麒麟开源堡垒机阿里云双机部署方案​

目录
1 概述 2
1.1 方案背景 2
1.2 方案内容 3
2. 阿里云SLB负载均衡方式 3
2.1 物理环境准备要求 3
2.2 阿里云SLB设置 3
2.3 使用说明 3
3. DNS负载均衡方式 5
2.1 物理环境准备要求 5
2.2 DNS设置 5
2.3 使用说明 5
4  方案比较 6

1 概述
1.1 方案背景
阿里云系统中,非VPC网络用户无法对系统IP进行修改增加,因此堡垒机双机模式无法应用在阿里云非VPC用户中。
1.2 方案内容
本方案探讨使用DNS负载均衡和阿里云SLB负载均衡二种方式实现麒麟堡垒机的双机热备,并且将运维用户区分为公司内网用户和移动(互联网)用户二种,二种用户访问堡垒机的方式不同,其中公司内网为可信任来源地址,可以直接使用运维协议访问堡垒机,而移动(互联网)用户必须使用SSL VPN接入内网后,才能访问堡垒机,这样主要是防止堡垒机的ssh、https、rdp等端口在公网上开放以造成的扫描攻击事件。
2. 阿里云SLB负载均衡方式
2.1 物理环境准备要求
用户需要有阿里云SLB服务,并且在阿里云安装二台堡垒机。
2.2 阿里云SLB设置
阿里云SLB系统需要将如下端口进行映射:
端口号 映射位置 服务说明
TCP 8443 二台堡垒机 移动用户(互联网)SSL VPN服务
TCP 443 二台堡垒机 堡垒机前台界面web 服务
TCP 22 二台堡垒机 堡垒机SSH代理服务
TCP 3389 二台堡垒机 堡垒机RDP/VNC/X11/应用发布代理服务
TCP 3390 二台堡垒机 堡垒机RDP/VNC/X11/应用发布回放端口
阿里云SLB至少需要探测以上端口,当发现某一个端口出现问题时,及时切断出问题堡垒机的服务。
2.3 使用说明
阿里去SLB方案拓朴图如下:

其中红色箭头为移动(互联网)用户访问流,绿色箭头为公司内网(可信任源)用户访问流。
阿里云系统将公司内网出网IP设置为信任地址,信任地址可以直接访问到SLB映射地址的TCP 22、443、3389、3390端口,可以直接使用堡垒机。
阿里云系统将TCP 8443端口映射到整个Internet,移动用户需要安装麒麟VPN客户端,当移动用户需要使用堡垒机时,先使用SSL VPN通过 SLB连接到堡垒机,然后才能访问堡垒机,这样可以保证整个系统不对公网暴露以保证安全性。

3. DNS负载均衡方式
2.1 物理环境准备要求
用户需要有自己的DNS系统,并且DNS需要支持负载均衡。
2.2 DNS设置

需要为二台堡垒机分配公网IP。
DNS系统上设置一个域名,比如blj,将这个域名解析到二个堡垒机的公网IP上,并且将DNS的刷新时间设置为10秒以内,以保证当某个堡垒机出现问题时DNS Cache不会影响到切换时间。
DNS负载均衡方式需要手工切换,即如果某一个堡垒机出现问题时,需要手工将出问题的堡垒机从域名解析中禁用,这样用户就不会在访问到出问题的堡垒机。
2.3 使用说明
用户使用域名访问堡垒机(非IP),用户访问堡垒机的时候,通过DNS解析到堡垒机的IP,因为二台堡垒机的IP都在DNS A记录中,因此实现了DNS的负载均衡,即头一个用户返回的是堡垒机1的IP,第二个用户返回的是堡垒机2的IP…….
当某一个堡垒机出现问题时,需要手工登录到DNS系统,将出问题的DNS A记录禁用,这样可以让用户不在解析访问到出问题的堡垒机IP。
访问规则仍然与SLB负载均衡模式相同,移动用户使用SSL VPN访问堡垒机,公司内网用户直接使用IP访问堡垒机。

4  方案比较
二个访问比较表如下:
比较项 SLB 负载均衡模式 DNS负载均衡模式
二台主用 是 是
切换方式 自动切换 手工切换
复杂度 复杂 简单
成本 高 低
从上表可以看出,DNS负载均衡主要的好处是设置简单(不需要设置SLB等),成本低(不需要使用SLB),但是主要问题时,当出现故障时,需要手工进行切换。

时间: 2024-10-25 21:56:48

麒麟开源堡垒机阿里云双机部署方案​的相关文章

堡垒机-麒麟开源堡垒机阿里云安装包发布

阿里云版本开源堡垒机可以加QQ群452104868 在群文件中下载 一.阿里云Centos系统安装 在阿里云上建立Centos 7.1版本的虚机. 二.堡垒机安装包使用: 堡垒机安装包要安装很多堡垒机需要的rpm包,因此,在安装堡垒机软件前,需要保证与公网连接,并且设置好DNS. 登录到堡垒机后台,运行命令: mkdir  -p /tmp/test/soft 将centos7.tar.gz 上传到系统 /tmp/test/soft目录 cd /tmp/test/soft tar xpvf  ce

