了 运 维 操 作 风 险 ， 使 得 运 维 操 作 管 理 变 得 更 简 单 、 更 安 全 。 堡 垒 机 的 设 计 理 念 堡 垒 机 的 设 计 理 念 堡 垒 机 主 要 是 有 4 A 理 念 ， 即 认 证 （ A u t h e n ） 、 授 权 （ A u t h o r i z e ） 、 账 号 （ A c c o u n t ） 、 审 计 （ A u d i t ） 。 堡 垒 机 的 目 标 堡 垒 机 的 目 标
堡 垒 机 的 建 设 目 标 可 以 概 括 为 5 W ， 主 要 是 为 了 降 低 运 维 风 险 。 具 体 如 下 ： 审 计 ： 你 做 了 什 么 ？ （ W h a t ） 授 权 ： 你 能 做 哪 些 ？ （ W h i c h ） 账 号 ： 你 要 去 哪 ？ （ W h e r e ） 认 证 ： 你 是 谁 ？ （ W h o ） 来 源 ： 访 问 时 间 ？ （ W h e n ） 堡 垒 机 的 价 值 堡 垒 机 的 价 值 集 中 管 理 集 中 权 限 分 配 统 一 认 证 集 中 审 计 数 据 安 全 运 维 高 效 运 维 合 规 风 险 管 控 堡 垒 机 的 原 理 堡 垒 机 的 原 理 目 前 常 见 堡 垒 机 的 主 要 功 能 架 构 推 荐 给 你 ： 手 把 手 从 0 开 始 教 你 搭 建 J u m p s e r v e r , 为 服 务 器 安 全 保 驾 护 航 ！
目 前 常 见 堡 垒 机 的 主 要 功 能 分 为 以 下 几 个 模 块 ： 目 前 常 见 堡 垒 机 的 主 要 功 能 分 为 以 下 几 个 模 块 ： 1 、 运 维 平 台 、 运 维 平 台 R D P / V N C 运 维 ； S S H / T e l n e t 运 维 ； S F T P / F T P 运 维 ； 数 据 库 运 维 ； W e b 系 统 运 维 ； 远 程 应 用 运 维 ； 2 、 管 理 平 台 、 管 理 平 台 三 权 分 立 ； 身 份 鉴 别 ； 主 机 管 理 ； 密 码 托 管 ； 运 维 监 控 ； 电 子 工 单 ； 3 、 自 动 化 平 台 、 自 动 化 平 台 自 动 改 密 ； 自 动 运 维 ； 自 动 收 集 ； 自 动 授 权 ； 自 动 备 份 ； 自 动 告 警 ； 4 、 控 制 平 台 、 控 制 平 台 I P 防 火 墙 ； 命 令 防 火 墙 ； 访 问 控 制 ； 传 输 控 制 ； 会 话 阻 断 ； 运 维 审 批 ； 5 、 审 计 平 台 、 审 计 平 台 命 令 记 录 ； 文 字 记 录 ； S Q L 记 录 ； 文 件 保 存 ； 全 文 检 索 ； 审 计 报 表 ； 堡 垒 机 的 身 份 认 证 堡 垒 机 的 身 份 认 证 堡 垒 机 主 要 就 是 为 了 做 统 一 运 维 入 口 ， 所 以 登 录 堡 垒 机 必 须 支 持 灵 活 的 身 份 认 证 方 式 ， 比 如 ： 1 、 本 地 认 证 本 地 账 号 密 码 认 证 ， 一 般 支 持 强 密 码 策 略 2 、 远 程 认 证 一 般 可 支 持 第 三 方 A D / L D A P / R a d i u s 认 证 3 、 双 因 子 认 证 说 明 ： 三 权 分 立 三 权 的 理 解 ： 配 置 ， 授 权 ， 审 计 三 员 的 理 解 ： 系 统 管 理 员 ， 安 全 保 密 管 理 员 ， 安 全 审 计 员 三 员 之 三 权 ： 废 除 超 级 管 理 员 ； 三 员 是 三 角 色 并 非 三 人 ； 安 全 保 密 管 理 员 与 审 计 员 必 须 非 同 一 个 人 。
