搞网络竟然不懂堡垒机？进来吧你！

堡垒机是一种用于保障网络和数据安全、提高运维效率的技术工具，它通过监控和记录运维人员的操作行为，实现集中报警、及时处理及审计定责，核心是可控及审计。

• 定义：在一个特定网络环境下，为保障网络和数据不受来自外部和内部用户的入侵和破坏，运用各种技术手段监控和记录运维人员对网络内服务器、网络设备、安全设备、数据库等设备的操作行为。用一句话概括，就是用来控制哪些人可以登录哪些资产（事先防范和事中控制），以及录像记录登录资产后做了什么事情（事后溯源），很多时候也叫运维审计系统。

• 可控及审计：

  可控：包括权限可控和行为可控。权限可控指统一管理权限，如工程师离职或转岗时能方便处理权限；行为可控指能集中禁用危险命令等。

  审计：对运维人员的操作行为进行记录和审查。

• 从跳板机演变而来：2000年左右，中大型企业为集中管理运维人员远程登录，部署跳板机（unix/windows操作系统服务器），运维人员先登录跳板机，再登录其他服务器。但跳板机存在不足，无法控制操作行为和审计，易出现误操作、违规操作事故，且难定位原因和责任人，还存在安全风险，对于特殊资源力不从心。

• 满足新需求的产品：2005年前后，为满足角色管理与授权审批、信息资源访问控制、操作记录和审计、系统变更和维护控制要求，并生成统计报表提升IT内控合规性，堡垒机以独立产品形态广泛部署，降低运维操作风险，使运维操作管理更简单、安全。

• 4A理念：认证（Authen）、授权（Authorize）、账号（Account）、审计（Audit）。

• 5W目标：

  审计：了解做了什么（What）。

  授权：明确能做哪些（Which）。

  账号：知晓要去哪（Where）。

  认证：确认是谁（Who）。

  来源：掌握访问时间（When）。

• 集中管理：对网络内的各种设备进行统一管理，方便运维人员操作和维护。

• 集中权限分配：统一管理用户权限，根据不同角色和需求分配相应权限，提高权限管理的安全性和效率。

• 统一认证：支持多种身份认证方式，确保用户身份的合法性和安全性。

• 集中审计：记录运维人员的操作行为，为事后审计和责任追究提供依据。

• 数据安全：保护网络内的数据不受非法访问和破坏，防止数据泄露。

• 运维高效：提供便捷的运维方式，减少运维人员的工作量和时间成本。

• 运维合规：满足企业和行业对运维操作的合规性要求，避免因违规操作带来的风险。

• 风险管控：及时发现和处理运维过程中的安全风险，降低事故发生的概率。

• 主要功能架构：

  

• 功能模块：

  运维平台：包括RDP/VNC运维、SSH/Telnet运维、SFTP/FTP运维、数据库运维、Web系统运维、远程应用运维。

  管理平台：有三权分立、身份鉴别、主机管理、密码托管、运维监控、电子工单。

  自动化平台：实现自动改密、自动运维、自动收集、自动授权、自动备份、自动告警。

  控制平台：涵盖IP防火墙、命令防火墙、访问控制、传输控制、会话阻断、运维审批。

  审计平台：有命令记录、文字记录、SQL记录、文件保存、全文检索、审计报表。

• 本地认证：采用本地账号密码认证，一般支持强密码策略，增强账号安全性。

• 远程认证：通常可支持第三方AD/LDAP/Radius认证，方便与企业现有认证系统集成。

• 双因子认证：如UsbKey、动态令牌、短信网关、手机APP令牌等，提供更高级别的身份认证保障。

• 第三方认证系统：支持OAuth2.0、CAS等，满足不同企业的认证需求。

• B/S运维：通过浏览器进行运维，无需安装特定客户端软件，使用方便。

• C/S运维：通过客户端软件运维，如Xshell，CRT等，适合对功能要求较高的运维场景。

• H5运维：直接在网页上打开远程桌面进行运维，无需安装本地运维工具，只要有浏览器就可以对常用协议进行运维操作，支持ssh、telnet、rlogin、rdp、vnc协议。

• 网关运维：采用SSH网关方式，实现代理直接登录目标主机，适用于运维自动化场景。

• 文件传输：一般登录堡垒机，通过堡垒机中转，使用RDP/SFTP/FTP/SCP/RZ/SZ等传输协议传输，保障文件传输的安全性。

• 细粒度控制：可以对访问用户、命令、传输等进行精细化控制，满足不同企业的安全需求。

• 支持开放的API：方便与企业其他系统进行集成和扩展。

• 单机部署：

  部署方式：旁路部署，旁挂在交换机旁边，只要能访问所有设备即可。

  部署特点：旁路部署，逻辑串联，不影响现有网络结构。

• HA高可靠部署：

  部署方式：旁路部署两台堡垒机，中间有心跳线连接，同步数据，对外提供一个虚拟IP。

  部署特点：两台硬件堡垒机，一主一备/提供VIP，当主机出现故障时，备机自动接管服务。

• 异地同步部署：

  部署方式：在多个数据中心部署多台堡垒机，堡垒机之间进行配置信息自动同步。

  部署特点：多地部署，异地配置自动同步，运维人员访问当地的堡垒机进行管理，不受网络/带宽影响，同时起到灾备目的。

• 集群部署（分布式部署）：

  部署方式：当需要管理的设备数量很多时，将n多台堡垒机进行集群部署。其中两台堡垒机一主一备，其他n - 2台堡垒机作为集群节点，给主机上传同步数据，整个集群对外提供一个虚拟IP地址。

  部署特点：两台硬件堡垒机，一主一备、提供VIP，当主机出现故障时，备机自动接管服务。

• 收费产品：如行云管家、纽盾堡垒机，通常提供更全面的功能和专业的技术支持，但需要支付一定的费用。

• 开源产品：如jumpserver，具有开源、免费的特点，用户可以根据自己的需求进行二次开发和定制，但可能需要用户具备一定的技术能力来维护和管理。