运维堡垒主机是种具备强大防御功能和安全审计功能的服务器。基于跳板机理念，作为内外网络的个安全审计监测点，以达到把所有网站安全问题集中到某台服务器上解决，从而省时省力。同时运维堡垒主机还具备了，对运维人员的远程登录进行集中管理的功能作用。

我們的本機電腦可以透過ssh的方式連到Linux系統的跳板機並可成功登入。

Linux系統的跳板機可以直接連線到DB的機器，並且可成功登入DB系統。
跳板 服务器客服咨询热线：@HGD889

本機的開發環境無法直接連到QT的Database，必須透過跳板的設定才行。

不過我們想要連線QT測試環境的DB前，有幾件前提是必須達成的

先利用ssh登入Linux系統（不需要最高權限）。

在Linux系統下指令連線DB。

這個因為要在Linux上下指今，而且每個資料庫的連線方式都不一樣，所以只能大家各自努力了。

我們假設已經達成上述的二個前提，接下來我們就要來實作跳板了，為了解釋方便，我們將上圖給予IP後，如下圖：

透過192.168.1.1的ssh，連接到172.16.1.1的Linux系統上，此時是透過ssh的22 port連入。
再來設定好跳板後，我們會透過172.16.1.1的3306 port（假設是用MySQL的資料庫，所以Port是3306），連接到172.16.31.2。

這個設定的意義分別是：當我們使用本機的13306Port時，請幫我們導向176.16.31.2:3306。

Source port : 指定本機的Port

Destination : 連到那一台機器的那個Port
跳板 服务器客服咨询热线：@HGD889

左方Menu切換到Connection→SSH→Tunnels，並輸入資料（參考下方圖示）

當我們指定本機的13306 Port時，因為跳板設定的關係，這個指令會從本機送到172.16.1.1（因為我們SSH是連到這一台主機）後，再連線到172.16.31.2(因為我們是這樣設定的），所以剛剛說要確認172.16.1.1可以連線至172.16.31.2的資料庫的原因即為如此。
跳板 服务器客服咨询热线：@HGD889

跳板的應用
上述不管是指令，或是Putty的設定，主要的設定意義是：

凡是呼叫本機 （loaclhost）的13306 Port，都會被導到172.16.31.2的3306 Port；其中13306的Port並無特別意義，只要本機沒有在使用的Port皆可。

透過這樣的設定，我們可以直接利用GUI工具，來操控遠端的資料庫；也可以利用GUI工具所提供的資料庫備份功能，備份完後將資料直接存在本機。

這裡要注意的一點，因為跳板是透過172.16.1.1來傳送資料的，所以如果本機與172.16.1.1的連線被中斷的話，那麼跳板設定也會跟著失效。不過因為本機與172.16.1.1有資料在傳輸，所以也不用擔心那putty視窗什麼事都沒做時，會被踢出去。

跳板的還應用不只如此，也可以應用在程式上，下方是程式應用的範例：
跳板 服务器客服咨询热线：@HGD889

对于vpc的规划通常需要划分为若干个子网，分为公有子网和私有子网。公有子网中的实例可以直接从 Internet 接收入站数据流，私有子网中的实例则不可。公有子网中的实例可以直接向 Internet 发送出站数据流，私有子网中的实例则不可。但是，私有子网中的实例可以使用位于公有子网中的网络地址转换 (NAT) 网关访问 Internet。

根据以上描述不同子网的特点，我们需要把跳板机放置在公有子网中，以便接受管理人员通过internet的访问，受管理的服务器根据其在业务系统中充当的角色选择放置在公有子网或私有子网。在实际生产环境中根据需要可为跳板机设置一个独立的公有子网 。
跳板 服务器客服咨询热线：@HGD889

在实际部署中考虑到跳板机所需的工作负载，可以部署配置较低的实例类型。此外，出于成本和安全考虑，您也可以在不进行运维操作的时候将跳板机状态设置为”停止”,在每次运维需要的时候再“开启”跳板机。

为跳板机实例配置安全组。在创建EC2的过程中，在安全组规则中添加SSH服务的安全规则，根据实际情况限定连接的源 IP地址。如下图所示，只接受特定的 管理终端连接：

配置受管理服务器的安全组。配置安全组规则仅接受来自跳板机所对应安全组的访问请求：

配置管理终端。在管理终端依次导入跳板机和受管理服务器的证书私钥，登录跳板机后私钥信息将转发到受管理服务器完成身份验证。以下是针对linux环境和windows环境的管理终端为例：

启动pageant并右击图标，您可以先查看key list，如果受访问服务器所需私钥没有添加进key list里，则执行”Add Key”的操作。并将保存在本地的私钥添加进去。

在linux管理终端下通过ssh从跳板机登录到受管理服务器：
步骤一：在linux管理终端上运行ssh-agent启动ssh-agent进程

步骤二：将跳板机和受管理服务器对应证书的私钥依次添加到管理终端，执行方式如下（例如，私钥文件名称为xxx.pem）：

ssh-add xxx.pem

步骤三：使用ssh －A 参数登录跳板机，-A 表示通过跳板机转发本地管理端保存的私钥信息，实现跳板机与受管理服务器之间的身份验证：

ssh –A ec2-user@跳板机公网 ip地址 ——（以下假定linux ssh用户名为ec2-user）

步骤四：从跳板机直接通过受管理服务器的内网IP SSH登录服务器：

ssh ec2-user@受管理服务器的内网ip地址

在这一步中，如图填写跳板机公有IP地址，并在左侧SSH-Auth目录下勾选“Allow agent forwarding” 来允许跳板机上的ssh客户端与管理终端本地的ssh-agent通信并使用管理终端本地的密钥完成与受管理服务器的ssh认证流程。下面以AWS 上的一台EC2为例登陆跳板机：
跳板 服务器客服咨询热线：@HGD889

通过命令”ssh ec2-user@受管理服务器内网ip地址”来实现对受管理服务器的访问，需要注意的是，在这里输入受管理服务器的私有IP地址实现对其的访问，提高了受管理服务器的安全性。