麒麟开源堡垒机网络设备运行方法

linziyuan

首要部分 项目概述

1.1 需求剖析

关于网络设备的运维管理，很多公司现在还没有构成一套完好的管理方式，有些公司在网络设备上使用用户名密码，然后运维人员运用网络设备的本地密码登录后进行运维操作，还有一些公司运用有AAA服务器，将用户名和密匙交AAA服务器一致管理，但这两种形式在运维管理中都存在相应的危险，首要危险如下：

密码外泄：没有一致的密码管理机制，存在很多人员一起运用同一个系统帐号的状况 ，导致系统帐号的密码为多人所知，终究，系统密码十分简单外走漏给第三方人员；

违规歹意操作：对操作人没没有一致的监控、审计系统，操作人员操作的进程无法进行回溯，会导致操作人员越权删去、篡改数据以及装备系统的状况

管理授权混乱：当网络设备多，运维人员数量多，管理授权简单呈现混乱，没有一个一致的系统为运维人员进行授权，而且对权限进行回收操作，构成必定的运维危险

上述这些疑问的因素，都是由于没有一个一致的运维管理渠道，构成运维管理黑盒化导致，因而树立一个安全、牢靠、易用的运维管理渠道，为近期公司IT运维的迫切要求。与此同时国家及职业也相继出台了相关的法律法规及管理规范，如CSOX和等保规矩，需要系统运维在访问控制、操作审计等诸多方面做得更加全面有效的管理。

1.2 建造目的

本计划首要是经过对人员、设备、操作的管理，完成运维管理的白盒透明化，一起将各项运维管理规章准则，能以可监控的方法进行管理落地。项目建造方针首要是以运维进程的安全、操作管理进行，终究到达运维规章准则也许有用履行，依据这些原则，将系统建造方针明细为如下点：

统一的运维管理：树立一致的运维管理渠道（堡垒机系统），用户由以前的直接进入网络设备，改为从堡垒机跳转登录，堡垒机上完成认证、授权、审计及帐号的管理。

认证权限会集管理：堡垒机上发动AAA服务器，将网络设备的认证一致放到AAA服务器上，AAA服务器上的密码系统能够主动准时修正，不需求运维人员知道AAA服务器上的密码，当用户想要登录网络设备时，由运维渠道主动为运维人员填写登录密码，这么能确保终究设备密码的安全性。

强认证管理：用户登录堡垒机时，有必要运用令牌卡生成的动态口令登录，这么能够维护用户的口令安全性，而且能够做到认证的不可否认。

运维操作的审计和剖析：运维人员登录到网络设备进行操作后，运维渠道对整个操作进程进行录相、剖析，经过渠道能够对任何一个操作进程进行回溯，同时，平台能够剖析全体运转状况，比方运维人员的巡检、故障扫除计算等，审计剖析能够使运维管理白盒可视化，以便管理人员能够随时了解当时运维操作状况的意图，以使运维管理准则得以落地。

迅速定位疑问：有必要对操作人员原始的操作进程进行完好的记录，并供给灵敏的查询查找机制，从而在操作毛病发作时，迅速的定位毛病的因素，复原操作的现场；

兼容操作习惯 ：尽量不改动运维环境中已有的网络架构、对操作者原有的操作习气不构成任何影响；

1.3 计划规划

1.3.1 计划全体规划

整系统统以运维安全管理规章制度有效运行、运维管理白盒可视化为设计实施依据，系统整体设计思路如下：

规章准则施行是准则：运维管理，首要是经过规章准则对人的做法进行操控，进行确保系统的安稳运转，因而，运维管理本来其本质即是规矩准则的有用施行，全体运维渠道上线，最大的意图即是将运维管理从不可视的黑盒管理改为可视的白盒管理，同时，经过主动巡检、密码主动修正、SSO等功用大大减轻运维人的作业强度。

规章准则施行首要依托身份认证、授权操控、审计剖析来完成。

身份认证是前提：身份管理处理的是操作者的身份辨认和作业人物的疑问。由于一切的操作做法都是由操作者发起的，经过操作者的身份管理机制，是后续对操作者操作进程进行操控和审计的根底。

操控权限是技巧：经过访问操控手法确保合法的操作者只能合法的访问资本，可降低未授权访问的安全危险。

审计剖析是确保：操作审计的含义在于当发生操作事故时，能够凭借审计日志迅速定位疑问的因素，复原操作的现场，真正完善职责认定的系统。操作剖析能够让管理层得以有用掌握现在运维管理的状况，完成运维管理的合规化。

