Тест производительности JumpServer: 222 одновременные RDP-сессии на сервере 8 vCPU / 16 GB RAM

Попался интересный отчет по нагрузочному тестированию JumpServer с графическимиу RDP-сессиями.

Конфигурация стенда:

• 8 vCPU
• 16 GB RAM
• SSD 500 GB
• 222 одновременные RDP-сессии
• длительность теста — 6 часов

Результат:

Все 222 RDP-сессии оставались активными в течение 6 часов.
Разрывов соединений не было.

Средняя загрузка ресурсов:

• CPU — 33,9%, пик — 43,6%
• RAM без cache — 87,6%, пик — 93,1%

Что показал тест

CPU не стал узким местом. Даже при 222 графических сессиях загрузка процессора не превысила 44%.

Основное ограничение — оперативная память. Именно RAM первой подходит к пределу при большом количестве одновременных RDP-сессий.

Отдельный важный момент — хранение записей сессий. За 6 часов работы 222 активные RDP-сессии заняли около 400 GB за счет видеозаписей. Для крупных внедрений нужно заранее проектировать хранилище, политику ротации и автоматическую очистку записей.

Наибольшую нагрузку в тесте создавал компонент jms_razor, который отвечает за обработку графических RDP-сессий.

Вывод

Тест показывает, что даже сервер с 8 vCPU и 16 GB RAM способен стабильно обслуживать более 220 одновременных графических RDP-сессий.

Но это именно стресс-тест.

Для production я бы по-прежнему закладывал более консервативную оценку: 4 vCPU и 8 GB RAM на каждые 50 одновременных RDP-сессий или 200 SSH/СУБД-сессий.

Такой запас нужен под реальные пользовательские нагрузки, фоновые сервисы JumpServer, запись сессий и дальнейшее масштабирование.

Наши друзья и партнеры из TS Solution запустили полноценный практический курс по PAM на примере JumpServer.

Что особенно приятно:
— не очередная презентация «что такое PAM»;
— акцент именно на практике и реальных сценариях;
— в качестве учебной платформы выбран JumpServer — один из самых популярных open-source PAM в мире.

И, пожалуй, самое ценное — такие материалы появляются не потому, что производитель занес рекламный бюджет, а потому что партнеры сами считают продукт достойным того, чтобы на нем учить людей. Для нас это, наверное, лучшая обратная связь.

Если вы давно хотели:
- разобраться, что такое PAM без маркетинговой магии;
- потрогать JumpServer руками;
- подготовить специалистов или себя к внедрению,
то выглядит как очень достойная возможность.

Программа курса и описание:
https://university.tssolution.ru/pam_practice#material

А мы, как обычно, никуда не исчезли. 😉 Если после обучения возникнут вопросы по архитектуре, внедрению, миграции с других PAM, кластеризации, интеграции с AD/LDAP, MFA, базами данных, Kubernetes или просто понадобится помощь с JumpServer Community/Enterprise — всегда рады помочь.

Чем больше на рынке грамотных специалистов по PAM, тем меньше у безопасников поводов пить валерьянку.

Port Forwarding в JumpServer

Иногда нужно безопасно получить доступ к сервису на удаленном сервере, который недоступен напрямую: например, к веб-интерфейсу, базе данных, Grafana, Prometheus, Redis, PostgreSQL и т.д. Для этого в SSH используется port forwarding (проброс портов).

Начиная с последних версий JumpServer эту возможность можно включить.

Включение
1. Откройте конфигурационный файл:

nano /opt/jumpserver/config/config.txt

2. Добавьте параметры:

ENABLE_VSCODE_SUPPORT=true
ENABLE_LOCAL_PORT_FORWARD=true
# при необходимости
ENABLE_REVERSE_PORT_FORWARD=true

3. Перезапустите JumpServer:

jmsctl restart

Использование
После этого можно использовать стандартный SSH port forwarding вместе с параметрами одноразового подключения JumpServer.

Например:

ssh -T -L 9001:127.0.0.1:9001 JMS-762d9a69-4c3b-40d2-aaad-c9b3a5296dab@10.10.53.44 -p 2222

В этом примере локальный порт 9001 будет перенаправлен на 127.0.0.1:9001 целевой системы, что позволит безопасно открыть нужный сервис через JumpServer без публикации его в сети.