U s b K e y 、 动 态 令 牌 、 短 信 网 关 、 手 机 A P P 令 牌 等 4 、 第 三 方 认 证 系 统 O A u t h 2 . 0 、 C A S 等 。 堡 垒 机 的 常 见 运 维 方 式 堡 垒 机 的 常 见 运 维 方 式 B / S 运 维 ： 通 过 浏 览 器 运 维 。 C / S 运 维 ： 通 过 客 户 端 软 件 运 维 ， 比 如 X s h e l l ， C R T 等 。 H 5 运 维 ： 直 接 在 网 页 上 可 以 打 开 远 程 桌 面 ， 进 行 运 维 。 无 需 安 装 本 地 运 维 工 具 ， 只 要 有 浏 览 器 就 可 以 对 常 用 协 议 进 行 运 维 操 作 ， 支 持 s s h 、 t e l n e t 、 r l o g i n 、 r d p 、 v n c 协 议 网 关 运 维 ： 采 用 S S H 网 关 方 式 ， 实 现 代 理 直 接 登 录 目 标 主 机 ， 适 用 于 运 维 自 动 化 场 景 。 堡 垒 机 的 其 他 常 见 功 能 堡 垒 机 的 其 他 常 见 功 能 文 件 传 输 ： 一 般 都 是 登 录 堡 垒 机 ， 通 过 堡 垒 机 中 转 。 使 用 R D P / S F T P / F T P / S C P / R Z / S Z 等 传 输 协 议 传 输 。 细 粒 度 控 制 ： 可 以 对 访 问 用 户 、 命 令 、 传 输 等 进 行 精 细 化 控 制 。 支 持 开 放 的 A P I 堡 垒 机 的 部 署 方 式 堡 垒 机 的 部 署 方 式 1 、 单 机 部 署 、 单 机 部 署 堡 垒 机 主 要 都 是 旁 路 部 署 ， 旁 挂 在 交 换 机 旁 边 ， 只 要 能 访 问 所 有 设 备 即 可 。 部 署 特 定 ： 旁 路 部 署 ， 逻 辑 串 联 。 不 影 响 现 有 网 络 结 构 。 2 、 、 H A 高 可 靠 部 署 高 可 靠 部 署 旁 路 部 署 两 台 堡 垒 机 ， 中 间 有 心 跳 线 连 接 ， 同 步 数 据 。 对 外 提 供 一 个 虚 拟 I P 。 部 署 特 点 ： 两 台 硬 件 堡 垒 机 ， 一 主 一 备 / 提 供 V I P 。 当 主 机 出 现 故 障 时 ， 备 机 自 动 接 管 服 务 。 3 、 异 地 同 步 部 署 、 异 地 同 步 部 署 通 过 在 多 个 数 据 中 心 部 署 多 台 堡 垒 机 。 堡 垒 机 之 间 进 行 配 置 信 息 自 动 同 步 。
部 署 特 点 ： 多 地 部 署 ， 异 地 配 置 自 动 同 步 运 维 人 员 访 问 当 地 的 堡 垒 机 进 行 管 理 不 受 网 络 / 带 宽 影 响 ， 同 时 祈 祷 灾 备 目 的 4 、 集 群 部 署 （ 分 布 式 部 署 ） 、 集 群 部 署 （ 分 布 式 部 署 ） 当 需 要 管 理 的 设 备 数 量 很 多 时 ， 可 以 将 n 多 台 堡 垒 机 进 行 集 群 部 署 。 其 中 两 台 堡 垒 机 一 主 一 备 ， 其 他 n - 2 台 堡 垒 机 作 为 集 群 节 点 ， 给 主 机 上 传 同 步 数 据 ， 整 个 集 群 对 外 提 供 一 个 虚 拟 I P 地 址 。 部 署 特 点 ： 两 台 硬 件 堡 垒 机 ， 一 主 一 备 、 提 供 V I P 当 主 机 出 现 故 障 时 ， 备 机 自 动 接 管 服 务 。 开 源 堡 垒 机 产 品 开 源 堡 垒 机 产 品 目 前 ， 常 用 的 堡 垒 机 有 收 费 和 开 源 两 类 。 收 费 的 有 行 云 管 家 、 纽 盾 堡 垒 机 ， 开 源 的 有 j u m p s e r v e r 。 这 几 种 各 有 各 的 优 缺 点 ， 如 何 选 择 ， 大 家 可 以 根 据 实 际 场 景 来 判 断 。 推 荐 推 荐 ↓ ↓ ↓ 运 维 运 维 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理