4. 堡垒机系统架构与部署模式

堡垒机的部署模式决定了运维流量如何被“看见”和“控制”。同一台堡垒机，放在不同位置、采用不同接入方式，其审计完整性、协议支持范围、对业务的影响程度都会明显不同。理解物理旁路、网关模式、代理模式以及高可用与分布式架构，是设计堡垒机方案的基础。

一、物理旁路：只旁听，不改道

物理旁路（也称旁路监听）把堡垒机通过交换机镜像口或分流器接入网络，只接收流量副本，不串接在运维路径上。运维人员仍然直连目标服务器，堡垒机通过镜像流量还原会话、记录命令与操作。

它的优点是对现有网络零改动、无单点故障风险，部署快、业务影响小。但缺点同样突出：只能“看”，不能“拦”。因为流量不经过堡垒机，无法阻断高危命令、无法做二次认证，也无法对 RDP、数据库等加密或复杂协议做完整解析。旁路模式通常只适合合规审计、流量留痕类场景，例如只要求记录 SSH 会话内容，而不要求实时阻断。

判断是否可用旁路，关键看两点：一是协议是否可被镜像还原（SSH、Telnet 等明文或可解密协议较适合）；二是业务是否接受“只审计不拦截”。若要求命令级阻断，旁路方案不成立。

二、网关模式：串接在运维路径上

网关模式将堡垒机串接在运维终端与目标设备之间，所有运维流量必须经过堡垒机转发。它通常以网桥或路由方式工作，运维人员访问的是堡垒机地址，由堡垒机代理到真实目标。

由于流量必经，网关模式可以做到协议解析、命令阻断、会话录制、双因子认证，是当前主流的部署方式。代价是引入了串接节点：一旦堡垒机故障，运维通道可能中断，因此必须配合 HA 高可用。同时，串接会带来一定转发延迟，需要评估对交互式操作的影响。

网关模式常见的两种落地形态是：

• 透明网桥：不改变原有 IP 规划，堡垒机像一段“网线”串入，运维终端与目标服务器 IP 不变，适合已建成网络。
• 路由/网关：堡垒机作为运维网段的网关，运维终端把流量指向堡垒机，适合新建运维专区。

三、代理模式：客户端主动接入

代理模式下，运维人员不直接连目标服务器，而是先登录堡垒机，再由堡垒机发起对目标设备的连接。常见形式包括 Web 代理（浏览器直接打开 SSH/RDP 会话）、客户端代理（专用工具或本地插件）以及协议代理（如数据库代理、Kubernetes 代理）。

代理模式的最大优势是目标设备无需暴露给运维终端，运维终端只与堡垒机通信，天然适合跨网段、跨云、零信任场景。它还能对数据库 SQL、K8s 命令等做细粒度解析。但代理模式对堡垒机的协议支持能力要求高，部分老旧设备或私有协议可能无法代理，需要回退到网关或旁路。

四、HA 高可用架构

堡垒机一旦串接，就成为运维入口，必须消除单点。HA 通常采用双机热备：主备两台堡垒机通过心跳线互联，共享 VIP（虚拟 IP）。运维终端连接 VIP，主节点故障时备节点接管 VIP 与会话状态。

HA 的关键参数包括：心跳间隔（如 1s）、故障判定次数（如 3 次）、切换时间（通常 10～30s）、会话保持方式。需要特别注意的是，已建立的会话在切换后能否续接，取决于是否做了会话同步；若未同步，切换后运维人员需要重新登录，但审计记录不应丢失。数据库层面通常采用主备复制或共享存储，保证审计日志不因切换而断裂。

五、分布式部署与云环境适配

当运维规模扩大、存在多数据中心或多云环境时，单台堡垒机难以覆盖。分布式部署把堡垒机拆分为管理中心 + 多个代理节点：管理中枢负责用户、权限、策略和审计汇总；代理节点部署在各区域或各 VPC 内，就近接入目标设备，减少跨地域延迟。

在云环境中，堡垒机通常以镜像方式部署在 VPC 内，通过安全组限制访问来源，结合云负载均衡对外提供统一入口。跨云场景下，可在每个云内放置代理节点，由中心统一纳管。云环境适配还要考虑弹性伸缩、按量计费、以及云原生协议（如 K8s API、云数据库）的代理支持。

六、模式选择与组合建议

实际项目中，四种模式往往不是单选，而是组合使用。例如：核心生产区采用网关模式实现命令阻断；跨云数据库采用代理模式避免暴露端口；对只要求留痕的老旧系统采用旁路审计；所有串接节点统一纳入 HA 双机热备；多数据中心通过分布式代理节点就近接入、中心统一纳管。

一个可参考的判断顺序是：先确认是否需要实时阻断，需要则排除纯旁路；再确认协议是否可代理，可代理优先代理模式，不可代理则用网关模式；最后确认是否存在多区域、多云，存在则引入分布式代理节点，并对每个串接点配置 HA。这样得到的架构，既满足审计与管控要求，又不会因单点故障或跨地域延迟影响运维效率。