Вышла новая версия JumpServer v4.10.17

По рекомендации вендора обновление продуктивной среды целесообразно отложить до выхода первых исправлений. Релиз содержит значительный объем изменений в кодовой базе, поэтому в ближайшее время, вероятнее всего, будут выпущены дополнительные хотфиксы.

Новое в версии:
- Django обновлён до 5.2, Python — до 3.14, Vue — до 3.5
- Поддержка кастомной SSO-аутентификации
- Настройка способа получения реального IP клиента
- Поддержка UKey-аутентификации (EE)
- Создание папок для избранных активов
- Опция запрета экспорта чувствительных данных (SECURITY_DISABLE_VIEW_SECRET=true)

Улучшение:
- Задачи Ansible теперь выполняются в изолированных контейнерах, до 10 параллельно
- Воспроизведение и кодирование записей сессий в mp4 встроено в клиент
- Лимит на загрузку/скачивание файлов — 50 запросов в час по умолчанию
- Email-адреса пользователей теперь шифруются при хранении
- Отдельная политика истечения пароля для администраторов
- Оптимизирован разбор правил ACL, очистка истории команд (батчами по дням)
- Всплывающие уведомления о новых сообщениях
- Настройка доступных языков интерфейса
- Поиск активов с исключением типов/категорий
- Улучшена логика ACL при входе (согласующие пользователи больше не мешают)
- Загрузка сертификатов для LDAP
- RDP-подпись через клиент: RDP_SIGN_ENABLED=1 (EE)

Исправления:
- Дублирующиеся логи входа
- Параметры по умолчанию не применялись при запуске задач
- Секреты интеграций пересоздавались при каждом обновлении
- Не проверялись права на Playbook при клонировании
- Закрыты security-уязвимости в доменных задачах автоматизации и задачах учётных записей
- Устранена уязвимость в подключении через DBeaver
- Отключены опасные Ansible Lookup-плагины (file, pipe, env)
- Исправлено отображение опции "Запомнить пароль" на странице Luna

Дистрибутив JumpServer Enterprise версии 4.10.17 доступен по этой ссылке

Дистрибутив JumpServer Community версии 4.10.17 доступен по этой ссылке

Полный список изменений по этой ссылке

Подключение к целевой системы со своим SSH ключом

По просьбам клиентов, в новой версии JumpServer 4.10.17 появилась возможность использовать свой SSH ключ для подключения к целевой системе.

Вышла новая версия JumpServer v4.10.18

Улучшения:
- Улучшен разбор и обработка длинных SQL-запросов в Chen.
- Снижено потребление памяти Chen при одновременной работе нескольких сессий.
- Обновлены внешний вид ИИ-помощника Luna и стиль иконки боковой панели.
- Улучшен интерфейс встроенных уведомлений.

Исправления:
- Исправлены проблемы с настройкой порта прослушивания в KoKo.
- Восстановлена работа передачи файлов в режиме изоляции Docker.
- Исправлена ошибка при изменении области действия авторизации актива с «Все учётные записи» на «Указанные учётные записи».
- Устранены ошибки, влияющие на совместное использование сессий через Redis.
- Восстановлено корректное отображение некоторых типов полей в Chen.
- Исправлена проблема, из-за которой нажатие Enter в разделе «Избранные команды» Chen могло неожиданно завершить сессию.
- Исправлено разделение столбцов при экспорте данных из Chen.
- Добавлена корректная поддержка отображения данных из таблиц, содержащих специальные символы в названиях.
- Восстановлен доступ к некоторым представлениям (Views) в Chen.
- Исправлена ошибка, возникавшая при нажатии на логотип в левом верхнем углу Lina.
- Устранена периодически возникавшая проблема, из-за которой не срабатывали клики мышью в верхнем навигационном меню Luna.

