docker部署堡垒机需选对工具、配好网络、留全日志、控住权限；推荐新手用next terminal，docker run一键启动，再通过反向代理、tls认证、专用网络和审计日志闭环实现安全可控的远程访问与操作审计。
用Docker部署堡垒机实现远程访问与审计，核心在于选对工具、配好网络、留全日志、控住权限——不是单纯跑起来就行，而是让每一次登录、每一条命令、每一个会话都可查、可控、可回放。
选一款适合的开源堡垒机镜像
目前主流选择有 Jumpserver、Next Terminal、webterminal 和 OneTerm，它们都支持 Docker 一键部署，但侧重点不同：
- Jumpserver：功能最全，4A 架构成熟，适合中大型企业，依赖 MySQL + Redis，部署稍重但审计粒度细（含命令级黑白名单、会话录像）；
- Next Terminal：轻量易上手，单二进制+SQLite 也能跑，Web 界面简洁，RDP/SSH/VNC 均原生支持，审计日志结构化，支持操作回放；
- webterminal：专注字符协议审计，SSH/Telnet/SFTP 日志记录强，适合运维高频命令场景；
- OneTerm：强调 RBAC 权限模型和智能告警，适合已有合规要求（如等保）的环境。
推荐新手从 Next Terminal 入手：GitHub 星标超 4000，镜像体积小，docker run -d -p 8080:8080 --name nt nextterminal/nextterminal 即可启动基础版。
暴露服务并保障远程访问安全
堡垒机必须对外提供 Web 访问入口，但绝不能裸奔。关键操作包括：
- 用
-p 8080:8080映射端口时，避免绑定0.0.0.0到公网，优先走反向代理（Nginx/Caddy），启用 HTTPS + 基础认证； - 若需通过 Docker API 远程管理（如自动扩缩容），必须关闭默认的
2375非加密端口，改用2376并强制 TLS 双向认证； - 在宿主机防火墙（如 ufw/iptables）中仅放行堡垒机 Web 端口和 SSH 跳转端口，禁用其他高危端口（如 2375、6379、3306 直接暴露）；
- 为容器配置专用 bridge 网络（如
docker network create devopsnet），隔离数据库、Redis 等后端服务，不与外部互通。
确保审计能力真正落地
部署成功不等于审计生效。必须显式开启并验证以下能力：
- 所有用户必须通过堡垒机 Web 页面登录，禁止直连目标服务器 SSH；
- 在系统设置中启用「会话录像」和「命令审计」，Next Terminal 默认保存录像到
/data/record，Jumpserver 需挂载./data-server/koko/data持久化； - 配置审计日志输出到外部系统：Next Terminal 支持 Syslog；Jumpserver 可对接 ELK 或直接写入 MySQL 表
audits_sessionlog； - 定期检查录像文件是否生成、日志时间戳是否连续、回放功能是否可用——很多故障出现在磁盘满或权限错误导致录像静默失败。
权限与账号生命周期要闭环
堡垒机的价值一半在“谁在操作”，一半在“能操作什么”。务必落实：
- 禁用默认管理员账号（如 Jumpserver 的
admin/admin），首次登录强制修改密码； - 按角色分配资产：开发只能连测试机，DBA 只能访问数据库，运维按业务线分组；
- 启用双因素认证（TOTP），Next Terminal 和 Jumpserver 均原生支持 Google Authenticator；
- 员工离职时，第一时间在堡垒机中禁用账号，并检查其最近 7 天会话记录，确认无异常导出行为。
不复杂但容易忽略。
