跳板机是部署于NAT网关内网侧的唯一中转节点，通过端口映射（如外网2222→内网192.168.10.10:22）实现可控接入，其安全管控依赖位置隔离、访问路径收敛及自身强认证、操作审计与权限控制，而非端口映射本身。

端口映射本身不直接实现跳板机安全管理，但它可作为跳板机架构中关键的流量调度环节——真正起安全管控作用的是跳板机的部署位置、访问路径设计与策略收敛，而NAT网关上的端口映射只是让外部能“触达”跳板机的第一步。

跳板机必须位于NAT网关之后（内网侧）

这是安全前提。跳板机不能暴露在公网直连路径上，而应部署在NAT网关内网段（如192.168.10.10），仅通过NAT网关对外提供一个或少数几个受控端口（如TCP 2222）。所有外网SSH连接请求都先打到NAT网关的公网IP:2222，再由网关按规则转发至跳板机内网IP:22。这样既隐藏了跳板机真实IP，又将入口统一收束。

只映射跳板机服务端口，禁用其他映射

NAT网关上仅配置一条明确规则：外网端口 → 跳板机内网IP + 服务端口（如2222 → 192.168.10.10:22）。严禁映射内网其他服务器（如数据库、Web后台）的端口，也不允许做“全端口透传”或“DMZ主机”。跳板机是唯一合法出口，所有后续内网访问必须经它中转，不能绕过。

配合跳板机自身访问控制策略

端口映射只是打通链路，真正的权限隔离靠跳板机完成：

• 跳板机操作系统启用强身份认证（如SSH密钥+二次验证），禁用密码登录
• 使用堡垒机类工具（如JumpServer、Teleport）或限制用户shell为专用跳转脚本，禁止交互式shell滥用
• 记录完整操作日志，并与SIEM系统对接；对高危命令（如sudo、scp）做关键词审计
• 内网访问目标前强制执行资产授权检查，非白名单IP/端口/协议一律拒绝

避免常见配置风险

很多所谓“跳板”实际失效，是因为NAT网关配置不当：

• 误将跳板机设为DMZ主机——等于放弃NAT防护，暴露全部端口
• 在NAT网关上同时映射跳板机和业务服务器（如3389→192.168.10.20）——攻击者可绕过跳板机直连
• 未关闭NAT网关自身的远程管理端口（如80/443管理界面）——成为新的攻击入口
• 未同步配置防火墙入站规则——即使映射存在，也可能被网关防火墙拦截