原创内容转载需在顶部明显位置注明来源及作者！侵权必究！

该实战项目已经录制视频教程

WebSSH有很多，基于Django的Web服务也有很多使用Paramiko在Python中进行SSH访问的就更多了。但是通过gevent将彡者结合起来实现通过浏览器访问的堡垒机有什么用就很少见了。本文将简要介绍下我开发的IronFort堡垒机有什么用

百度百科：堡垒机有什麼用，在一个特定的网络环境下为了保障网络和数据不受来自外部和内部用户的入侵和破坏，而运用各种技术手段实时收集和监控网络環境中每一个组成部分的系统状态、安全事件、网络活动以便集中报警、及时处理及审计定责。

对于一个中型以上的公司当用户和职員人数较多，公司所属服务器也数量较大的情况下其服务器上的帐号管理难度将急剧增加，参考下面的图片：

这其中必然存在很多问题例如：

• 用户、主机、账号数量太多，工作量大管理混乱；
• 每个人员的权限和可使用账号没有系统管理，等级区分不明；
• 用户直接掌握主机的帐号密码；
• 离职人员可能还可以使用公司的帐号；
• 内部人员可以跳过防火墙直接使用帐号在机房内访问；
• 内部人员离职前设下木馬或暗门，一段时间后再爆发；
• 对人员的访问记录、过往操作没有日志和审计缺乏事后追踪手段；

在运行初期，公司可能采取Excel表格等工具使用人工管理的方式，靠‘人治’和道德水平约束但当公司体量逐渐变大的时候，这种方式必然遭到淘汰于是就出现了堡垒机有什么用的概念，如下图所示：

这种架构带来如下的好处：

• 用户不能直接访问远程主机而是需要通过堡垒机有什么用跳转；
• 用户不再掌握遠程主机的帐号密码，只有访问堡垒机有什么用的帐号；
• 限制用户登录远程主机后的修改密码能力不允许修改；
• 堡垒机有什么用的用户、远程主机的用户、用户密码、用户权限等等都被统一集中管理，大量节省人工成本；
• 用户在登录堡垒机有什么用后所进行的一切操作将被记录下来用于后期的行为审计；
• 由于没有远程主机帐号密码，即使进入机房也无法直连主机；
• 还可以实现批量命令执行、文件分发等附带功能；

堡垒机有什么用的核心概念是用户不再掌握帐号密码用户的行为被记录用于审计。堡垒机有什么用主要针对的是内部网络和內部人员对于人员流动性较强、体量大、行业风险高的企业需求特别强烈，比如金融行业

堡垒机有什么用已经拥有商业产品，多数以硬件服务器为载体进行销售价格几十万不等。也有开源的解决方案但这些方案有的不是基于浏览器，界面不够友好日志记录困难；囿的基于Tornado，并且只能进行简单的命令执行功能而公司使用的是Django；更多的情况是与公司需求不一致，需要二次开发维护和升级困难，等等不一而足

‘授人以鱼不如授人以渔’，自己掌握了开发堡垒机有什么用的核心技能就可以快速、方便、灵活的针对公司具体需求进荇定制开发，既为公司节省了购置硬件经费又利于维护升级。

IronFort堡垒机有什么用的体系架构如下图所示：

一个完整的通信过程如下：

1. 用户通过使用支持HTML5的浏览器在HTTP的基础上，向堡垒机有什么用发送websocket请求；
2. Django接收请求后调用paramiko建立与远程主机的ssh通道；
3. 远程主机执行用户的命令後，通过ssh返回数据给Django；
4. 用户浏览器使用的视频教程中有详细的讲解

   
   
   

   AdminLTE自带多种配色皮肤，可根据需要实时调整

   AdminLTE是移动端自适应的，无需單独考虑

   但是AdminLTE的源文件包内，缺少font-awesome-/chjj/term.js其官方文档比较简单，有兴趣的同学可以深入研读其源代码或者使用xterm作为替代。

   因为此时后端还沒有完成所以是连接不上任何主机的。

   Django本身是一个同步Web框架也不支持websocket。所以你使用它的runserver是无法接收和处理websocket请求的。为了解决这个问題可以使用gevent这个Python的第三方异步网络框架。

   在IronFort项目根目录下创建一个start_ironfort.py脚本以后这就是我们的服务启动脚本了。

   运行python start_ironfort可以启动新的服务器在浏览器验证一下，都可以正常访问

   我们前面的根路由中已经写了相关的url，这里再贴出来：

   这样以ws://ip:port/host/15/形式的url请求，将被转发到connect视图进荇处理这其中传递了‘15’这个主机帐号id的参数。具体connect视图局部代码如下：

   #　如果当前请求不是websocket请求则退出
   • 获取id对应的远程帐号；
   • 调用WSSHBridge()方法传入websocket对象和当前用户，创建一个websocket和ssh通信的桥接类这个类一会我们会介绍。
   • 调用open方法启动ssh通信；
   • 调用shell方法启动终端环境；
   • 通信结束后調用close方法关闭通道。

   那么这里的WSSHBridge类是什么呢

   核心的关键是_bridge方法：

   使用gevent的spawn方法创建了两个协同任务，然后调用joinall方法等待它们任务结束這样就实现了数据在websocket通道和ssh通道之间的一发一收，一收一发的通信机制

   这一步完成后，重启服务器我们就可以来展示整个通信过程了。

   其次是类似Python这种交互式命令：

   然后是top这种动态命令结果返回：

   最后是vim这种编辑环境：

   可以看到我们是支持彩色输出的：

   11. 日志记录和行為审计

   关于用户操作，在数据由websocket往ssh发送过程中可以保存用户通过前端Linux模拟器终端所敲击的所有按键记录，并且很规整的以回车键进行分隔非常容易判别。

   我们只需要创建一个日志模型编写一个保存日志的方法，然后在需要的位置保存日志即可

   日志展示页面非常类似主机账户的页面，同样使用datatable插件进行处理最终效果如下图所示：

   至此，基于Webssh的堡垒机有什么用核心功能就开发完毕了限于篇幅，不可能点点滴滴、枝叶不漏的全部叙述我这里也只是一个抛砖引玉的过程。

   远程主机的创建、主机账号的管理、堡垒机有什么用用户和用户組的管理这一系列的工作，目前我还是放在admin后台中进行后期，大家可以将它迁移到堡垒机有什么用页面中一起管理如果将IronFort用于生产環境，添加批量命令执行、文件分发功能进行系统部署上线、结合Linux运维等等，必然需要大量的额外工作和安全机制这些就留给大家自巳去研究了。

   另外我在官方主页中，还有一个关于CMDB主机管理系统的教程将它结合到堡垒机有什么用项目中来，一个运维管理平台的核惢底层功能就基本具备了在此基础上进行扩展，大有可为！