1.3.2 计划详细规划

旁路统一进口形式，完成会集管理

    运维操作管理系统选用“旁路统一进口”的形式完成会集管理，这种部署形式的优点是在部署进程中，无需在被管理设备上装置任何署理程序或插件，也不需求调整设备之间原有的网络架构，对用户当时的运维环境简直不会构成任何影响。设备的物理部署图如下：

部署说明：

1. 部署方法是旁路部署；

2. 部署条件是运维管理渠道到被管理设备IP可达，协议可拜访、运维终端到运维管理渠道IP可达、协议可拜访；

3. 一切被管理的网络设备将AAA认证指到堡垒机上，在堡垒机上为一切设备树立Radius帐号，登录这些设备时，认证在堡垒机上进行

4. 为一切的运维人员在堡垒机上树立运维帐号，而且为运维帐号做出权限列表，即为运维帐号指定能登录到哪些网络设备

5. 登录进程：一切用户登录网络设备时有必要经过堡垒机跳登录，用户用仅有的用户帐号登录到运维操作管理系统上，然后运维操作管理系统会依据装备管理员预先设置好的拜访操控规矩，提示用户挑选能够拜访的方针设备和相应系统帐号，用户挑选后主动登录到方针设备，用户登录堡垒机时，需求运用动态令牌卡生成动态口令进行登录，以确保认证的安全性

6. 用户登录后的一切操作都会被录相留存

7. 系统运用Active-Standby的双机热备部署形式。

第二部分 功能实现

1.4 系统模块

本次系统首要环绕运维安全性、可管理性而建造，首要需求完成包含一致进口管理、一致授权、一致认证、一致审计、一致剖析、及时告警六大项功用，对于这六大项基本功用，将系统模块分为如下几块：

统一接入模块：

统一接入模块首要完成进口一致管理，包含运维管理登录Portal、双署理模块、VPN移动用户接入三部分。

运维管理登录Portal为用户供给一个一致的登录进口地址，将用户登录进口一致今后，才能进行针对性管理，统一Portal形式是一个登录的Web界面，用户登录Web界面后，能够看到本身的一切权限，经过占击相应的权限连接到相应的服务器。

双向署理模块用于供给用户自启客户端的登录方法，通过双代理模式，用户能够点过WebPortal，直接运用SecureCRT、Mstsc等任何东西登录，双代理模块形式相关于WebPortal形式完全不改动用户操作习惯，用户更适宜承受。

VPN模块用于供给运维用户远程接入，从管理视点来说，运维事务系统为一个专有系统区别于办公、财务等系统，因此，一般情况下运维平台应该具备VPN接入的功能，让运维人员有一个专门的VPN接入接口与其它部分分离。

认证授权模块：

认证授权模块首要完成动态口令、单点登录、权限管理、密码管理四个功能

动态口令用于处理现在静态密码的各种坏处，能够完全的完成密码丢失、弱口令、密码扫描等安全疑问，一个规范的运维系统动态口是是有必要具有的一个功用模块。

单点登录用于让用户登录到运维渠道后，即能够不需求输入其它系统的密码，直接登录到现已授权的系统，能够完成密码屏蔽、登录便利等功能。

权限管理，用于指定用户的操作权限，包含用户能够登录到的设备、能够运用的设备帐号以及登录到设备上能够履行的操作指令等。

密码管理用于协助用户履行密码规章准则中的密码修正战略，密码修正策略上线后，密码管理软件能够主动按密码战略对系统密码进行修正，以使管理准则落地。

审计剖析模块：

审计模块用于对操作人员的操作进行录相和剖析，用户经过运维管理渠道登录到事务系统后，所进行的操作都会被运维管理渠道录相，同时，剖分出用户的明细操作，包含用户运转的指令、敲击的键盘、上传下载的文件、数据库指令、数据库操作取回的数据等，经过审计剖析，能够对操作人员的操作进程进行评判，评判他的操作进程是不是有违归、歹意操作，一起假如发作误操作，能够及时回溯，康复到系统本来的正常状况。

此外，审计剖析模块还有实时审计功能，管理者能够在任何地方将任何操作人员的屏幕切到自个的屏幕上进行监控。

日志相关模块：

运维管理中，日志系统的剖析和关联是很重要的一块，没有日志关联，很难将系统发生的事情与运维操作相关起来，运维关联模块能够将用户登录、运转指令、系统日志等一系统事情一致相关，让管理者不需求经过涣散的日志、网管、堡垒机系一致样相同的剖析事情因素，大大提高了运维功率和事情剖析的准确性。

告警模块：

告警模块用于当用户发作恶意、违规等操作时，以短信、邮件、SYSLOG、Console等方法及时实时告诉相应管理人员，以让管理者及时处理这些事情。

f1662

11111111111111111111111111

w1305

感谢楼主分享！！