網絡安全問題是企業信息化建設過程中非常重要的一環，近年來安全事故的頻發，越來越多的企業意識到網絡安全對于企業的重要性。伴隨著企業IT進入深度異構化和分布式的發展階段，更多的企業出于兼顧資源彈性伸縮，以及核心業務應用安全管控與法規遵從的需要，選擇采納混合IT架構。混合IT基礎設施由此成為企業IT的新常態。
堡壘機是企業面向分布式IT架構進行運維安全審計的必備組件。借助堡壘機，企業可以對異構IT資產進行集中管理，并且構建統一訪問入口，從而有效地控制IT系統的運維風險。針對上述背景，安全牛發布本期牛品推薦——JumpServer開源堡壘機。與傳統堡壘機相比，JumpServer 堡壘機采用了分布式架構設計，支持多云環境并可自動同步云上資產；JumpServer 支持水平擴展、以及超大規模資產數量（萬臺資產以上）和高并發訪問，其采用的容器化部署方式，能夠為用戶提供使用效果更好的Web Terminal。
#牛品推薦第十五期 #
01 標簽
開源、運維安全審計、分布式架構、容器化部署、分層解耦、多云支持
02 用戶痛點
■ 資產規模的快速增加帶來的管理復雜度提升
傳統的堡壘機是通過手動錄入IP或者Excel表格進行資產導入，但是對于現在動輒幾千甚至上萬臺的機器，如果需要人工錄入，這種方式不僅效率低還容易出錯。而且在資產頻繁變更的情況下，這樣的管理方式可能會逐步發展到不可控的階段。
■ 復雜的訪問端環境造成額外的維護成本
傳統堡壘機方案中用戶接入門檻高，維護成本偏高。越來越多的企業需要堡壘機能夠提供“傳統客戶端+Web接入”的雙重訪問模式，尤其是Web接入的需求越來越強烈。傳統方案在Web接入方式上普遍采用較為原始的瀏覽器插件模式，導致大量的瀏覽器插件不匹配、用戶無法升級瀏覽器等影響用戶使用體驗的問題，嚴重影響了堡壘機的接入訪問效率。
■ 分散資產帶來的管理成本增加
企業的IT資產分散在全國各地，各個地區間網絡連接的帶寬、穩定性給堡壘機的管理帶來了很多的不確定因素。分支機構越多，機構之間的距離越遠，往往會帶來更高的管理成本。傳統堡壘機的解決方案是在每個區域購買一臺堡壘機，多個區域組成一個大的集群，這種方案不僅造成了大量的成本浪費，也給管理上帶來了很多不必要的麻煩。
■ 審計對象的復雜化
當下IT技術的演進速度越來越快，基礎設施層面隨著Kubernetes成為容器云建設的首選標準，以及數據庫層一些新型數據庫產品的出現，傳統堡壘機支持的審計對象已經遠遠不夠，需要將新出現的IT基礎設施對象考慮進來。
03 解決方案
JumpServer是一款完全開源、符合4A規范（包含認證Authentication、授權Authorization、賬號Accounting和審計Auditing）的運維安全審計系統。JumpServer的后端技術棧為Python/Django，前端技術棧為Vue.js/Element UI，遵循Web 2.0規范。
與傳統堡壘機相比，JumpServer采用了分布式架構設計，可靈活擴展，水平擴容。JumpServer還采用了領先的容器化部署方式，并且提供純瀏覽器化Web Terminal。同時支持對接多種公有云平臺，滿足企業在多云環境下部署使用。針對企業用戶網絡安全等級保護要求，JumpServer堡壘機已經獲得公安部頒發的“計算機信息系統安全專用產品銷售許可證”，能夠助力企業快速構建身份鑒別、訪問控制、安全審計等方面的能力，為企業通過等級保護評估提供支持。
相比 JumpServer開源版，JumpServer企業版提供面向企業級應用場景的X-Pack增強包，以及高等級的原廠企業級支持服務，有效助力企業快速構建并運營自己的運維安全審計系統。目前，JumpServer堡壘機企業版用戶已經廣泛覆蓋銀行、證券、制造、交通運輸、互聯網等行業企業。
JumpServer充分吸收了過去多年互聯網產品的發展經驗，采用了分層解耦的設計理念。其產品架構如下圖所示：
附圖JumpServer的產品架構
從附圖可以看出，JumpServer產品從下至上可以分為存儲層、數據層、核心層、接入層和負載層，包括MySQL/Redis、CORE、Koko/Guacamole、Luna等核心組件。
