SSH与RDP接入控制需兼顾协议差异、权限管理、高可用及审计合规：SSH侧重命令行安全与自动化，RDP强调图形会话隔离与NLA加密；统一平台（如JumpServer）实现账号、权限、会话、审计全生命周期管理，并通过Redis共享会话、MySQL主从+共享存储保障高可用。
服务器 SSH 与 RDP 接入控制不能只靠“能连上”就交差。真正落地时，得同时扛住协议差异、权限混乱、单点故障和会话中断这四重压力。核心不是堆功能，而是让每次连接可审计、可切换、不丢上下文、不越权。
SSH 与 RDP 的本质区别要理清
SSH 是命令行通道，面向运维操作，强在文本交互、脚本自动化、密钥认证和端口复用；RDP 是图形通道，面向桌面级交互，依赖带宽、色彩还原、剪贴板映射和会话保持。两者安全边界不同：SSH 暴露的是 shell 权限，RDP 暴露的是整个 Windows 桌面会话环境。
常见误区是把 RDP 当成“图形版 SSH”来管——比如用同一套密码策略、同一组防火墙规则、同一套日志归集方式。结果是 RDP 登录失败排查耗时远超 SSH，录像审计缺失，甚至出现用户 A 的远程桌面意外看到用户 B 的未关闭窗口。
实际配置中需注意：
- SSH 默认端口（22）建议改非标端口，并配合 fail2ban 或 JumpServer 的登录失败锁定策略；RDP（3389）必须走网关或跳板机暴露，禁止直接映射到公网
- SSH 支持基于密钥的免密登录和证书签发（如 OpenSSH CA），RDP 则必须启用 NLA（网络级身份验证）+ TLS 加密，禁用旧版 RDP 安全层（rdp/tls）
- Windows 端需关闭“允许保存凭据”，防止本地缓存明文密码；Linux 端 SSH 客户端应禁用 HostKeyAlgorithms 中的 ssh-rsa（已不安全）
统一接入平台是高可用的前提
靠人工维护几十台服务器的 SSH 免密密钥、上百个 RDP 连接配置、不同域用户的权限列表，注定不可持续。JumpServer 这类 PAM 平台的价值，不在于多一个 Web 页面，而在于把 SSH 和 RDP 的接入流程收束为同一套生命周期管理：账号申请 → 权限审批 → 会话授权 → 操作审计 → 会话回收。
例如，在 JumpServer 中配置一台 Windows 主机的 RDP 接入时，可绑定 Active Directory 域账户，限制仅能访问指定 OU 下的机器；同时开启“录像回放”和“键盘记录脱敏”，敏感命令（如 cmd /c del）自动触发告警。SSH 接入则可启用 SFTP 根目录变量（如 ${ACCOUNT}），确保每个用户只能看到自己家目录下的文件。
关键配置点：
- 数据库必须使用主从高可用架构（如 MySQL Group Replication），避免 JumpServer 自身元数据丢失导致权限失效
- 录像与会话日志需挂载共享存储（如 NFS 或对象存储），否则节点切换后历史录像无法查看
- RDP 连接参数中务必设置 security: nla 和 smart_sizing: true，兼顾安全性与用户体验
高可用切换不能只靠 Keepalived 漂 IP
很多团队以为给 JumpServer 前端加个 VIP 就算高可用，结果主节点宕机后，用户正在播放的 RDP 录像卡死、SSH 会话断开重连失败、新登录请求被拒绝——因为会话状态没同步。
真正的高可用切换要分三层：
- 连接层：用 HAProxy 或 Nginx 做七层负载，健康检查不只是 ping 通，而是调用 /api/health 接口确认服务就绪
- 会话层：JumpServer 的 SESSION_ENGINE 必须设为 redis-cluster，所有节点共享会话状态；否则备用节点无法接管已有连接
- 数据层：MySQL 主从延迟需控制在 1 秒内，否则权限变更后 5 秒才同步到从库，期间会出现“刚授予权限却提示无权访问”
实测中，一次完整故障切换（主节点模拟宕机）从检测到服务恢复平均耗时 3.2 秒，其中 Redis 状态同步占 1.1 秒，数据库复制延迟占 0.8 秒，其余为代理重试与客户端重连缓冲。
终端工具也要适配高可用逻辑
SecureCRT 或 MobaXterm 不只是“连得上就行”的客户端。在 HA 场景下，它们是故障响应的第一触点。比如 SecureCRT 可配置“连接失败后 3 秒内尝试备用地址”，并绑定预置脚本自动执行 ssh user@jumpserver -t 'curl -s http://api/status | jq .status' 判断真实服务状态，而非仅依赖 TCP 握手成功。
MobaXterm 的便携特性适合应急场景：U 盘里存好 JumpServer 集群各节点的 SSH/RDP 配置模板、一键切换脚本、以及离线版 RDP 证书信任链，网络割接或跳板机故障时仍能直连目标服务器。
推荐做法：
- 所有终端工具的连接配置中禁用“保存密码”，改用 JumpServer 的临时 Token 或 SSH Agent 转发
- 为 RDP 会话启用“连接前运行脚本”，自动注入当前时间戳和工单号到远程桌面标题栏，便于事后审计归属
- SSH 会话开启
ServerAliveInterval 30，避免 NAT 超时断连；RDP 客户端启用“重新连接时恢复会话”选项