Дистрибутив JumpServer Enterprise версии 4.10.18 доступен по этой ссылке

Дистрибутив JumpServer Community версии 4.10.18 доступен по этой ссылке

Полный список изменений по этой ссылке

Опубликована критическая уязвимость в JumpServer. Если вы ждали знак, чтобы обновить JumpServer, то это он

29 июля 2026 команда JumpServer опубликовала уведомление о 4 уязвимостях в версиях V3 < 3.10.22 LTS и V4 < 4.10.17 LTS:

- CVE-2026-16723 — уязвимость fastjson в компоненте Chen
- CVE-2026-54336 — path traversal в SFTP веб-терминала KoKo
- CVE-2026-44845 — RCE через Jinja-инъекцию при развёртывании RemoteApp (нужны права админа)
- CVE-2026-44846 — перезапись прав при повторном приглашении в организацию

Быстрое решение:
Запустить fix_chen_fastjson.sh на хосте JumpServer из архива ниже.

Исправление:
Обновиться, загрузив актуальный дистрибутив по этой ссылке

Подпись RDP файлов. Заметили новое окно предупреждения при открытии RDP-файлов?

Это не баг — Microsoft с апрельского обновления 2026 стала жёстче предупреждать о непроверенных .rdp-файлах (на фоне уязвимости спуфинга CVE-2026-26151). Если издатель неизвестен — Windows прямо предлагает прервать подключение.

Разбираем в статье, как в JumpServer EE закрыть этот вопрос — включить подпись RDP-файлов, чтобы издатель был проверяемым, а не «неизвестным» источнике. Актуально на фоне свежей RDP-уязвимости спуфинга у Microsoft (CVE-2026-26151).
Ссылка на статью.

Как использовать Git через SSH-прокси JumpServer

Проверили работу git clone, pull и других Git-операций через одноразовый токен JumpServer, делимся инструкцией на примере github.com:

Создайте в JumpServer SSH-актив:
хост: github.com;
порт: 22;
системная учётная запись: git;
аутентификация: SSH-ключ, добавленный в GitHub.

При этом в самом активе укажите только хост github.com.

Путь к конкретному репозиторию добавляется пользователем в Git-команду.

При подключении выбирайте SSH Guide, JumpServer сформирует команду примерно такого вида:

ssh JMS-<TOKEN>@pam.company.ru -p 2222

и временный пароль.

Проверьте доступ к репозиторию:

git ls-remote ssh://JMS-<TOKEN>@pam.company.ru:2222/OWNER/REPOSITORY.git
echo $?

После запроса введите пароль токена.
Код 0 означает, что подключение прошло успешно.

Клонирование репозитория

git clone ssh://JMS-<TOKEN>@pam.company.ru:2222/OWNER/REPOSITORY.git

Например:

git clone ssh://JMS-<TOKEN>@pam.company.ru:2222/marseanen/max-kb-ru.git

Подключение проходит по следующей схеме:

Git-клиент → SSH-прокси KoKo → github.com → нужный репозиторий

Пользователь не получает SSH-ключ целевой учётной записи: он хранится в JumpServer. При этом в PAM остаётся информация о факте подключения пользователя к активу.

По умолчанию параметры подключения одноразовые, но для удобства в настройках JumpServer можно включить повторное использование токенов и задать подходящий срок их действия по этой инструкции. Делать это следует с учётом требований безопасности: многоразовый токен фактически становится временной учётной записью доступа.

Вдруг вы еще не знаете какой PAM лучше, 19 августа в 11:00 в прямом эфире AM Live обсудим, как изменилась роль PAM в современной инфраструктуре.

Вышла новая версия JumpServer v4.10.19

Что нового:
- Добавлен компонент KOTL для визуального управления и обслуживания JumpServer. (только Enterprise Edition)
- Порты сервиса Magnus объединены — протокол теперь определяется автоматически на основе входящего трафика.
- Добавлена поддержка политик учётных записей для передачи файлов: улучшены выбор учётной записи, проверка разрешений и подтверждение при работе с аномальными активами.
- Добавлена поддержка системных и пользовательских CA для SMTP, а также возможность отключения проверки сертификатов.
- Добавлено управление доступом к буферу обмена в графических сессиях RDP и VNC.

