跳板机（Jump Server 或 Bastion Host）是用于安全访问内部网络中其他主机的中间服务器。它通常用于增强安全性，集中管理和审计访问。以下是关于如何使用跳板机的详细指南，包括所有指令和示例。
1. 跳板机概述
- 作用：跳板机作为中介，允许用户通过它来访问内部服务器，减少直接暴露在公网上的服务器数量。
- 安全性：通过跳板机，所有的外部访问都被集中到一个点，便于监控和控制。
2. 跳板机配置
2.1 环境准备
- 服务器要求：确保跳板机服务器上安装了SSH服务，并且能够访问内部网络。
- 客户端要求：用户需要在本地计算机上安装SSH客户端。
2.2 创建跳板机
- 选择一台服务器作为跳板机，安装SSH服务（参见前面的SSH安装部分）。
- 配置SSH访问，确保可以通过公钥认证或密码认证登录跳板机。
3. 使用跳板机访问内部服务器
假设：
- 跳板机的IP地址是
jump.server.com。 - 内部服务器的IP地址是
192.168.1.10，用户名是user。
3.1 通过SSH直接访问
如果用户已知跳板机的用户名和密码，可以直接登录到跳板机：
ssh user@jump.server.com
接下来，从跳板机登录到内部服务器：
ssh user@192.168.1.10
3.2 使用ProxyCommand选项
可以通过SSH的ProxyCommand选项，直接通过跳板机访问内部服务器：
ssh -o ProxyCommand="ssh -W %h:%p user@jump.server.com" user@192.168.1.10
%h和%p分别代表目标主机的地址和端口。
3.3 配置SSH配置文件
可以在 ~/.ssh/config 中为跳板机和目标服务器配置别名，简化连接。
示例配置：
Host jumpserver
HostName jump.server.com
User user
Host internalserver
HostName 192.168.1.10
User user
ProxyCommand ssh -W %h:%p jumpserver
这样，您只需使用以下命令连接内部服务器：
ssh internalserver
4. 跳板机的安全性
为了提高跳板机的安全性，可以采取以下措施：
4.1 使用公钥认证
- 生成SSH密钥对，并将公钥复制到跳板机的
~/.ssh/authorized_keys文件中。
ssh-keygen -t rsa -b 4096
ssh-copy-id user@jump.server.com
4.2 配置防火墙
- 在跳板机上设置防火墙，仅允许特定IP地址访问SSH服务。
4.3 审计和监控
- 使用SSH的审计工具，例如
auditd，监控用户的SSH登录和活动。
5. 跳板机的常见指令和选项
- 查看SSH版本：
ssh -V
- 使用SSH连接并启用调试信息：
ssh -v user@jump.server.com
- 使用指定的私钥文件连接：
ssh -i /path/to/private_key user@jump.server.com
- 通过SSH转发端口：
假设您想将本地的 localhost:8080 转发到内部服务器的 localhost:80：
ssh -L 8080:localhost:80 user@jump.server.com
访问 http://localhost:8080 将会转发到内部服务器的 80 端口。
- 反向端口转发：
将跳板机上的端口转发到本地：
ssh -R 9090:localhost:80 user@jump.server.com
这允许跳板机上的用户访问本地计算机的 80 端口。
6. 退出SSH会话
在SSH会话中，可以使用以下命令退出：
exit
7. 故障排除
- 连接失败：检查网络配置、防火墙设置和SSH服务状态。
- 权限拒绝：确认用户名、密码或SSH密钥是否正确。
- SSH连接超时：检查跳板机的SSH服务是否运行，及其与内部服务器的网络连接。
8. 其他安全措施
- 定期更换SSH密钥，防止密钥泄露。
- 限制SSH登录用户，只允许特定用户通过跳板机登录。
- 配置SSH超时，避免长时间未活动的会话。
9. 结论
跳板机在提升网络安全和管理内部服务器访问方面发挥了重要作用。通过合理配置和使用，您可以有效地控制和审计对内部资源的访问。确保您遵循最佳实践以维护跳板机的安全性。