开源jumpserver跳板机系统安装使用

其他 2020-03-09 10:50:51 阅读次数: 0

开源jumpserver跳板机系统安装使用

 

　　跳板机估计大部分运维朋友都接触过，公司服务器多了，不可避免的需要用到跳板机，如果是自己运维人员用，没有太高需求使用跳板机系统，直接利用一台具有公网IP的服务器登录然后内网SSH到目标服务器即可。
但是有以下一些情况，让我们需要部署跳板机系统了：
　　1. 网安等保评测（这点儿不用多说，做过等保的朋友应该都清楚）；
　　2. 部分开发人员因为需要登录线上服务器协助排查问题，这种情况一般是没有实时的日志收集分析系统，所以需要开发人员登录服务器跟踪分析日志；
　　3. 运维团队内部需要做审计、记录服务器操作等；

　　而个人对比使用了一些跳板机系统，个人认为jumpserver这款软件是当前最好用，最合适的开源跳板机系统，一些付费的功能比较强大，界面也美观，但是毕竟太贵了，小公司用不起，也没那个必要。
　　Jumpserver 使用 Python / Django 进行开发，可以管理SSH、 Telnet、 RDP、 VNC 协议资产，对于Linux和Windows服务器来说都能控制，具有美观的web管理页面，登录资产都可以在web页面操作，这样也避免开发人员等少量使用服务器的人都安装SSH 客户端软件。
介绍下jumpserver都有哪些组件需要安装：
　　1. Jumpserver 为管理后台, 管理员可以通过 Web 页面进行资产管理、用户管理、资产授权等操作, 用户可以通过 Web 页面进行资产登录, 文件管理等操作；
　　2. Coco 为 SSH Server 和 Web Terminal Server 。用户可以使用自己的账户通过 SSH 或者 Web Terminal 访问 SSH 协议和 Telnet 协议资产；
　　3. Luna 为 Web Terminal Server 前端页面, 用户使用 Web 方式登录受控服务器所需要的组件；
　　4. Guacamole 为 RDP 协议和 VNC 协议资产组件, 用户可以通过 Web Terminal 来连接 RDP 协议和 VNC 协议资产 (暂时只能通过 Web Terminal 来访问)，简单说就是受控服务器为Windows时需要安装；
　　由于我们没有Windows服务器，全部都是Linux服务器，所以只安装jumpserver、coco和luna 三个组件，具体安装过程不会详细说明，官方文档已经够详细，这里简单记录，主要加一些自己安装使用心得。
基本环境介绍：
　　1. 系统版本：CentOS Linux release 7.6.1810 (Core)
　　2. jumpserver版本 1.5
　　3. 已安装NGINX，Redis，MySQL
　　4. 软件安装目录定义到/data/jumpserver
第一次接触的朋友可以参考官方详细安装文档： http://docs.jumpserver.org/zh/master/setup_by_centos.html 
如果只是想体验测试一下，可以安装官方提供的docker版，生产环境正式使用就不建议使用docker版了，请参考： http://docs.jumpserver.org/zh/master/dockerinstall.html 
一：安装Python3环境
jumpserver是基于Python3开发，默认centos系统都是Python2环境，这里保留Python2环境，安装Python3 并使用Python3虚拟环境功能。
1. 安装基本工具软件

  1. [root@cnyunwei ~]# yum -y install wget gcc git #现在云服务厂商服务器基本都预装了epel源，如果没有epel源 就安装下 epel-release

2. 安装Python3及工具

  1. [root@cnyunwei ~]# yum -y install python36 python36-devel

3. 创建Python3虚拟环境

  1. [root@cnyunwei ~]# cd /data
  2. [root@cnyunwei ~]# python3.6 -m venv py3_venv
  3. [root@cnyunwei ~]# source /data/py3_venv/bin/activate
  4. 执行source命令后当前终端会变成下面这样，就代表当前终端在Python3环境下
  5. (py3_venv) [root@cnyunwei ~]#

二：安装jumpserver组件
这里建议大家直接用Git方式拉取代码，方便后面进行软件升级，直接到GitHub上下载zip包方式不太便于软件版本升级
1.安装jumpserver管理系统