Улучшения:
- Повышена производительность выбора ресурсов и загрузки данных в формах.
- Улучшены поиск и фильтрация в списках ресурсов.
- Улучшен интерфейс массового редактирования и выбора ресурсов.
- Оптимизированы API заявок (Tickets) — уменьшено количество выполняемых SQL-запросов.
- Улучшена структура ответа API OPTIONS.
- Упрощено создание пользователей: теперь отображаемые имена могут совпадать.
- Обновлён SQL-парсер Chen.
- Улучшена поддержка изменения типов столбцов PostgreSQL в Chen, включая ALTER COLUMN TYPE, SET DATA TYPE, COLLATE и USING.
- Добавлена настройка времени отправки уведомлений об истечении срока действия учётных записей и авторизаций.
- Расширена поддержка Oracle SQL в Chen.
- SDK Huawei Cloud OBS обновлён до версии 3.26.2.
- Добавлена настройка типов пользователей FusionCompute: локальные, доменные и пользователи API.
- Добавлена возможность создавать собственные процессы обработки заявок и настраивать получателей копий (CC).
- Улучшено журналирование задач автоматизации.
- Оптимизирована передача учётных данных при автоматизированной смене паролей.
- Для сетевых коммутаторов добавлена поддержка учётных записей su_from.
- Добавлены глобальные настройки пользовательских предпочтений.
- Повышена стабильность передачи файлов через rzsz в Koko.
- В письмах сброса пароля теперь отображаются имя пользователя и его логин.
- Улучшена проверка зависимостей при удалении организаций.
- Образ Ansible Executor обновлён до Python 3.14, добавлены необходимые зависимости AWS SDK.
- NEC VNC Proxy теперь поддерживает подключения к активам macOS.
- Улучшено управление доступом к буферу обмена в Koko Web Terminal.
- Добавлена поддержка хранения команд в Elasticsearch 9.

Исправления:
- Callback-запросы авторизации OAuth2 больше не создают лишние записи Grant в журнале операций.
- Исправлена обработка пустых значений при отвязке серийных номеров UKey.
- Исправлена обработка комментариев -- в SQL в Chen.
- Добавлена корректная поддержка пагинации Oracle: FETCH FIRST ... ROW ONLY и OFFSET ... ROW.
- Исправлено некорректное разделение Oracle SQL без ; на несколько запросов.
- Исправлены проблемы подключения Chen к некоторым базам MySQL с ограничением Public Key Retrieval.
- Восстановлена совместимость с LDAP, где запрещены анонимные запросы.
- Исправлены проблемы проверки конфигурации и доступа к некоторым S3-совместимым хранилищам.
- Устранены конфликты collation при работе с журналами активности ресурсов.
- Исправлено освобождение соединений с БД в рабочих потоках LDAP.
- Исправлена ошибка обработки временных меток при очистке журнала аудита команд.
- Восстановлен поиск по узлам авторизации в Job Center.
- Исправлена передача параметров БД в модуле PostgreSQL Ping.
- Исправлена ошибка входа через Koko на Ubuntu-активы с использованием учётных записей su_from.

Дистрибутив JumpServer Enterprise версии 4.10.19 доступен по этой ссылке

Дистрибутив JumpServer Community версии 4.10.19 доступен по этой ссылке

Полный список изменений по этой ссылке

Как работают новые политики для буфера обмена в JumpServer?

В версии 4.10.19 была добавлена политика контроля буфера обмена в разделе Политики - Контроль доступа - Буфер обмена

Настройки политики позволяют задать:
- ограничения по количеству символов копируемого\вставляемого текста
(Работает для SSH сессий, открытых в веб-консоли и для RDP сессий);
- ограничение по размеру скачиваемого или загружаемого файла
Работает для РДП сессий, при передаче файла через буфер обмена.

Другими словами, добавлена более гибкая политика использования буфера обмена, если нужно просто запретить передачу файлов по RDP\SFTP или включить\выключить работу буфера обмена - эти настройки остались где и были -- в основной политике "Доступ к активам"

Внимание:
Контроль буфера обмена не работает в SSH-сессиях открытых в локальном клиенте.
Ограничение на размер передаваемого файла не влияет на передачу файлов по SFTP