全开源！巨好用！网工必备的三个堡垒机

号主：老杨丨11年资深网络工程师，更多网工提升干货，请关注公众号：网络工程师俱乐部

上午好，我的网工朋友

在现代企业网络环境中，安全性和效率是两大核心诉求。随着云计算、大数据和物联网技术的发展，企业内部系统日益复杂，对外部攻击的暴露面也在不断扩大。

在这个时候，就不得不提到堡垒机了。堡垒机作为网络安全的重要组成部分，不仅能够为企业提供强大的访问控制能力，还能实现对用户操作行为的全面监控与审计，从而大大提升了系统的安全性。

开源堡垒机因其灵活性高、成本低廉等特点受到了广泛欢迎。

它们通常具备良好的社区支持和技术文档，使得即使是小型企业也能轻松部署和维护。今天就来给大家推荐三款开源且好用的堡垒机——JumpServer、Guacamole 和 Teleport，并详细介绍它们的特点和部署方法。

今日文章阅读福利：《 开源好用堡垒机汇总 》

JumpServer、Guacamole 和 Teleport这三款堡垒机的资源都给大家整理好了，私信发送暗号“开源”，即可获取资源。

01 什么是堡垒机？

堡垒机（Bastion Host）是一种特殊的计算机系统，通常位于网络的边界处，充当第一道防线。

它被设计成一个高度安全的平台，用于管理和控制对内部网络资源的访问。

堡垒机的主要目的是隔离外部不可信网络（如互联网）与内部可信网络，通过集中管理所有进入和离开受保护网络的数据流，确保只有经过授权的流量能够通过。

02 JumpServer

JumpServer 是一款完全开源的堡垒机系统，由国内团队开发并维护。

它旨在为企业提供一个强大而灵活的访问控制和审计解决方案。JumpServer 支持多种认证方式、细粒度的权限管理和全面的安全审计，适用于各种规模的企业网络环境。

01 核心特性

多种认证方式支持

• 支持LDAP、Radius、CAS等多种外部认证服务集成。
• 内置多因素认证（MFA），提高账户安全性。

细粒度的权限管理

• 基于角色的访问控制（RBAC），可以为不同用户分配不同的权限。
• 支持命令黑白名单，限制敏感操作。

安全审计

• 记录所有操作命令，支持会话录像和日志审计。
• 提供详细的报表和分析工具，方便安全审计。

多平台支持

• 支持Linux、Windows、Unix等多种操作系统。
• 兼容SSH、RDP、VNC等多种协议。

02 部署与使用指南

环境准备

• 操作系统：推荐使用CentOS 7或更高版本。
• 依赖软件：Python 3.6+、Docker、MySQL等。

安装步骤

• 使用Docker快速部署：

docker pull jumpserver/jumpserver:latest
docker run -d --name jumpserver -p 2222:2222 -p 8080:8080 jumpserver/jumpserver:latest

• 手动安装：

下载源码并解压。

安装依赖软件。

配置数据库和相关服务。

启动JumpServer服务。

初始配置

• 访问Web界面：http://<服务器IP>:8080
• 创建管理员账号并登录。
• 配置系统设置，如认证方式、权限管理等。

日常使用

• 添加资产（如服务器、网络设备等）。
• 分配用户和权限。
• 监控会话和审计日志。

03 Guacamole

Guacamole 是一个开源的远程桌面网关，允许用户通过Web浏览器访问远程桌面和应用程序，无需安装任何客户端软件。

Guacamole 支持多种常见的远程桌面协议，如RDP、VNC和SSH，适用于各种企业和个人用户的需求。其跨平台特性和高度的可扩展性使其成为网络管理中的理想选择。

01 核心特性

跨平台远程桌面网关

• 支持多种操作系统，包括Windows、Linux和macOS。
• 通过Web浏览器访问远程桌面，无需安装额外的客户端软件。

支持多种协议

• RDP（Remote Desktop Protocol）：用于连接Windows远程桌面。
• VNC（Virtual Network Computing）：用于连接Linux和macOS桌面。
• SSH（Secure Shell）：用于安全地访问命令行界面。

