堡垒主机 堡垒主机是什么意思
堡垒主机是一种被强化的可以防御进攻的计算机，作为进入内部网络的一个检查点，以达到把整个网络的安全问题集中在某个主机上解决，从而省时省力，不用考虑其它主机的安全的目的。堡垒主机是网络中最容易受到侵害的主机，所以堡垒主机也必须是自身保护最完善的主机。一个堡垒主机使用两块网卡，每个网卡连接不同的网络。一块网卡连接你公司的内部网络用来管理、控制和保护，而另一块连接另一个网络，通常是公网也就是Internet。堡垒主机经常配置网关服务。网关服务是一个进程来提供对从公网到私有网络的特殊协议路由，反之亦然。
内部网络行为管理、命令控制技术、细粒度策略控制功能、准确日志查询检索功能、菜单类操作回放审计功、帐号密码的安全管理、FTP/SFTP文件安全传输、支持标准SYSLOG日志、即时操作“现场直播”的监控功能、程序重用与控制技术、逻辑命令自动识别技术、分布式处理技术、实时监控技术 、日志二次备份技术、多进程/线程与同步技术、自动报表生成技术、连续跳转登录技术、多信道登录技术、数据加密功能、审计查询检索功能、操作还原技术、审计双向备份技术等。堡垒主机目前一般有以下三种类型：无路由双宿主主机、牺牲主机和内部堡垒主机
1.无路由双重宿主主机
无路由双重宿主主机有多个网络接口，但这些接口间没有信息流，这种主机本身就可以作为一个防火墙，也可以作为一个更复杂的防火墙的一部分。无路由双重宿主主机的大部分配置类同于其它堡垒主机，但是用户必须确保它没有路由。如果某台无路由双重宿主主机就是一个防火墙，那么它可以运行堡垒主机的例行程序。
2.牺牲品主机
有些用户可能想用一些无论使用代理服务还是包过滤都难以保障安全的网络服务或者一些对其安全性没有把握的服务。针对这种情况，使用牺牲品主机就是非常有用的（也称替罪羊主机）。牺牲品主机是一种上面没有任何需要保护信息的主机，同时它又不与任何入侵者想要利用的主机相连。用户只有在使用某种特殊服务时才需要用到它。
牺牲品主机除了可让用户随意登录外，其配置基本上与其它堡垒主机一样。用户总是希望在堡垒主机上存有尽可能多的服务与程序。但是牺牲品主机出于安全性的考虑，不可随意满足用户的要求，否则会使用户越来越信任牺牲品主机而违反设置牺牲品主机的初衷。牺牲品主机的主要特点是它易于被管理，即使被侵袭也无碍内部网的安全。
3.内部堡垒主机
在大多数配置中，堡垒主机可与某些内部主机有特殊的交互。例如，堡垒主机可传送电子邮件给内部主机的邮件服务器、传送Usenet新闻给新闻服务器、与内部域名服务器协同工作等。这些内部主机其实是有效的次级堡垒主机，对它们就应象保护堡垒主机一样加以保护。我们可以在它的上面多放一些服务，但对它们的配置必须遵循与堡垒主机一样的过程。
堡垒主机是一台完全暴露给外网攻击的主机。它没有任何防火墙或者包过虑路由器设备保护。堡垒主机执行的任务对于整个网络安全系统至关重要。事实上，防火墙和包过滤路由器也可以被看作堡垒主机。由于堡垒主机完全暴露在外网安全威胁之下，需要做许多工作来设计和配置堡垒主机，使它遭到外网攻击成功的风险性减至最低。其他类型的堡垒主机包括：Web,Mail,DNS,FTP服务器。一些网络管理员会用堡垒主机做牺牲品来换取网络的安全。这些主机吸引入侵者的注意力，耗费攻击真正网络主机的时间并且使追踪入侵企图变得更加容易。
1.无路由双重宿主主机
无路由双重宿主主机有多个网络接口，但这些接口间没有信息流，这种主机本身就可以作为一个防火墙，也可以作为一个更复杂的防火墙的一部分。无路由双重宿主主机的大部分配置类同于其它堡垒主机，但是用户必须确保它没有路由。如果某台无路由双重宿主主机就是一个防火墙，那么它可以运行堡垒主机的例行程序。
2.牺牲品主机
有些用户可能想用一些无论使用代理服务还是包过滤都难以保障安全的网络服务或者一些对其安全性没有把握的服务。针对这种情况，使用牺牲品主机就是非常有用的(也称替罪羊主机)。牺牲品主机是一种上面没有任何需要保护信息的主机，同时它又不与任何入侵者想要利用的主机相连。用户只有在使用某种特殊服务时才需要用到它。牺牲品主机除了可让用户随意登录外，其配置基本上与其它堡垒主机一样。用户总是希望在堡垒主机上存有尽可能多的服务与程序。但是牺牲品主机出于安全性的考虑，不可随意满足用户的要求，否则会使用户越来越信任牺牲品主机而违反设置牺牲品主机的初衷。牺牲品主机的主要特点是它易于被管理，即使被侵袭也无碍内部网的安全。
