麒麟來源堡壘機設計原理

1序言

運維堡壘機，主要功能為認證、授權、審計，而各廠商又略有不同，×××是一套完整的開源堡壘機系統，具有通用商業堡壘機一切功能模塊，安裝便利，運用簡單，功能全面、易用性都與商業硬件堡壘機完全一樣。

2堡壘機的概念和品種
   堡壘機從運用拓樸上說，分為兩種。

2.1網關型堡壘機

一般選用二層透明橋方法接入網絡，一般拓樸方位在運維用戶前方，運維用戶做運維時，流量經過網關堡壘機，堡壘機對用戶的操作進行審計。這種堡壘機曾經在2012年前在國外的一些廠商從么設計，國內廠商很少有這么設計。因為這種堡壘機上線需要修改網絡拓樸，而且難實現SSO、使用發布等功能，因而，現在已十分少見，市場占有率不到1%。

2.2運維審計型堡壘機

現在通用堡壘機為旁路接入形式，物理上旁路、邏輯上串行，用戶想要運維時，有必要經過堡壘機進行跳轉登錄。這種堡壘機為通用形式，因為不修正網絡拓樸而且能夠完結SSO、使用發布等多種功能，現已成為國內堡壘機的干流形式。

×××選用這種形式開發設計。

3×××工作原理

3.1×××規劃原理

×××對于運維操作人員相當于一臺代理服務器（Proxy Server），其工作流程如下圖所示：

圖1.堡壘機工作流程示意圖

1）運維人員在操作過程中首先要銜接到堡壘機，然后向堡壘機提交操作懇求；
2）該請求經過堡壘機的權限檢查后，堡壘機的使用代理模塊將替代用戶銜接到目標設備完成此操作，以后目標設備將操作成果返回給堡壘機，最終堡壘機再將操作成果返回給運維操作人員。

經過這種方法，堡壘機邏輯上將運維人員與目標設備阻隔開來，建立了從“運維人員->堡壘機用戶賬號->授權->目標設備賬號->目標設備”的管理形式，處理操作權限控制和做法審計疑問的同時，也處理了加密協議和圖形協議等無法經過協議還原進行審計的問題。

3.2×××工作原理
×××工作原理示意圖如下：

圖2.堡壘機工作原理示意圖

在實際運用場景中堡壘機的運用人員一般可分為管理人員、運維操作人員、審計人員三類用戶。

管理員最重要的責任是根據相應的安全戰略和運維人員應有的操作權限來裝備堡壘機的安全策略。堡壘機管理員登錄堡壘機后，在堡壘機內部，“策略管理”組件負責與管理員進行交互，并將管理員輸入的安全策略存儲到堡壘機內部的戰略裝備庫中。

“應用代理”組件是堡壘機的核心，負責中轉運維操作用戶的操作并與堡壘機內部其他組件進行交互。“應用代理”組件收到運維人員的操作請求后調用“策略管理”組件對該操作行為進行核查，核查依據便是管理員已經配置好的策略配置庫，如此次操作不符合安全策略“應用代理”組件將拒絕該操作行為的執行。

運維人員的操作行為通過“策略管理”組件的核查之后“應用代理”組件則代替運維人員連接目標設備完成相應操作，并將操作返回結果返回給對應的運維操作人員，同時此次操作過程被提交給堡壘機內部的“審計模塊”，然后此次操作過程被記錄到審計日志數據庫中。

最后當需要調查運維人員的歷史操作記錄時，由審計員登錄堡壘機進行查詢，然后“審計模塊”從審計日志數據庫中讀取相應日志記錄并展示在審計員交互界面上。