  1. (py3_venv) [root@cnyunwei ~]# cd /data/jumpserver
  2. (py3_venv) [root@cnyunwei jumpserver]# git clone --depth=1 https://github.com/jumpserver/jumpserver.git
  3. (py3_venv) [root@cnyunwei jumpserver]# cd ./jumpserver/requirements
  4. (py3_venv) [root@cnyunwei jumpserver]# yum -y install $(cat rpm_requirements.txt)
  1. (py3_venv) [root@cnyunwei jumpserver]# pip install --upgrade pip setuptools
  2. (py3_venv) [root@cnyunwei jumpserver]# pip install -r requirements.txt
  3. pip安装依赖组件一般容易报错，大家得根据自己服务器报错对应解决

创建MySQL数据库，并授权

  1. mysql -uroot -p -e "create database jumpserver default charset 'utf8'; grant all on jumpserver.* to 'jumpserver'@'127.0.0.1' identified by 'PASSWORD'; flush privileges;"
  2. #PASSWORD 替换为自己需要创建的密码

修改jumpserver配置文件

  1. (py3_venv) [root@cnyunwei ~]# cd /data/jumpserver/jumpserver
  2. (py3_venv) [root@cnyunwei ~]# cp config_example.yml config.yml
  1. [root@cnyunwei ~]# SECRET_KEY=`cat /dev/urandom | tr -dc A-Za-z0-9 | head -c 50` # 生成随机SECRET_KEY
  2. [root@cnyunwei ~]# echo "SECRET_KEY=$SECRET_KEY" >> ~/.bashrc
  3. [root@cnyunwei ~]# BOOTSTRAP_TOKEN=`cat /dev/urandom | tr -dc A-Za-z0-9 | head -c 16` # 生成随机BOOTSTRAP_TOKEN
  4. [root@cnyunwei ~]# echo "BOOTSTRAP_TOKEN=$BOOTSTRAP_TOKEN" >> ~/.bashrc
  5. [root@cnyunwei ~]# sed -i "s/SECRET_KEY:/SECRET_KEY: $SECRET_KEY/g" /data/jumpserver/jumpserver/config.yml
  6. [root@cnyunwei ~]# sed -i "s/BOOTSTRAP_TOKEN:/BOOTSTRAP_TOKEN: $BOOTSTRAP_TOKEN/g" /data/jumpserver/jumpserver/config.yml
  7. [root@cnyunwei ~]# sed -i "s/# DEBUG: true/DEBUG: false/g" /data/jumpserver/jumpserver/config.yml
  8. [root@cnyunwei ~]# sed -i "s/# LOG_LEVEL: DEBUG/LOG_LEVEL: ERROR/g" /data/jumpserver/jumpserver/config.yml
  9. [root@cnyunwei ~]# sed -i "s/# SESSION_EXPIRE_AT_BROWSER_CLOSE: false/SESSION_EXPIRE_AT_BROWSER_CLOSE: true/g" /data/jumpserver/jumpserver/config.yml
  10. [root@cnyunwei ~]# sed -i "s/DB_PASSWORD: /DB_PASSWORD:数据库密码/g" /data/jumpserver/jumpserver/config.yml

配置文件替换了最好还是要vim打开看看里面配置，MySQL，Redis配置是否正确。

启动jumpserver服务，这里暂时不需要后台运行，所以不加-d参数，启动后打开新终端看下默认8080端口是否已经启动监听。

  1. (py3_venv) [root@cnyunwei ~]# cd /data/jumpserver/jumpserver
  2. (py3_venv) [root@cnyunwei ~]# ./jms start all

2. 安装coco组件

  1. [root@cnyunwei ~]# cd /data/jumpserver
  2. [root@cnyunwei jumpserver]# source /data/py3_venv/bin/activate
  3. (py3_venv) [root@cnyunwei jumpserver]# git clone --depth=1 https://github.com/jumpserver/coco.git
  1. (py3_venv) [root@cnyunwei jumpserver]# cd /data/jumpserver/coco/requirements
  2. (py3_venv) [root@cnyunwei requirements]# yum -y install $(cat rpm_requirements.txt)
  3. (py3_venv) [root@cnyunwei requirements]# pip install -r requirements.txt

