堡垒机在管理链路里做什么？
通常指经过加固、承担受控入口职责的主机或服务。本页聚焦远程管理跳板：让管理员经集中路径访问内部目标，减少目标直接向互联网暴露管理端口。具体产品的能力与实现不同。[1]
006 / 网络与基础设施 / Bastion Host
柜台检查很严，为何还能绕后门？
堡垒机 · Bastion Host
管理员从堡垒入口进入服务器区，来访记录看起来很齐全。但目标主机仍开着公网管理端口。沿两条路线逐段检查，你会发现部署中转站和真正收敛访问是两件事。
开始探索 ↓8–11 分钟
动手实验 · 场景判断 · 实用检查
动手实验 · 场景判断 · 实用检查
来访者在城门柜台出示凭证，身后的路线通向服务器；旁路仍有人试探。柜台比喻集中入口，但不能证明目标网络已经封闭，也不能把出示凭证当作对所有服务器的授权。
本课任务 / 堡垒机
把网络路径、堡垒身份、目标授权与记录能力拆开，找出可以绕过集中入口的路径。
- 解释集中管理入口降低直接暴露的方式
- 分别验证源端、堡垒与目标主机条件
- 识别旁路、可用性与审计边界
亲手探索 / 不同条件，不同结果
让两条连接路径接受同一轮检查。
选择公网直连或经堡垒路线，切换来源规则、身份、目标网络及目标权限。每次只查看所选路径的决定，再换路比较。所有连接都是本地状态计算。
边界与路径实验台 · 离线教学模型
经过柜台的路受控，旁路也关上了吗？
分别测试直连与经堡垒两条路。网络可达和身份授权逐层检查；关闭堡垒或打开录制，不会自动改变另一条公网路径。
尚未检查当前设置。修改条件会清除旧结论，请运行本轮实验。
集中入口也会集中风险和可用性依赖。堡垒机不是完整 PAM，录制不等于防止越权；具体云产品的网络与认证要求要另查。
随手查 / 把理解带回实际工作
理解机制之后，检查这些细节。
实验是简化模型。真实环境需要明确业务规则、验证失败路径，并持续维护配置与证据。
01 / 实用细节
先找到仍然开放的直连旁路
部署堡垒后，核对目标是否仍有公网管理入口、过宽的防火墙规则或其他跳板。目标应只接受符合设计的管理来源；本例关闭直连开关，才真正使该条公网路径不再可用。[1][2]
02 / 实用细节
把两段网络规则分别写清
第一段是管理员到堡垒入口，第二段是堡垒到目标管理端口。只开放第一段可能无法工作，只开放第二段也不能省略入口控制。Azure 产品还需要规定的服务管理流量；本模型不是可直接部署的 NSG 配置。[2]
03 / 实用细节
最小权限要延伸到目标主机
入口登录成功后，仍应根据具体目标与工作任务授予权限，避免把“能用堡垒”泛化为“能管理全部服务器”。真实系统也应确认目标主机身份，谨慎处理凭据和代理转发；本页只有一个固定目标。[4][1]
04 / 实用细节
集中入口值得更严格的维护
把多个管理路径集中到一个节点，也让该节点成为高价值目标。限制无关软件与访问、维护配置并监测异常；对于托管服务，还要明确平台承担什么、使用方仍负责哪些身份及网络设置。[1][2]
05 / 实用细节
记录用于追踪，不替代拒绝
审计应能关联操作者、时间、目标与结果，会话录制还需单独考虑保存位置和访问权限。开录制不会使未授权访问变得合理；本模型录制标记仅对成功的经堡垒连接生效，不采集真实画面。[3][5]
06 / 实用细节
演练不可用与受控应急路径
堡垒不可用会影响管理工作，因此需在设计中评估恢复与冗余。紧急访问不能退化成长期无人管理的公网后门；任何备用方式也需要明确授权、日志和事后复核。本例关停堡垒不会自动关停仍开放的直连。[1][4][5]
从模拟，到验证
找一个获准的环境，实际检查一次。
勾选用于本页自查，不会自动标记整课已学会。练习与清单刷新后重置。
本页已检查 0 / 5 项
有堡垒机但生产主机还允许任意直连，缺了什么？
能解释原因，再标记学会。
小测结果同步错题本；“已学会”沿用原有本地学习记录。
资料与依据
- Microsoft · Azure Bastion Overview ↗
以托管服务为例说明经私有地址管理目标与产品边界
- Microsoft · Bastion NSG Rules ↗
入口、目标与服务流量的独立网络要求
- Microsoft · Record Bastion Sessions ↗
会话录制需要额外配置及存储，不是所有部署自动具有
- OWASP · Authorization ↗
最小权限、默认拒绝与逐请求授权
- OWASP · Logging ↗
高权限事件关联、秘密排除与日志保护
本页场景、人物与数据均为教学示例。互动选择不会上传；收藏、已学会与错题沿用当前浏览器本地存储。来源正文核对日期：2026-10-08。