跳板机与运维审计的入门实践

维护服务器的工程师超过三个人之后，"每人一把钥匙直连所有机器"的模式很快会出问题：谁在什么时候登过哪台机器、执行过什么命令，出了事故无从追溯。跳板机加运维审计，解决的就是这个集中管控问题。 跳板机的思路是把 SSH 登录收敛到唯一入口：所有服务器只允许来自跳板机的连接，工程师先登录跳板机，再从跳板机访问目标机器。好处立竿见影——各业务服务器的 SSH 端口在防火墙里只对跳板机一个来源开放，全网扫描与爆破直接失效；离职人员的权限回收，从逐台机器改密码变成停用跳板机上的一个账号，不容易留死角。 命令留痕是审计的核心。入门级做法是会话录制：在跳板机上通过 script 命令或专用工具，把每个会话的输入输出记录成文件，出了问题回放现场，比"猜是谁干的"省力得多。举一个最小配置：跳板机用户家目录的登录脚本里加一行 script -t -f -q -a /var/log/session/$USER-$(date +%s).log，会话就自动落盘。进阶做法是部署堡垒机类系统，把账号、授权、会话录像、命令检索整合在一起，团队规模上来后值得投入。留痕之外还要防绕行：跳板机上限制 agent 转发，目标机防火墙只放行跳板机来源，让绕过跳板机直连的路物理上走不通。 权限分级让不同角色看到不同范围：开发只能访问测试环境；运维可以访问生产，关键机器做双人复核；实习账号一律只读。在跳板机上按用户与目标机分组授权，配合 sudo 细化到命令级别，避免人人都拿 root 满场跑——权限给到"完成工作所需的最低限度"，这句话放在哪里都成立。 小团队从最简形态起步就够：一台跳板机、密钥登录、会话录制、按组授权。这套结构搭建成本不高，却在每一次事故复盘时成倍地还回来。