修改配置文件

  1. (py3_venv) [root@cnyunwei ~]# cd /data/jumpserver/coco
  2. (py3_venv) [root@cnyunwei coco]# cp config_example.yml config.yml
  3. (py3_venv) [root@cnyunwei coco]# sed -i "s/BOOTSTRAP_TOKEN: /BOOTSTRAP_TOKEN: $BOOTSTRAP_TOKEN/g" /data/jumpserver/coco/config.yml
  4. (py3_venv) [root@cnyunwei coco]# sed -i "s/# LOG_LEVEL: INFO/LOG_LEVEL: ERROR/g" /data/jumpserver/coco/config.yml

启动coco服务，同样的，因为现在是调试阶段，为了方便看报错，不后台运行，后面要配置system启动脚本。

  1. (py3_venv) [root@cnyunwei coco]# ./cocod start

　　这个时候已经可以登录到jumpserver 测试系统是否正常使用了，访问http://your ipaddr:8080 ，默认账号: admin 密码: admin
3. jumpserver和coco添加system启动脚本
　　前面两步都没问题，并且成功登录到jumpserver管理系统后就该配置启动脚本了，centos7我们采用system脚本方式。

  1. [root@cnyunwei ~]# vim /usr/lib/systemd/system/jms.service
  2. [Unit]
  3. Description=jms
  4. After=network.target mysqld.service redis.service
  5. Wants=mysqld.service redis.service
  6.  
  7. [Service]
  8. Type=forking
  9. Environment="PATH=/data/py3_venv/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/root/bin"
  10. ExecStart=/data/jumpserver/jumpserver/jms start all -d
  11. ExecReload=
  12. ExecStop=/data/jumpserver/jumpserver/jms stop
  13.  
  14. [Install]
  15. WantedBy=multi-user.target
  1. [root@cnyunwei ~]# vim /usr/lib/systemd/system/coco.service
  2. [Unit]
  3. Description=coco
  4. After=network.target jms.service
  5.  
  6. [Service]
  7. Type=forking
  8. PIDFile=/data/jumpserver/coco/coco.pid
  9. Environment="PATH=/data/py3_venv/bin"
  10. ExecStart=/data/jumpserver/coco/cocod start -d
  11. ExecReload=
  12. ExecStop=/data/jumpserver/coco/cocod stop
  13.  
  14. [Install]
  15. WantedBy=multi-user.target

4.安装luna前端
　　luna是一个纯静态页面，所以下载zip包解压，配置上NGINX即可。

  1. [root@cnyunwei ~]# cd /data/jumpserver/
  2. [root@cnyunwei jumpserver]# wget https://github.com/jumpserver/luna/releases/download/1.5.0/luna.tar.gz
  3. [root@cnyunwei jumpserver]# tar xf luna.tar.gz
  4. [root@cnyunwei jumpserver]# chown root:root -R luna

5. 配置NGINX

  1. [root@cnyunwei ~]# cat /usr/local/nginx/conf/vhost/jumpserver.conf
  2. server {
  3. listen 443 ssl http2;
  4. ssl on;
  5. ssl_certificate /usr/local/nginx/conf/ssl/cnyunwei.cc.cer;
  6. ssl_certificate_key /usr/local/nginx/conf/ssl/cnyunwei.cc.key;
  7. ssl_session_timeout 5m;
  8. ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
  9. ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4!DH:!DHE;
  10. ssl_prefer_server_ciphers on;
  11. server_name jmp.cnyunwei.cc;
  12. client_max_body_size 100m; # 录像及文件上传大小限制
  13. location /luna/ {
  14. try_files $uri / /index.html;
  15. alias /data/jumpserver/luna/; # luna 路径, 如果修改安装目录, 此处需要修改
  16. }
  18. location /media/ {
  19. add_header Content-Encoding gzip;
  20. root /data/jumpserver/jumpserver/data/; # 录像位置, 如果修改安装目录, 此处需要修改
  21. }
  23. location /static/ {
  24. root /data/jumpserver/jumpserver/data/; # 静态资源, 如果修改安装目录, 此处需要修改
  25. }
  27. location /socket.io/ {
  28. proxy_pass http://localhost:5000/socket.io/; # 如果coco安装在别的服务器, 请填写它的ip
  29. proxy_buffering off;
  30. proxy_http_version 1.1;
  31. proxy_set_header Upgrade $http_upgrade;
  32. proxy_set_header Connection "upgrade";
  33. proxy_set_header X-Real-IP $remote_addr;
  34. proxy_set_header Host $host;
  35. proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
  36. access_log off;
  37. }
  38.  
  39. location /coco/ {
  40. proxy_pass http://localhost:5000/coco/; # 如果coco安装在别的服务器, 请填写它的ip
  41. proxy_set_header X-Real-IP $remote_addr;
  42. proxy_set_header Host $host;
  43. proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
  44. access_log off;
  45. }
  46.  
  47. location / {
  48. proxy_pass http://localhost:8080; # 如果jumpserver安装在别的服务器, 请填写它的ip
  49. proxy_set_header X-Real-IP $remote_addr;
  50. proxy_set_header Host $host;
  51. proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
  52. }
  53. }
  54.  
  55. server {
  56. listen 80;
  57. server_name jmp.cnyunwei.cc;
  58. rewrite ^ https://$server_name$request_uri? permanent;
  59. }

