当前位置：首页 > news >正文

【Linux】SSH：简单端口转发的跳板机

news 来源：原创 2025/6/14 12:07:39

本教程介绍如何配置一个SSH跳板机（堡垒机），允许特定用户（jumpuser）通过跳板机转发连接到内网机器，同时禁止直接登录或在跳板机上执行命令。配置设计简洁、安全且易于维护。此外，还包括如何将特定内网主机名（如 xxx.intranet）绑定到特定IP地址的步骤。

在跳板机上创建专用用户 jumpuser，并限制其直接登录权限。

sudo useradd -m jumpuser -s /usr/sbin/nologin

这确保 jumpuser 无法直接登录或在跳板机上执行命令。

修改跳板机的SSH服务器配置文件（/etc/ssh/sshd_config），为 jumpuser 设置限制并启用端口转发。

在 /etc/ssh/sshd_config 文件末尾添加以下 Match User 配置块：

Match User jumpuserForceCommand echo '此账户仅用于跳板机，无法直接登录。'; exit 1PermitTTY noAllowTcpForwarding yesPermitOpen anyX11Forwarding no

指令	作用
`ForceCommand`	执行固定命令（显示提示并退出），阻止其他命令执行。
`PermitTTY no`	禁用TTY分配，防止交互式会话。
`AllowTcpForwarding yes`	启用SSH端口转发，允许 `jumpuser` 使用跳板机作为代理。
`PermitOpen any`	允许转发到任意内网主机和端口（默认受限）。
`X11Forwarding no`	禁用X11图形转发，增强安全性。

更新配置后，重启SSH服务：

sudo systemctl restart sshd

为了将特定内网主机名（例如 xxx.intranet）绑定到特定IP地址（如 10.0.0.10），在跳板机上修改 /etc/hosts 文件。

注意：此配置仅在跳板机上生效。如果内网其他机器需要解析 xxx.intranet，需要在每台机器的 /etc/hosts 文件中添加类似条目，或使用内网DNS服务器统一管理。

在客户端机器上，配置 ~/.ssh/config 以简化通过跳板机访问内网主机。

在 ~/.ssh/config 中添加以下内容：

Host *.intranetProxyJump jumpuser@jump.example.com

或者直接使用命令行：

ssh -J jumpuser@jump.example.com xxx.intranet

操作	结果
`ssh jumpuser@jump.example.com`	❌ 拒绝（显示提示并退出）
`ssh -J jumpuser@jump.example.com xxx.intranet`	✅ 允许（连接到 `10.0.0.10`）
`ssh -J jumpuser@jump.example.com 10.0.0.10`	✅ 允许（连接到内网主机）

为进一步提高跳板机安全性，建议以下措施：

禁用密码认证
在 /etc/ssh/sshd_config 中添加以下内容，强制使用密钥认证：
```
PasswordAuthentication no
```
这将禁用密码登录，增强安全性。
使用Fail2Ban或防火墙
使用 fail2ban 或防火墙（如 iptables、ufw）阻止暴力破解攻击。
限制跳板机访问
通过防火墙规则或 sshd_config 中的 AllowUsers 或 ListenAddress 限制特定IP范围的SSH访问。
监控日志
定期检查SSH日志（/var/log/auth.log 或 /var/log/secure），以发现可疑活动。