原理：

“堡垒机”实际上是旁路在网络交换机节点上的硬件设备，实现运维人员远程访问维护服务器的跳板，即物理上并联，逻辑上串联。简单的说，就是服务器运维管理人员原先是直接通过远程访问技术进行服务器维护和操作，这期间不免有一些误操作或者越权操作，而“堡垒机”作为远程运维的跳板，使运维人员间接通过堡垒机进行对远程服务的的运维操作。如原来使用微软的远程桌面RDP进行windows服务器的远程运维，现在先访问到堡垒机，再由堡垒机访问远程windows服务器。这期间，运维人员的所有操作都被记录下来，可以以屏幕录像、字符操作日志等形式长久保存。在服务器发生故障时，就可以通过保存的记录查看到以前进行的任何操作。

堡垒机的核心技术实际上就是微软的RDP协议，通过对RDP协议的解析，实现远程运维操作的图形审计。

以windows远程运维操作为例，客户端通过RDP协议访问“堡垒机”，再由堡垒机内置的远程访问客户端访问远程windows服务器，即RDP+RDP。

那么图形界面的操作是如何记录下来的呢？实际上堡垒机内部也是Windows操作系统(不一定，有时候是Windows+Linux)，客户端RDP到堡垒机后，又再一次启动了新的RDP，这时堡垒机的windows桌面就是远程访问到远程服务器时的桌面，只需要把这时的桌面情况记录下来就可以了。

由于微软的RDP协议内置了远程访问的屏幕信息，所以只需要正确的解析RDP协议的内容，并且把其中包含的视频信息抽取出来，再进行重组、压缩，就实现了图形操作的审计。

至于字符操作的审计，如FTP，实际上堡垒机内部内置了FTP客户端程序，也是客户端主机先RDP到堡垒机，再由堡垒机启动FTP客户端程序访问远程服务器，这样还是由堡垒机作为跳板，间接地把FTP命令传送到服务器，并把服务器的响应信息反馈给客户端主机，中间的操作过程全都被记录了下来。

远程视频访问的协议还有VNC，但由于VNC是一对一的访问，即同一时间一个客户端主机只能访问一台远程服务器，而RDP协议允许多个客户端同时访问同一个远程服务器，所以一般市场上的堡垒机厂商都是通过解析RDP协议实现运维审计的。