■存儲層用于產品的各種數據存儲（包括元數據及各種審計數據），存儲可以是本地存儲，也可以是傳統SAN存儲、文件存儲或者對象存儲等；
■數據層采用MySQL存儲產品中的用戶、資產、授權等核心數據，并使用Redis提供對核心數據的訪問加速，提升用戶的訪問體驗；
■核心層用于對用戶、資產和授權等核心數據進行處理，并提供相應的管理控制臺。位于該層的CORE組件使用Django Class Based View風格開發，支持Restful API接口；
■接入層負載接入來自終端客戶（Web終端或者傳統客戶端）的連接請求。JumpServer根據接入的連接類型是字符型還是圖形型提供兩個獨立的接入組件，分別是Koko和Guacamole。其中，Koko組件實現了SSH Server和Web Terminal Server，提供SSH和WebSocket接口，以方便用戶通過Web端和傳統SSH客戶端登錄使用。組件實現RDP連接功能，提供純Web方式的圖形化界面操作能力。JumpServer也為數據庫提供了一個單獨的接入組件——OmniDB。通過集成OmniDB開源項目，JumpServer的用戶能像使用Navicat一樣，在Web端操作數據庫，目前支持的數據庫種類包括MySQL、MariaDB、Oracle和PostgreSQL。另外，接入層還提供純Web模式的接入，JumpServer設計了一個純瀏覽器版本的終端，即Luna組件；
■負載層承載用戶接入流量的負載均衡。用戶可以選擇純軟件的負載均衡方案（例如Nginx），或者傳統的硬件負載均衡設備（例如F5）。
04 用戶反饋
“通過采納JumpServer堡壘機企業版，我們在幾天內就完成了JumpServer堡壘機從0.3.2到1.4.9版本的升級，將超大規模的資產遷移至新平臺。整個遷移過程數據完整，平臺使用無影響。與此同時，FIT2CLOUD飛致云的專業服務團隊還在持續保障平臺安全運營和專業服務支持方面給我們提供了非常大的幫助。”
——小紅書 潘雨順
“很早就使用JumpServer了，主要還是針對”網絡設備+服務器“運維管理，全Web操作，還提供了Koko直連操作，無需安裝額外插件，很棒；也推薦給身邊得很多朋友，很多用過得朋友都說很棒，都用得很好，希望JumpServer做得越來越好。”
——盧煒君
“2016年年底接觸Django的時候就稍微關注了下JumpServer，真正開始使用是的1.5.x版本。對我們運維來說最大的好處就是可以強制提升服務器的密碼復雜度和密鑰登陸，只需要接入公司的LDAP就可以讓所有研發連接服務器而不需要再給他們密碼或者密鑰，大大減少了密碼密鑰泄漏的幾率。”
——路先生
“從2018年開始，隨著公司人員規模增加及各種人需要服務器權限，為了方便管理，找了幾款跳板機，最終使用JumpServer；JumpServer的資產管理非常不錯，可以精細化的授權；作為公司唯一的運維，有效保證了服務器安全訪問，也方便了遠程辦公時間的遠程處理。”
——黃再生
“去年公司開始數字化轉型，業務上云，之前的齊治堡壘機對部分云服務器不兼容，所以支持多云環境的堡壘機進行選型。在比較了多個堡壘機之后，最終選擇了JumpServer。優點就不一一列出了哈，確實好用。今年公司在測試飛致云云管平臺（可以對接JumpServer），希望合作愉快。感謝JumpServer軟件和團隊。”
——陳建新
“18年4月份開始使用訂閱版本的JumpServer，在這之后逐步統一了公司的所有生產設備的管理，在JumpServer的專業支持下順利完成了等保三級的認證。”
——酷友
安全牛評
堡壘機是實現運維監控的重要產品。隨著網絡規模的增加以及分支機構的成立，傳統的堡壘機部署模式，不僅會增加管理成本，也會降低堡壘機的工作效率。未來堡壘機將向云化和服務化發展。借助云平臺，JumpServer堡壘機將以一主多從的賬號管理方式，以云化的方式為不同物理空間的運維人員提供統一的賬號登錄。同時，依托云架構JumpServer可以對云端資產進行統一運維，為未來云服務交付模式提供運維基礎。
