ssh与rdp需按需并存、分层管控，核心是实现身份可信、权限最小化、通道可控、行为可溯的闭环控制链路，并通过jumpserver统一调度、审计与应急响应。

SSH 和 RDP 不是“选一个用”，而是按需并存、分层管控的两套能力。关键不在协议本身，而在接入控制粒度是否匹配生产环境的真实风险——谁、在什么时间、从哪台设备、以什么权限、连哪台服务器、执行什么操作，全程可追溯、可阻断、可审计。

接入控制的核心逻辑：身份→权限→通道→行为

跳过“装软件”“开服务”的初级步骤，真正决定安全水位的是控制链路是否闭环：

• 身份可信：禁用本地账户直连；Windows 主机必须对接 AD 或 Jumpserver 内置 LDAP；Linux 主机 SSH 登录强制绑定 Jumpserver 用户体系，不接受裸密钥绕过认证
• 权限最小化：通过 Jumpserver 的“资产授权”功能，按用户组分配 Windows 主机的 RDP 会话数（如运维组≤2个并发）、SSH 命令白名单（如禁止 rm -rf /、shutdown）、SFTP 可写目录范围（如仅限 /data/upload）
• 通道可控：RDP 和 SSH 全部走 Jumpserver 网关代理，不暴露真实端口；禁用客户端直连模式；对高危资产（如域控、数据库服务器）启用“动态令牌+审批流”双因子强认证
• 行为可溯：SSH 操作记录完整命令行（含参数）、执行时长、返回码；RDP 会话录制视频级录像（非截图），支持按关键词检索操作（如搜索“注册表”“gpedit.msc”）

Windows 主机双协议落地要点（SSH+RDP）

让一台 Windows 服务器同时响应 SSH 和 RDP 请求，不是简单开启两个服务，而是要解决协议共存下的资源冲突与策略统一问题：

• SSH 服务选型：优先使用 OpenSSH for Windows（Win10 1809+/Server 2019+ 内置），避免第三方 SSHD 造成服务管理碎片化；配置 C:\ProgramData\ssh\sshd_config 中关闭密码登录、启用公钥认证、限制 AllowGroups 为 Jumpserver 同步的 AD 安全组
• RDP 安全加固：修改默认端口（如改为 3390）、启用网络级认证（NLA）、禁用远程桌面用户组的本地登录权限（防止绕过堡垒机）、通过组策略限制“仅允许运行指定 Windows 应用程序”以封堵非授权 GUI 工具
• 会话互斥控制：同一账号在 Jumpserver 上发起 RDP 连接时，自动踢出该账号已存在的 SSH 会话（防多点操作失控）；反之亦然，由 Jumpserver 的 session manager 统一调度
• 日志归集标准：Windows 事件日志（4624/4634/4672）与 Jumpserver 的 audit log 时间戳对齐，误差≤500ms；所有 RDP 录像文件命名含资产ID+用户ID+ISO8601时间，自动同步至对象存储并设置生命周期策略

Linux 主机 SSH 接入控制硬性标准

SSH 是 Linux 的命脉通道，生产环境不允许任何“能连上就行”的妥协：

• 密钥强制升级：停用 RSA 2048，全面切换为 Ed25519（ssh-keygen -t ed25519 -C "prod@company.com"）；私钥加密口令长度≥12位，含大小写字母+数字+符号；Jumpserver 后台校验密钥指纹格式与有效期
• 连接链路收口：禁止任何公网 IP 直连；所有 SSH 流量必须经 Jumpserver 路由；若需临时调试，走 Jumpserver 的“临时授权”功能，设定精确到分钟的过期时间与单次使用上限
• 命令执行沙箱：对敏感命令（sudo、reboot、systemctl）启用预检拦截；执行前弹出二次确认框（含操作影响提示），并要求输入动态验证码（来自企业微信/钉钉审批流）
• 会话超时联动：Jumpserver 设置空闲超时为 15 分钟，但 Linux 端 /etc/ssh/sshd_config 中同步配置 ClientAliveInterval 450 和 ClientAliveCountMax 1，确保两端断连行为一致，不留僵尸会话

审计与应急响应就绪清单

接入控制的价值最终体现在出事时能否快速定位、止损、复盘：

• 每日自动生成《高危操作日报》：含所有 sudo 提权记录、RDP 非工作时间登录、SSH 异地 IP 登录、命令执行失败率突增TOP5资产
• 每季度执行一次“断网压测”：模拟 Jumpserver 故障，验证备用通道（如 AD 权限直连 RDP + 本地 SSH 密钥）是否满足 RTO＜30 分钟
• 所有录像与命令日志保留 ≥180 天，且具备“一键导出带数字签名的司法取证包”能力（含时间戳证书、哈希值、操作上下文）
• 建立 RDP/SSH 协议异常特征库：如 RDP 连续 3 次 NLA 认证失败后触发 IP 封禁；SSH 密钥重试间隔小于 1 秒即判定为暴力扫描，自动上报 SOC 平台