数据是企业最大的资产，是21世纪的石油，用好数据不仅可以提高企业自己的产品和服务，也可以攫取大量利润。一旦没有守好数据，那么很有可能成为下一个负面信息的主角。

如何确保数据的安全性与可用性是每个企业都必须思考的问题，跳板机、堡垒机是企业通常采取的一种安全措施。

为啥需要堡垒机

在没有部署堡垒机以前，很多公司都会遇到不少安全运维问题，比如：

1. 登录账号管理混乱，运维人员的流动会影响系统账号
2. 多个用户共用一个账号
3. 运维权限划分不明确
4. 认证方式过于简单
5. 运维过程缺乏监控措施，出问题难以追责

堡垒机的管控能力十分强大，能在很大程度上的拦截非法访问和恶意攻击，对不合法命令进行命令阻断，过滤掉所有对目标设备的非法访问行为，并对内部人员误操作和非法操作进行审计监控，以便事后责任追踪。

堡垒机的分类

堡垒机从使用拓扑上说，分为网关型堡垒机和运维审计堡垒机二种。网关型堡垒机一般采用二层透明桥方式接入网络，上线需要修改网络拓扑，并且难以实现单点登录（SSO：Single Sign On）、应用发布等功能，因此，目前已经很少有人使用了。

目前通用的堡垒机为旁路接入模式，物理上旁路、逻辑上串行，用户想要运维时，必须通过堡垒机进行跳转登录。可以实现SSO（Single Sign On，单点登录）、应用发布等多种功能。

堡垒机的主要功能

自动化操作：有效提高运维效率的关键，可以让堡垒机自动帮助运维人员执行大量、重复的常规操作，提高运维效率。

操作审计：解决操作事故责任认定的问题，确保事故发生后，能快速定位操作者和事故原因，还原事故现场和举证。

访问控制：解决操作者合法访问操作资源的问题，通过对访问资源的严格控制，确保操作者在其账号有效权限和期限内合法访问操作资源，降低操作风险。

身份管理：解决操作者身份唯一的问题，身份唯一性的确定，是操作行为管理的基础，将确保操作管理的各项内容成为有根之本。

集中管理：解决操作分散、无序的问题，管理的模式决定了管理的有效性，对操作进行集中统一的管理，是解决运维操作管理诸多问题的前提与基础。

如何选型

传统商用堡垒机多为软硬件结合且价格昂贵，其管控能力十分强大，是银行、国营大型企业的IT运维团队的首要选项。但软硬结合堡垒机的缺点是：价格很高，动辄数十上百万，而且部署起来困难，需要专业的团队部署，维护成本也很高。

从成本上考虑，当然开源方案肯定要便宜很多。目前的开源堡垒机方案也是不少的，目前用得比较多的开源堡垒机有CrazyEye、Teleport、Jumpserver、GateOne、麒麟开源堡垒机等。我的团队之前使用过国产开源堡垒机Teleport和Jumpserver，相比之下Teleport安装使用更加容易。

当然如果觉得开源方案不能满足的话，在技术资源许可下也可以考虑自研。堡垒机涉及到多种技术，包括逻辑命令自动识别、分布式架构、图形协议代理、多进程/线程同步、数据加密等，自研的成本也很高，预计不会比商用方案低。

现在云堡垒机的产品功能已经比较成熟，而且相比传统堡垒机，云堡垒机的价格要低得多，可以根据自己所管理的云资源的数量来选择合适的云堡垒机，不花冤枉钱。目前我已经开始使用云堡垒机，相比开源方案，运维工作更加简单。

总结

使用堡垒机实现了云环境下的统一运维管理，成为所有运维人员的唯一入口，不过不能让堡垒机成为运维的障碍，那样就得不偿失了。所以在选择使用堡垒机时，需要对配套功能进行充分考察，比如主机监控、远程协同、自动化运维等功能。

我会持续更新关于物联网、云原生以及数字科技方面的文章，用简单的语言描述复杂的技术，也会偶尔发表一下对IT产业的看法，请大家多多关注，欢迎留言和转发，希望与大家互动交流，谢谢。