怎么在堡垒机后端的服务器上阻断非堡垒机 IP 访问-安全-PHP中文网

核心思路是后端服务器仅接受堡垒机出口ip的连接，拒绝其他所有来源。推荐三重防护：一、ssh层用allowusers限定源ip；二、主机防火墙（firewalld/iptables）过滤非堡垒机流量；三、网络设备acl在边界强制白名单。

怎么在堡垒机后端的服务器上阻断非堡垒机 ip 访问

要在堡垒机后端的服务器上阻断非堡垒机 IP 的访问，核心思路是：让后端服务器只接受来自堡垒机出口 IP 的连接请求，拒绝其他所有来源（尤其是终端用户直连）。这属于“纵深防御”中的关键一环，不能只依赖堡垒机单点管控。

以下是三种主流、可靠且企业级常用的实现方式，按推荐顺序排列：

一、在 SSH 服务层限制来源 IP（最常用、最直接）

适用于 Linux 服务器，修改 /etc/ssh/sshd_config，强制 SSH 只响应堡垒机 IP 的连接：

编辑配置文件：
```
sudo vi /etc/ssh/sshd_config
```
在文件末尾添加（假设堡垒机出口 IP 是 10.10.5.100）：
```
AllowUsers *@10.10.5.100
```
或更严格地指定运维账号 + IP 组合（推荐）：
```
AllowUsers admin@10.10.5.100 ops@10.10.5.100
```
保存后重启 SSH 服务：
```
sudo systemctl restart sshd
```

⚠️ 注意：

AllowUsers 启用后，默认拒绝所有未显式列出的用户/IP 组合，包括 root 直连、本地 console 登录（若未配置），务必提前测试或保留应急通道（如带外管理）。
堡垒机若使用 NAT 出口（如多台堡垒机共用一个公网 IP），需确认其实际转发到后端服务器的源 IP 是哪个；可登录后端服务器执行 last -i 或 journalctl -u sshd | grep "Accepted" 查看真实连接源 IP。

二、通过主机防火墙（iptables / firewalld）做网络层过滤

比 SSH 配置更底层，适合统一策略管理，也兼容非 SSH 协议（如数据库端口）：

使用 firewalld（CentOS/RHEL 7+ / Alibaba Cloud Linux 等）：

# 清空默认 public 区域规则（谨慎操作，建议先备份）
sudo firewall-cmd --permanent --zone=public --remove-service=ssh
# 只允许堡垒机 IP 访问 22 端口
sudo firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="10.10.5.100" port port="22" protocol="tcp" accept'
# 拒绝其他所有 SSH 请求（firewalld 默认 deny，此步可省略，但显式加更清晰）
sudo firewall-cmd --reload

使用 iptables（传统方式，仍广泛用于 Debian/Ubuntu）：

sudo iptables -A INPUT -p tcp --dport 22 ! -s 10.10.5.100 -j DROP
sudo iptables-save | sudo tee /etc/iptables/rules.v4  # Debian/Ubuntu 持久化

✅ 优势：

不影响 SSH 配置逻辑，与 AllowUsers 可叠加使用，形成双重校验；
可扩展至其他端口（如 MySQL 3306、Redis 6379），统一收口。

三、配合网络设备 ACL（防火墙/交换机策略）

这是最彻底的方案，从网络边界切断直连路径，应作为强制前提，而非可选项：

在服务器所在区域的防火墙或核心交换机上，配置入向 ACL：
- 允许：源IP = 堡垒机出口网段 → 目的IP = 后端服务器IP → 目的端口 = 22,3306...
- 拒绝：源IP = 任意（any） → 目的IP = 后端服务器IP → 目的端口 = 22,3306...（放于允许规则之后）

? 关键检查点：