开源堡垒机安装测试上线部署详解-----麒麟开源堡垒机

近期出于管理和检查需要,单位领导要求上堡垒机系统,测试了几个商业堡垒机,因为价格超过预算等原因都未购买,又测试了三个开源的堡垒机,感觉麒麟开源堡垒机功能最全,基本上和商业堡垒机一样,唯一的问题就是图形部分不开源,但因为我们的服务器基本上全是LINUX环境,telnet.ssh.ftp.sftp已经足够了因此将这套堡垒机已经用于生产环境. 现在市场商业堡垒机价格太高,基本上都要到10万左右,我结合在公司部署开源堡垒机的经验,将过程写为文档与大家分享. 我测试的其它开源堡垒机基本上还是半成品,麒麟堡

麒麟开源堡垒机安装部署测试及优缺点总结

近期出于管理和检查需要,单位领导要求上堡垒机系统,测试了几个商业堡垒机,因为价格超过预算等原因都未购买,又测试了三个开源的堡垒机,感觉麒麟开源堡垒机功能最全,基本上和商业堡垒机一样,唯一的问题就是图形部分不开源,但因为我们的服务器基本上全是LINUX环境,TELNET.SSH.FTP.SFTP已经足够了因此将这套堡垒机已经用于生产环境. 现在市场商业堡垒机价格太高,基本上都要到10万左右,我结合在公司部署开源堡垒机的经验,将过程写成文档与大家分享. 我测试的其它开源堡垒机基本上还是半成品,麒麟堡

AAA功能部署和测试----麒麟开源堡垒机功能篇之二

AAA服务器在网络管理方面主要用于服务器.网络设备的认证,比如我们常用的CISCO ACS系统,通过 AAA服务器可以把登录设备的帐号统一到AAA系统上进行管理! 另外AAA系统还可以授权记帐,TACACS协议可以限制用户登录设备的级别.可执行的命令,但是RADIUS协议只能限制用户登录的级别,RADIUS协议没有CMD属性,无法限制命令. 堡垒机一般又叫小4A,是集认证.授权.审计.分析与一体的安全设备,我前期测试过多个厂商的堡垒机部分堡垒机有3A功能,这样的好处是可以把网络设备的帐号集中管理

堡垒机-麒麟开源堡垒机 V 1.3 正式发布

麒麟开源堡垒机团队经过1个月的努力,发布V 1.3版本,本版本主要收集了5月开发的小功能,并且增加了大用户量.大设备量,纵深目录层级的优化支持,产品 V1.3 光盘主要新增功能如下(相对 V1.2光盘) 1.增加苹果MAC OS系统客户端的WEB访问支持 2.增加CA认证支持,内置CA证书 3.增加ssh 公私钥认证方式中,私钥中有密码的支持 4.增加安装时小内存(2g)的选项支持 5.增加大客户高性能索引支持,目前某银行上线1.5万台机器 .600个用户.6级目录共计470多个目录分级,经过优

麒麟开源堡垒机与商业堡垒机功能对比

近期因为公司上堡垒机,前期花2个月左右的时间进行调研测试,测试了5款商业堡垒机,后来又测试了开源堡垒机麒麟开源堡垒机和JumpServer,因此得到了一些心得,对堡垒机的整体功能列表.各家堡垒机的优缺点有了一些了解,本文对这些心得进行总结,以功能.使用.成本等角度对商业堡垒机和开源堡垒机进行比较. 商业堡垒机一共测试了5家左右,感觉功能整体上都差不多,目前堡垒机已经进行产品成熟期,产品同化严重,只是某此厂家做的细节的,有一些厂家做的细节不好而已. 开源堡垒机一共测试了2家,一家是麒麟开源堡垒机,

麒麟开源堡垒机银行行业设计方案

 麒麟开源堡垒机银行行业 设计方案 麒麟堡垒机系统 修订记录/Change History 日期 修订版本 描述 作者 2016-2-26 V1.0 将设计部分单独提出,修改用户表格 麒麟 目录 1 文档说明5 1.1 方案概述5 1.2 银行行业运维操作现状5 2 需求分析6 2.1 需求分析6 2.2 实施范围7 3 项目目标7 3.1 集中帐号管理7 3.2 集中身份认证和访问控制8 3.3 集中授权管理9 3.4 单点登录9 3.5 实名运维审计9 4 应用部署规划11 4.1 访问

开源堡垒机测试经历---麒麟开源堡垒机篇

近期出于管理和检查需要,单位领导要求上堡垒机系统,测试了几个商业堡垒机,因为价格超过预算等原因都未购买,又测试了三个开源的堡垒机,感觉麒麟开源堡垒机功能最全,基本上和商业堡垒机一样,唯一的问题就是图形部分不开源,但因为我们的服务器基本上全是LINUX环境,TELNET.SSH.FTP.SFTP已经足够了因此将这套堡垒机已经用于生产环境. 现在市场商业堡垒机价格太高,基本上都要到10万左右,我结合在公司部署开源堡垒机的经验,将过程写成文档与大家分享. 我测试的其它开源堡垒机基本上还是半成品,麒麟堡

堡垒机-麒麟开源堡垒机 v1.31 版本发布

麒麟开源堡垒机团队经过努力,发布了V1.31版本,版本最主要的功能为内嵌了网管监控功能,可以在公司官网下载使用,网管部分代码包含在发布的ISO中. 堡垒机内嵌网管模块可以让管理员在登录堡垒机时即可以看到主机系统运行情况,不需要在登录网管系统查看系统运行状态. V1.31版本网管模块主要功能包括: 1.支持标准的SNMPV2协议,可以对Linux.Unix.Windows.h3c.cisco.华为等系统进行CPU.内存.存贮.网络接口流量进行抓取,并且将数据存贮在RRD图中,任何时候可以查看1小时