高可用性和扩展性

• 支持负载均衡和故障切换，确保高可用性。
• 可以通过添加更多的节点来扩展系统容量。

安全性和认证

• 支持LDAP、Radius等多种认证方式。
• 内置多因素认证（MFA），增强账户安全性。

会话管理和审计

• 记录所有会话活动，支持会话录像和日志审计。
• 提供详细的报表和分析工具，方便安全审计。

02 部署与配置说明

环境准备

• 操作系统：推荐使用CentOS 7或更高版本。
• 依赖软件：Java 8+、Tomcat、MySQL等。

安装步骤

• 安装依赖软件：

sudo yum install -y epel-release
sudo yum install -y guacd tomcat mysql-server

• 下载并安装Guacamole服务器端组件：

wget https://apache.org/dist/guacamole/1.2.0/binary/guacamole-auth-jdbc-1.2.0.tar.gz
tar -xvzf guacamole-auth-jdbc-1.2.0.tar.gz
cp guacamole-auth-jdbc-1.2.0/mysql/*.jar /etc/guacamole/extensions/

• 配置Guacamole：

vi /etc/guacamole/guacamole.properties
添加以下内容
mysql-hostname: localhost
mysql-port: 3306
mysql-database: guacamole_db
mysql-username: guacamole_user
mysql-password: your_password

• 启动Guacamole服务：

systemctl start guacd
systemctl enable guacd
systemctl start tomcat
systemctl enable tomcat

初始配置

• 访问Web界面：http://<服务器IP>/guacamole
• 创建管理员账号并登录。
• 配置系统设置，如认证方式、连接配置等。

日常使用

• 添加远程桌面连接。
• 分配用户和权限。
• 监控会话和审计日志。

04 Teleport

Teleport 是一个开源的访问控制系统，专为现代云原生环境设计。它提供了一种安全、便捷的方式来管理对服务器、容器和Kubernetes集群的访问。

Teleport 不仅支持SSH协议，还扩展了对Web终端的支持，使用户可以通过Web界面进行远程操作。其动态访问策略和强大的审计功能使其成为企业级安全解决方案的理想选择。

01 核心特性

专为云原生环境设计

• 支持Kubernetes、Docker等现代基础设施。
• 无缝集成到现有的CI/CD管道中。

动态访问策略

• 基于角色的访问控制（RBAC），可以根据用户角色动态授予或撤销权限。
• 支持条件访问策略，如时间窗口、地理位置等。

密钥管理和会话录制

• 自动管理SSH密钥，确保密钥的安全性和有效性。
• 记录所有会话活动，支持会话录像和日志审计。

安全性和认证

• 支持多种认证方式，如LDAP、SAML、OAuth等。
• 内置多因素认证（MFA），增强账户安全性。

Web终端支持

• 通过Web界面访问远程服务器，无需安装额外的客户端软件。
• 支持多标签页操作，提高用户体验。

02 快速入门指南

环境准备

• 操作系统：推荐使用Ubuntu 18.04或更高版本。
• 依赖软件：Golang 1.14+、Docker等。

安装步骤

• 使用包管理器安装：

sudo apt-get update
sudo apt-get install teleport

• 或者使用Docker快速部署：

docker pull gravitational/teleport
docker run -d --name teleport -p 3080:3080 gravitational/teleport teleport start --roles=auth,proxy,node

初始配置

• 访问Web界面：https://<服务器IP>:3080
• 创建管理员账号并登录。
• 配置系统设置，如认证方式、权限管理等。

日常使用

• 添加节点（如服务器、Kubernetes集群等）。
• 分配用户和权限。
• 监控会话和审计日志。

原创：老杨丨11年资深网络工程师，更多网工提升干货，请关注公众号：网络工程师俱乐部