在大多数配置中，堡垒主机可与某些内部主机有特殊的交互。例如，堡垒主机可传送电子邮件给内部主机的邮件服务器、传送Usenet新闻给新闻服务器、与内部域名服务器协同工作等。这些内部主机其实是有效的次级堡垒主机，对它们就应象保护堡垒主机一样加以保护。我们可以在它的上面多放一些服务，但对它们的配置必须遵循与堡垒主机一样的过程。
同一个概念。
堡垒机的目的和域控一样，就是把风险集中在一个点，然后做好这个点的防御。
防御和攻击不一样，攻击一座城池，只要找到这个城池上兵力最薄弱的点，然后猛攻即可。
防御一座城池就要做预判，对方要攻击哪里，然后调兵遣将。
对于网络防御来讲，要防御的边界太长了，堡垒机就是把所有的登录点都集中到一台机器上，由着台机器来登录其他机器。这样只要保护好这台机器，就能保证其他机器的安全，因为桥不丢，对方就过不了河，在一个面的层面上解决了问题。
在业内，堡垒机一般只是个俗称，其学名应该是叫：运维安全审计系统/运维管理审计系统等，偏重对运维操作的监控和审计。至于堡垒机的说法由来以无源头可考，但是基本都是这么说了，毕竟其学名比较长，说着说着，堡垒机的名字就代替了其学名，当然，从堡垒机的部署位置和其工作性质来说，其自身安全的重要性必然是非常高的，毕竟这台设备会存储着海量的数据中心设备的账号、口令信息。目前，在各个行业：政府、金融、能源、运营商、企业、互联网，都越来越重视该产品的部署，能更有效的杜绝内部数据的泄露、恶意篡改等行为。
而堡垒主机，则是楼主你说的那种概念。
像楼上所说，堡垒机类似跳板机应该算是堡垒机从无到有发展的一个阶段，并不全面。
1、跳板机
跳板机属于内控堡垒机范畴，是一种用于单点登陆的主机应用系统。2000年左右，高端行业用户为了对运维人员的远程登录进行集中管理，会在机房里部署跳板机。跳板机就是一台服务器，维护人员在维护过程中，首先要统一登录到这台服务器上，然后从这台服务器再登录到目标设备进行维护。但跳板机并没有实现对运维人员操作行为的控制和审计，使用跳板机过程中还是会有误操作、违规操作导致的操作事故，一旦出现操作事故很难快速定位原因和责任人。此外，跳板机存在严重的安全风险，一旦跳板机系统被攻入，则将后端资源风险完全暴露无遗。同时，对于个别资源（如telnet）可以通过跳板机来完成一定的内控，但是对于更多更特殊的资源（ftp、rdp等）来讲就显得力不从心了。
2、运维堡垒机
人们逐渐认识到跳板机的不足，需要更新、更好的安全技术理念来实现运维操作管理，需要一种能满足角色管理与授权审批、信息资源访问控制、操作记录和审计、系统变更和维护控制要求，并生成一些统计报表配合管理规范来不断提升IT内控的合规性的产品。在这些理念的指导下，2005年前后，运维堡垒机开始以一个独立的产品形态被广泛部署，有效地降低了运维操作风险，使得运维操作管理变得更简单、更安全。
3、现在堡垒机产品已成熟，各家产品功能基本一致。早几年这还是个比较有前景的行业，但后来越来越多的人看到了这个机会，很多优秀的工程师也出来创业做类似的堡垒机产品。但主流的总是那么几家，如：思福迪、帕拉迪、尚思卓越、科友、齐治、极地等，这些都是目前行业里做的专业且受到企业用户好评的厂商，但每家厂商的产品所关注的侧重又有所差别。各企业在选购的时候，除了仔细研究产品技术指标是否可以满足自己的需求外，还应该着重考虑产品的交互性、易用性、性价比、维护成本低、产品自身安全性等等。堡垒机作为单点故障点，自身安全性很重要。对于大数据量的企业，还应该考虑产品可扩展性，毕竟大数据中心的信息系统会越来越复杂。
想象一下，如果你要维护一百多台服务器，记住每台服务器的密码，肯定是不可能的吧？这种情况下，可以在堡垒机上配置服务器和服务器账号，配置完毕后，通过堡垒机登录，你只需要输入你的堡垒机账号就能访问你有权限访问的设备了。
堡垒机一般支持的协议有图形（RDP/VNC/X11）、字符（SSH/TELNET）、文件（FTP/SFTP）和一些数据库协议（MySQL、Oracle）等等。
目前国内专业做堡垒机的厂商有绿盟、思福迪、齐智、江南科友等。在产品的选择方面，考虑的因素有易用性、安全性等。因为堡垒机本身具有很高的权限，因此在安全性方面特别需要注意。建议选择一些有专业网络安全背景的厂商的产品。例如绿盟等。
知乎属于创业公司，其数据的安全性和保密等级要求不高，也没有迫切的内部控制需求。再加上堡垒机的价格普遍比较高，因此应该是没有使用的。
0 Comments.