現(xiàn)在是“你電腦直接 SSH 到 EC2”后續(xù)會(huì)改成 “你電腦先 SSH 到堡壘機(jī)再?gòu)谋緳C(jī)跳到目標(biāo) EC2”。1. 現(xiàn)在公網(wǎng)直連 EC2你的電腦│ SSH▼目標(biāo) EC2 公網(wǎng) IP特點(diǎn)- 目標(biāo) EC2 有 公網(wǎng) IP / Elastic IP- 安全組通常需要開(kāi)放 22 端口給你的辦公網(wǎng)絡(luò)或固定 IP- 連接方式簡(jiǎn)單例如ssh -i key.pem ec2-user目標(biāo)EC2公網(wǎng)IP優(yōu)點(diǎn)- 配置簡(jiǎn)單- 連接鏈路短- 排查問(wèn)題容易缺點(diǎn)- 每臺(tái) EC2 都暴露在公網(wǎng)攻擊面更大- 如果機(jī)器多每臺(tái)都要維護(hù)公網(wǎng) IP、安全組規(guī)則、SSH 權(quán)限- 后續(xù)安全合規(guī)上通常不推薦所有業(yè)務(wù)機(jī)器都公網(wǎng)可達(dá)---2. 后續(xù)通過(guò)堡壘機(jī)訪問(wèn) EC2你的電腦│ SSH▼堡壘機(jī) 公網(wǎng) IP18.17.17.5│ SSH走內(nèi)網(wǎng)▼目標(biāo) EC2 內(nèi)網(wǎng) IP特點(diǎn)- 只有 堡壘機(jī)有公網(wǎng) IP- 目標(biāo) EC2 不再允許公網(wǎng)直連甚至可以沒(méi)有公網(wǎng) IP- 目標(biāo) EC2 的安全組只允許來(lái)自堡壘機(jī)的 SSH 訪問(wèn)- 連接目標(biāo) EC2 時(shí)通常使用 內(nèi)網(wǎng) IP例如 10.x.x.x / 172.31.x.x優(yōu)點(diǎn)- 更安全公網(wǎng)入口集中到堡壘機(jī)- 目標(biāo) EC2 不暴露公網(wǎng)- 權(quán)限、審計(jì)、登錄入口更容易統(tǒng)一管理- 適合生產(chǎn)環(huán)境、多臺(tái)服務(wù)器場(chǎng)景缺點(diǎn)- 配置稍微復(fù)雜- 如果堡壘機(jī)不可用會(huì)影響訪問(wèn)后端 EC2- SSH 客戶(hù)端需要配置跳板鏈路---3. Termius 里面的 Host Chaining 是什么截圖里的 Host Chaining 就是 Termius 的“跳板機(jī)連接”功能。它的作用是先連接 A 機(jī)器再通過(guò) A 連接 B 機(jī)器在你的場(chǎng)景里Termius- 堡壘機(jī) 18.17.17.5- 目標(biāo) EC2 內(nèi)網(wǎng) IP也就是說(shuō)Termius 會(huì)幫你自動(dòng)完成類(lèi)似下面這個(gè)命令的效果ssh -J user18.17.17.5 ec2-user目標(biāo)EC2內(nèi)網(wǎng)IP其中- 18.17.17.5 是堡壘機(jī)公網(wǎng) IP- 目標(biāo)EC2內(nèi)網(wǎng)IP 是業(yè)務(wù) EC2 的私有 IP- -J 表示 ProxyJump也就是通過(guò)跳板機(jī)連接---4. Host Chaining 和 Proxy 的區(qū)別Termius 里你看到的兩個(gè)功能- Host Chaining- Proxy它們?nèi)菀谆煜猛静煌?。Host ChainingSSH 跳板機(jī)適合這種場(chǎng)景本地電腦 - 堡壘機(jī) - 內(nèi)網(wǎng) EC2它是 SSH 層面的跳轉(zhuǎn)。你連接的最終目標(biāo)還是 SSH 服務(wù)器只是中間經(jīng)過(guò)一個(gè) SSH 跳板。典型用途- 訪問(wèn)沒(méi)有公網(wǎng) IP 的 EC2- 訪問(wèn) VPC 內(nèi)部機(jī)器- 生產(chǎn)服務(wù)器 SSH 管理推薦你們后續(xù)訪問(wèn) EC2 用這個(gè)。---Proxy網(wǎng)絡(luò)代理Proxy 更像是本地電腦 - HTTP/SOCKS 代理 - 目標(biāo)它通常用于網(wǎng)絡(luò)代理而不是標(biāo)準(zhǔn)的 SSH 跳板鏈。典型用途- 通過(guò) SOCKS5 / HTTP proxy 上網(wǎng)- 某些網(wǎng)絡(luò)環(huán)境下繞過(guò)網(wǎng)絡(luò)限制- 代理 TCP 連接如果你們只是通過(guò)堡壘機(jī) SSH 到內(nèi)網(wǎng) EC2通常不需要用 Proxy直接用 Host Chaining 更合適。