[Bastion] 從 SSH Key 到 IAM:AWS SSM Shell 與 Port Forwarding
Introduction Bastion host – Wikipedia Bastion Host(堡壘主機,常被稱為跳板機)是部署在網路邊界(如公有子網或 DMZ)、經過加固的專用伺服器,作為從外部進入內部私有網路(Private Subnet)的單一受控入口。 核心功能與特點 單一入口:沒有公開 IP 的內部資源(如資料庫、應用程式伺服器)無法從外部直接連線,需先經過 Bastion Host,再透過 SSH、RDP 或 Port Forwarding(SSH Tunnel)存取。 縮小攻擊面:只開放必要服務(如 SSH),並透過最小化套件、關閉密碼登入、定期更新等方式加固。由於它直接暴露在外,本身也是高價值的攻擊目標。 集中管理與稽核:所有遠端存取集中在單一節點,方便記錄與追蹤;但需額外設定(如個人帳號、session 錄製)才能達到完整稽核。 常見運作方式 公有與私有子網隔離:Bastion Host 放在公有子網並具備公開 IP(如 AWS Elastic IP);內部伺服器放在私有子網。 存取控制:防火牆規則或 Security Group 只允許特定信任來源(如公司辦公室或 VPN 的 IP)連入 Bastion […]