三分钟搭建开源堡垒机JumpServer

一、简介

前面我们聊到了openvpn的部署和使用，它能够实现从互联网通过openvpn连接到公司内网服务器，从而进行远程管理；但openvpn有一个缺点它不能记录哪些用户在内网服务器上操作了什么，拥有客户端的证书和私钥以及ca的证书和客户端配置，就可以直接连接到公司内网，这从某些角度讲不是一个安全的解决方案；

今天我们来聊一款和openvpn有类似功能的软件jumpserver；jumpserver和openvpn都可以让用户从互联网连接公司内网服务器；但通常jumpserver都不会放在互联网；它主要用作运维、开发、以及测试相关人员来利用它连接公司内网服务器，从而实现集中管理公司内网服务器；同时jumpserver还具有权限管理，用户管理，以及监控回放等等功能；

二、jumpserver架构图

三、jumpserver服务器安装

docker安装：

Linux 生成随机加密秘钥, 可以用下面的命令

if [ ! "$SECRET_KEY" ]; then

SECRET_KEY=`cat /dev/urandom | tr -dc A-Za-z0-9 | head -c 50`;

echo "SECRET_KEY=$SECRET_KEY" >> ~/.bashrc;

echo $SECRET_KEY;

else

echo $SECRET_KEY;

if [ ! "$BOOTSTRAP_TOKEN" ]; then

BOOTSTRAP_TOKEN=`cat /dev/urandom | tr -dc A-Za-z0-9 | head -c 16`;

echo "BOOTSTRAP_TOKEN=$BOOTSTRAP_TOKEN" >> ~/.bashrc;

echo $BOOTSTRAP_TOKEN;

else

echo $BOOTSTRAP_TOKEN;

docker run --name jms_all -d \

-p 801:80 -p 2222:2222 \

-e SECRET_KEY=$SECRET_KEY \

-e BOOTSTRAP_TOKEN=$BOOTSTRAP_TOKEN \

-v /opt/jumpserver/data:/opt/jumpserver/data \

-v /opt/jumpserver/mysql:/var/lib/mysql \ --privileged=true \

jumpserver/jms_all:v2.2.2（指定版本安装）

docker run --name jms_all -d \

-p 801:80 -p 2222:2222 \

-e SECRET_KEY=$SECRET_KEY \

-e BOOTSTRAP_TOKEN=$BOOTSTRAP_TOKEN \

jumpserver/jms_all:latest（安装最新版本）

提示：使用docker logs -f 容器id 能够看到上图中的信息，说明jumpserver容器就跑起来了；

安装后配置流程：

1、设置管理用户，需要root权限

2、设置系统用户，为实际登录主机的用户

3、增加资产

4、增加用户

5、设置资产授权规则

一般来说，所有服务器里，有多少种密码，就设置多少个系统用户和授权规则，管理用户根据实际情况配置

访问jumpserver

提示：访问jumpserver容器所在主机的ip地址即可访问到jumpserver，默认用户名和密码都是admin；

提示：第一次登陆时，它会让我们重设密码；

提示：重设密码后，重新登录，jumpserver的首页就是上图这样；后续我们就可以在这个界面来管理内网服务器了；到此jumpserver服务器就搭建好了；

四、jumpserver使用

1、jumpserver基本设置

提示：基本设置是必须设置当前jumpserver的url和邮件主题前缀；这样在用户收到邮件中的链接都会指向这个jumpserver的url;

2、配置jumpserver发邮件的邮件服务器和用户名密码

提示：在系统设置--->邮件设置，把对应的账号信息，邮件服务器信息都填写好，然后测试连接，如果可以正常收到邮件，说明邮件服务器信息和邮件用户名密码没有问题；最后点提交；

3、创建用户

提示：在用户管理--->用户列表--->创建；填写好用户相关信息后，点击最下面的提交；

提示：新建用户成功以后，对应的用户邮箱就会收到一份有jumpserver发送到用户创建成功的邮件，用户可以点击此邮件中的链接进行密码设定；

提示：密码设定好了，点击设置；用户会收到一份密码更新成功的邮件；

4、创建用户组，并把test用户添加到对应的组中；

提示：用户管理--->用户组---->创建，填写好组信息和选择好用户后，点击提交即可；

5、jumpserver 资产管理--->管理用户创建

提示：资产管理---->管理用户---->创建，填写好对应被管控端的管理员和密码点击提交；管理用户是资产（被控服务器）上的 root，或拥有 NOPASSWD: ALL sudo 权限的用户， JumpServer 使用该用户来 `推送系统用户`、`获取资产硬件信息` 等。

6、创建系统用户，这里的系统用户是指我们使用jumpserver登录到对应的被管控主机时用的用户

提示：资产管理--->系统用户--->新建，填写好用户名，勾选自动推送和自动生成密钥，点击最下方的提交即可；这里填写的用户会用作jumpserver上登录对应的主机用到用户，如果被管控端没有这个用户，jumpserver就会利用我们刚才添加的管理用户去创建一个这里的系统用户；

7、创建资产

提示：资产管理--->资产列表--->新建，填写对应被管控的的主机信息和ip地址信息，以及管理用户，点击最下方的提交；

提示：提交完成后，我们就可以在资产列表中看到我们刚才添加到主机；

8、资产授权

提示：权限管理--->资产授权--->创建，填写好名称后，要选择用户和组以及资产和系统用户，然后点击最下方的提交；到此一个资源就授权给test用户和test组中的成员了；这里需要注意一点，一个节点中有很多server，如果你只想授权单台server给某个用户，下面的节点就留空，如果你想授权一个节点给用户你可以选择节点，上面的资产就可以留空，如果你又想授权单个资产和某个节点给用户，就选择对应的资产和节点即可；如果这里选择default节点，表示把default节点下的所有主机都授权给用户；默认default节点包含所有主机；

验证：使用test用户登录jumpserver，看看test用户是否能够看到我们创建的资源？

提示：首次登陆，它会让我们更新用户的信息，然后同一些条款，这个我们按照实际信息来修改即可；在我的资产中可以看到当前用户有点资产；

验证：使用test用户连接node01看看是否可以连接到node01？

提示：可以看到test用户是可以正常使用我们配置的jumpserver用户正常正常的连接到node01；

9、查看用户操作回放

提示：点击会话管理---->会话管理---->历史会话----> 找到对应会话后面的回放即可查看对应用户在过去会话中执行的操作；

好了，jumpserver的基本操作就到此为止了，后续其他日志啊，都可以在web上点击对应的菜单查看，我这里就不过多阐述了；