必须切断所有直连路径，只保留堡垒机唯一通道，通过网络隔离、权限收口、行为绑定及配套验证实现强管控。
要让所有运维人员必须通过堡垒机登录后端服务器，关键不是“加一道入口”，而是切断其他直连路径，只保留堡垒机这一个合法通道。核心思路是：网络隔离 + 访问控制 + 权限收口。
网络层强制收敛访问路径
直接从源头阻断绕过堡垒机的可能性：
- 在防火墙或安全组中，禁止所有运维终端IP段对后端服务器（如Linux、数据库、网络设备）的SSH、RDP、Telnet、数据库端口等直连访问；
- 仅放行堡垒机所在IP段对后端资产的对应协议端口（例如：允许堡垒机IP访问192.168.10.5:22，但禁止开发机10.10.20.30访问该端口）；
- 若使用云环境（如阿里云），可借助VPC路由策略或安全组规则实现精细化控制；
- 对于跨网段或混合云场景，建议部署代理节点，将非同网段资产流量统一引流至堡垒机处理。
账号与权限全部托管在堡垒机
运维人员不再持有后端服务器的原始账号密码：
- 在堡垒机中统一创建主机账户，并开启自动改密功能，定期轮换服务器本地密码；
- 所有用户只能通过堡垒机授权的账号登录目标主机，该账号密码由堡垒机托管，不对外暴露；
- 禁用服务器上的root或admin等高危账号的远程直接登录（如SSH配置
PermitRootLogin no）； - 若需临时提权，应通过堡垒机内置的命令审批或会话协同机制完成，而非开放sudo免密。
登录行为强制绑定堡垒机通道
确保任何一次有效运维操作都经过堡垒机审计和控制：
- 后端服务器禁用密钥直连（如删除authorized_keys中运维人员个人公钥），只保留堡垒机系统账号的密钥；
- 对Windows服务器，关闭远程桌面的公网/内网直连能力，仅允许通过堡垒机RDP代理（端口默认63389）访问；
- 数据库类资产（MySQL、Oracle等）同样需配置为仅接受堡垒机IP连接，并在堡垒机中配置对应数据库账号凭据；
- 启用堡垒机的会话阻断策略，当检测到未授权协议或异常命令时自动终止连接。
配套管理与验证机制
防止策略被无意绕过或失效：
- 定期扫描服务器监听端口和服务状态，确认无SSH/RDP服务暴露在非堡垒机可访问范围内；
- 在堡垒机中开启强认证（如MFA、国密USB Key），避免账号复用或弱口令导致通道失守；
- 将堡垒机操作日志对接SIEM平台，设置告警规则：如发现某IP绕过堡垒机直连服务器，立即触发通知；
- 新增服务器上线流程中，强制要求先录入堡垒机并完成授权，再开通网络策略，形成准入闭环。
这样一套组合措施落地后，运维人员面对的就只有一个入口——堡垒机。想连服务器？必须先过它；想执行命令？全程留痕可查；想跳过它？网络不通、账号无效、协议不认。
