目前流行堡垒机:
商业:绿盟、行云管家、Fit2Cloud、科友、齐治、金万维、极地、派拉和镁盾等
开源:jumpserver、teleport、CrazyEye、麒麟、cheungSSH、GateOne ×××
开源堡垒机简介
集中安全运维堡垒机 http://www.itosas.com/
jumpserver:github上开源堡垒机,可以购买商业技术支持。http://www.jumpserver.org/
teleport:github上开源堡垒机,没有商业版。http://teleport.eomsoft.net/
CrazyEye:个人制作的堡垒机,没有官网,也鲜有资料。
麒麟堡垒机:开源版只支持一部分功能,剩下的功能需要购买。http://www.tosec.com.cn/
堡垒机xrdp: http://www.xrdp.org/ https://github.com/neutrinolabs/xrdp
开源堡垒机GateOne
作用:
堡垒机综合了运维管理和安全性的融合,切断了终端计算机对网络和服务器资源的直接访问,而是采用协议代理的方式,接管了终端计算机对网络和服务器的访问。形象地说,终端计算机对目标的访问,均需要经过堡垒机的翻译。
使用目的:
权限分发,审计定责
开源堡垒机对比介绍
Jumpserver
Jumpserver 是全球首款完全开源的堡垒机,使用GNU GPL v2.0开源协议,是符合4A(认证Authentication、账号Account、授权Authorization、审计Audit)的专业运维审计系统。Jumpserver 使用Python / Django 进行开发,遵循 Web 2.0 规范,配备了业界领先的 Web Terminal 解决方案,交互界面美观、用户体验好。 Jumpserver 采纳分布式架构,支持多机房跨区域部署,中心节点提供 API,各机房部署登录节点,可横向扩展、无并发访问限制。
GitHub: https://github.com/jumpserver/jumpserver
Teleport
Teleport是触维软件推出的一款简单易用的堡垒机系统,具有小巧、易用、易于集成的特点,支持RDP和SSH协议的跳转。Teleport由两大部分构成:Teleport跳板核心服务和WEB操作界面
Teleport非常小巧且极易安装部署:仅需一分钟,就可以安装部署一套您自己的堡垒机系统!!
GitHub: https://github.com/eomsoft/teleport
GateOne
GateOne是一款基于HTML5的开源终端模拟器/SSH客户端,同时内置强大的插件功能。它自带的插件使其成为一款令人惊艳的SSH客户端,但是,它可以用于运行任何终端应用。用户可以将GateOne嵌入其他应用程序从而提供各类终端访问界面,它也支持各类基于Web的管理界面
GitHub: https://github.com/liftoff/GateOne
CrazyEye
CrazyEye是基于Python开发的一款简单易用的IT审计堡垒机,通过对原生ssh代码进行了部分修改,从而实现用户在登录堡垒机后,他所有的命令操作都将被实时抓取并写入审计日志,以供后期审计,目前CrazyEye主要实现了以下功能:
用户行为审计
底层使用原生ssh,不牺牲ssh使用体验,对用户操作无任何影响
支持对主机进行分组管理
可为运维人员分配指定服务器、指定账号的操作权限,即一个用户可以登录多少生产服务器,以及登录后有什么权限,都可以自如的控制
用户登录堡垒后的所有操作均可被记录下来以供日后审计.
主机批量操作
GitHub:https://github.com/triaquae/CrazyEye
jumpserver和teleport对比:
序号 | teleport | jumpserver |
1 | 安装简单,部署容易 | 安装复杂,涉及python3.6,需要调整与yum的冲突项,需要人工调整部分参数 |
2 | 只能使用自动登录方式,分权前需要配置好账号和密码,点击即登录,不需要人工输入密码 | 可以使用自动登录和手动登录两种,手动登录是指在通过堡垒机连接上服务器之后,再输入密码 |
3 | 自带sftp上传工具,双击即上传 | 需要通过软件上传到堡垒机所在服务器,再下发到主机,比较麻烦 |
4 | 不带有ansible,无法自动收集服务器的信息 | 带有ansible,可以自动获取服务器的信息,目前已知可以收集Linux服务器数据,暂不知道是否可以收集Windows的数据信息 |
5 | 可以选择使用xshell或putty或CRT等终端进行连接 | 默认使用网页终端,暂时不知道是否可以启用第三方终端软件 |
6 | 使用RDP协议对Windows服务器进行连接,不需要在堡垒机安装额外软件,只需要在服务器端修改一个配置 | Windows默认无法使用,需要堡垒机上安装一个镜像包才能使用,同时要求堡垒机运行在CentOS7上 |
7 | 目前测试强制断开终端均成功 | 测试发现,偶尔出现无法中断情况,需多次点击 |
8 | 登录堡垒机暂时只支持本地认证 | 可以使用LDAP进行登陆认证 |
9 | 使用者需要在电脑安装一个体量很小的软件 | 不需要在客户机安装任何软件,因为使用网页控制服务器 |
10 | 无商用版本,可以给开发者进行捐赠 | 有商业版本,可以购买技术支持 |
11 | 并发量未知 | 并发量未知 |
界面:
teleport:
jumpserver: