4、堡垒机与跳板机

4.1 堡垒机/跳板机的作用

在运维安全体系中，堡垒机（Bastion Host）与跳板机（Jump Server）是访问内部生产环境的核心安全网关。它们作为运维人员进入服务器、数据库、网络设备的唯一入口，承担着身份认证、权限控制、操作审计的关键职责。其核心作用包括：

• 统一入口：收敛所有运维通道，避免直接暴露内部IP和端口。
• 身份认证：集成双因素认证（2FA）、LDAP/AD，确保操作者身份可信。
• 权限隔离：基于最小权限原则，控制用户可访问的主机、协议及命令。
• 操作审计：完整记录所有会话，支持事后追溯与安全事件取证。

4.2 核心功能

功能模块	说明	安全价值
身份认证	支持本地密码、LDAP、RADIUS、OTP动态口令	防止账号共享、弱口令爆破
权限控制	基于用户/用户组、资产/资产组、时间段的细粒度授权	最小权限原则，降低横向移动风险
操作审计	全量记录操作日志、命令、返回结果	满足等保合规，提供溯源证据
会话录屏	实时录制运维操作的图形界面或字符界面视频	直观还原违规操作过程
指令拦截	基于黑名单/白名单策略，实时阻断高危命令（如 rm -rf /）	防止误操作或恶意破坏

4.3 部署架构

生产环境中，堡垒机通常采用高可用架构部署，避免单点故障。以下为推荐的典型部署模式：

• 主备模式（Active-Standby）：主节点承载业务，备节点实时同步配置与会话数据，故障时自动切换。
• 分布式集群：多节点负载均衡，适用于大规模资产（>1000台）的场景，提升并发处理能力。
• 多区域部署：在多个数据中心分别部署堡垒机节点，通过统一管理平台进行集中管控。

4.4 最佳实践

1. 账号生命周期管理：堡垒机内的账号应与HR系统或IDM联动，员工离职后自动禁用。
2. 最小权限策略：按“所需即所用”原则分配权限，定期审计权限清单。
3. 高危命令拦截：配置全局黑名单（如 rm -rf /、shutdown、init 0），并设置审批流程。
4. 会话审计常态化：每周随机抽检录屏与操作日志，重点关注凌晨时段操作。
5. 双因素认证强制：所有运维人员必须使用动态口令（TOTP）或硬件Key登录堡垒机。
6. 网络隔离：堡垒机应部署在独立的管理网段，仅开放必要端口（如22、3389、443）。

4.5 配置示例（指令拦截策略）

以下为某堡垒机系统的高危命令拦截策略配置片段：

# 全局黑名单配置
[command_filter]
enable = true
mode = blacklist

# 高危命令列表
blacklist_commands = [
    "rm -rf /",
    "rm -rf .*",
    "shutdown -h now",
    "init 0",
    "reboot",
    "dd if=/dev/zero of=/dev/sda",
    "mkfs.ext4 /dev/sd*",
    ":(){ :|:& };:"  # fork炸弹
]

# 白名单例外（仅允许特定用户执行）
[exception_users]
users = ["root_ops", "db_admin"]
allowed_commands = ["reboot", "shutdown -r now"]

专注课程资料整理