三. 访问测试
　　启动NGINX，通过配置的域名地址 https://jmp.cnyunwei.cc 登录，可以看到整个系统的界面确实还是非常美观的，功能上来说也都足够使用。

jumpserver跳板机系统主要需要设置两个账户：管理用户，系统用户 需要先创建好这两个类型的用户。
　　管理用户是资产（被控服务器）上的root，或拥有 NOPASSWD: ALL sudo权限的用户， Jumpserver使用该用户来 `推送系统用户`、`获取资产硬件信息`等。
　　系统用户是 Jumpserver跳转登录资产时使用的用户，可以理解为登录服务器的用户名，就像直接SSH登录服务器一样，可以使用root，也可以使用其他普通账户。

接下来就可以添加资产了，资产添加后检测成功在列表中还会显示资产基本配置情况：

四：登录受控服务器
登录方式一：通过web页面登录，admin账号下通过【会话管理】-【web终端】即可打开luna

在页面选择对应服务器即可登录

登录方式二：通过SSH 连接到jumpserver服务器
　　这里要注意了，SSH 的端口不是Linux系统sshd服务的端口，是coco服务监听的端口，默认coco监听端口是2222

  1. ssh -p 2222 admin@jump.cnyunwei.cc

　　整体评测下来jumpserver完全满足我们对跳板机系统的需求，web方式登录更方便，不需要有SSH客户端，而SSH 的方式登录更方便配合rz、sz 等命令上传下载文件，虽然web版也可以进行文件上传下载，但是操作起来不是那么方便。
　　以上就是对jumpserver跳板机系统的基本记录了，系统还可以分组设置资产权限，比如设置开发人员一个组，只允许使用普通系统用户登录受控服务器，同时有录像回放功能，可追溯操作过的命令，还可以设置命令过滤，限制使用某些执行命令（命令过滤有个严重bug，把命令写到脚本里面就无法过滤），功能是非常强大的。

猜你喜欢

转载自www.cnblogs.com/vilenx/p/12447196.html
今日推荐
《美国对全球网络空间安全与发展的威胁和破坏》报告发布
火速冲上 GitHub 热榜 —— 开源编程语言、框架哪有这么可爱？
北京人形机器人创新中心发布全球首个纯电驱拟人奔跑的全尺寸人形机器人“天工”
LFOSSA 源来如此公开课 | 掌握云原生未来：CNCF 认证全面攻略与备考秘籍
国产云输入法——仅华为无云端数据上传安全问题
周排行
Python环境安装与基础语法（1）——计算机基础知识
IMU预积分
ADAS中的LDW、FCW、BSD、LCA、ACC、AEB、APA、DMS代表的含义
B站笔试两道题
skyeye arm 硬件虚拟机环境的搭建
Web前端静态页面示例
数组-合并排序数组 II-简单
springcloud之版本问题启动报错
面向对象-------------匿名对象(六)
输入URL到页面呈现中间发生了什么？
每日归档
更多
2024-04-30(1)
2024-04-29(40)
2024-04-28(0)
2024-04-27(56)
2024-04-26(39)
2024-04-25(22)
2024-04-24(36)
2024-04-23(26)
2024-04-22(39)
2024-04-21(0)

代码天地 © 2018 codetd.com

境外服务器   最新电视剧2022