跳板机（堡垒机）的部署配置

堡垒机不追求性能，追求的是安全。它的活只是转发终端会话和录审计日志，两核 4G 的机器绰绰有余，真正要抠的是安全项。 一、低配高安全的定位 跳板机是运维访问内网服务器的唯一入口：所有 SSH（安全外壳协议）会话先连它，再跳到目标机。目标机防火墙只放行来自堡垒机的地址，其他来源一律拒绝，这样就算入侵者扫到目标机的地址，也摸不到入口。机器配置无关紧要，入口的唯一性才是价值所在。堡垒机自身也再加一层限制：管理后台只允许办公网段访问，公网上只暴露连接端口。 二、审计日志 堡垒机的核心功能是留痕：谁、什么时候、登录了哪台、敲了什么命令，全部记录，很多系统还支持会话录像回放。审计日志必须只增不改，单独存盘并同步一份到异地，留存至少半年——安全事件常常是事后回溯才发现的，日志留短了就是白记，也防止有权限的人抹掉自己的操作记录。 三、双因素认证 只靠密码的堡垒机不合格。开启 TOTP 动态口令（手机验证器每三十秒刷新的六位数字），或者对接企业内部的身份认证系统。再配失败锁定策略，用 fail2ban 设五次失败封禁一小时，是常见的基线配置。口令丢失要有应急流程，备用恢复码打印封存一份，别依赖在线找回。 四、部署要点 开源堡垒机系统装好后，第一件事是改默认端口、禁用 root 直接登录： Port 22222 PermitRootLogin no 顺云的高防云服务器 S2 就能承载这套服务，两核配置足够。堡垒机自身打补丁要勤，它是整个内网的钥匙串，一个漏洞的危害会被放大到全部服务器，系统更新安排在非工作时段并提前确认审计数据已同步。装完先拿测试账号走一遍登录和录像回放，确认审计链路真的在工作，再正式收口入口权限。