---5. 對(duì)比總結(jié)┌──────────────────────────┬─────────────────────────┬─────────────────────────────────────┐│ 項(xiàng)目 │ 公網(wǎng)直連 EC2 │ 通過(guò)堡壘機(jī) │├──────────────────────────┼─────────────────────────┼─────────────────────────────────────┤│ 連接方式 │ 本地直接 SSH 到目標(biāo) EC2 │ 本地先 SSH 到堡壘機(jī)再跳到目標(biāo) EC2 │├──────────────────────────┼─────────────────────────┼─────────────────────────────────────┤│ 目標(biāo) EC2 是否需要公網(wǎng) IP │ 需要 │ 不需要 │├──────────────────────────┼─────────────────────────┼─────────────────────────────────────┤│ 暴露面 │ 每臺(tái) EC2 都可能暴露公網(wǎng) │ 只有堡壘機(jī)暴露公網(wǎng) │├──────────────────────────┼─────────────────────────┼─────────────────────────────────────┤├──────────────────────────┼─────────────────────────┼─────────────────────────────────────┤│ 安全性 │ 較低 │ 更高 │├──────────────────────────┼─────────────────────────┼─────────────────────────────────────┤│ 運(yùn)維復(fù)雜度 │ 簡(jiǎn)單 │ 稍復(fù)雜 │├──────────────────────────┼─────────────────────────┼─────────────────────────────────────┤│ 適合場(chǎng)景 │ 測(cè)試環(huán)境、臨時(shí)機(jī)器 │ 生產(chǎn)環(huán)境、內(nèi)網(wǎng)服務(wù)器 │├──────────────────────────┼─────────────────────────┼─────────────────────────────────────┤│ Termius 配置 │ 普通 Host │ Host Chaining │├──────────────────────────┼─────────────────────────┼─────────────────────────────────────┤│ 目標(biāo) EC2 地址 │ 公網(wǎng) IP │ 內(nèi)網(wǎng) IP │└──────────────────────────┴─────────────────────────┴─────────────────────────────────────┘---6. 后續(xù) Termius 大概這樣配第一步配置堡壘機(jī) HostHost 名稱(chēng)可以叫堡壘機(jī)Host/IP18.17.17.5用戶(hù)名根據(jù) AMI 可能是ubuntu或ec2-user認(rèn)證方式使用對(duì)應(yīng) SSH key。---第二步配置目標(biāo) EC2 Host目標(biāo) EC2 的 Host/IP 不再填公網(wǎng) IP而是填 內(nèi)網(wǎng) IP例如172.31.x.x然后在這個(gè)目標(biāo) Host 里設(shè)置Host Chaining - 選擇堡壘機(jī)這樣以后連接目標(biāo) EC2 時(shí)Termius 會(huì)自動(dòng)先連堡壘機(jī)再通過(guò)堡壘機(jī)連目標(biāo) EC2---一句話總結(jié)▎ 現(xiàn)在是每臺(tái) EC2 都可以被你從公網(wǎng)直接 SSH后續(xù)是只有堡壘機(jī)能從公網(wǎng) SSH其他 EC2 只能通過(guò)堡壘機(jī)走內(nèi)網(wǎng)訪問(wèn)。Termius 里的 Host Chaining 就是用來(lái)配置這種跳板機(jī)訪問(wèn)方式的。