安全篇跳板机怎样搭建图解视频证书配置与审计日志设置

1

概述与目标

本文目标：在 Linux 上用 OpenSSH 搭建跳板机（bastion），采用 SSH 证书（CA 签发）替代直接公钥管理，并启用会话审计（auditd + tlog/rsyslog），同时给出图解/视频制作建议，便于复现与审计。

2

环境准备

操作系统：建议 Ubuntu 20.04/22.04 或 CentOS 8/Stream；安装包：openssh-server、auditd、rsyslog、tlog（若需会话录像）和常用工具（ssh-keygen, scp, tar）。确保跳板机有固定内网/公网 IP，时间同步（chrony/ntpd），并在防火墙上仅开放 22 端口给可信源。

3

创建 CA 与签发证书

步骤：1) 在安全的离线机器上生成 CA 密钥：ssh-keygen -f /root/ssh_ca -N "" -C "jump-ca"；2) 将 /root/ssh_ca.pub 复制到跳板机 /etc/ssh/ssh_ca.pub；3) 在客户端公钥上签名：ssh-keygen -s /path/to/ssh_ca -I userid -n username -V +52w /home/user/.ssh/id_rsa.pub；签名后生成 id_rsa-cert.pub，分发给用户客户端并把私钥保管好。

4

配置 sshd 使用证书

编辑 /etc/ssh/sshd_config：设定 PermitRootLogin no、PasswordAuthentication no、PubkeyAuthentication yes、TrustedUserCAKeys /etc/ssh/ssh_ca.pub、AuthorizedPrincipalsFile /etc/ssh/principals/%u、LogLevel VERBOSE。创建 /etc/ssh/principals/username 文件，写入该证书允许的 principal（如用户名或 role）。保存后 systemctl restart sshd。

5

客户端使用证书登录

客户端需同时放置私钥 id_rsa 和证书 id_rsa-cert.pub。ssh -i ~/.ssh/id_rsa username@bastion.example.com，会话会被 sshd 校验证书签名与 principal。若使用配置文件 ~/.ssh/config，可写入 IdentityFile 与 CertificateFile 节点以简化登录。

6

会话审计基础（auditd + sshd）

安装 auditd：apt install auditd 或 yum install audit。添加审计规则监控 sshd 配置与关键目录，例如在 /etc/audit/rules.d/ssh.rules 中加入：-w /etc/ssh/sshd_config -p wa -k ssh_config；重启 auditd 并用 ausearch/auparse 查看事件。开启 PAM tty 审计：在 /etc/pam.d/sshd 加入 session required pam_tty_audit.so enable=* 可记录 tty 操作（受限于系统）。

7

会话录像（tlog / ForceCommand）

若要录像并完整回放，推荐 tlog + rsyslog：1) 安装 tlog（apt/yum）；2) 配置 sshd 在 /etc/ssh/sshd_config 中对需要审计的用户使用 ForceCommand /usr/bin/tlog-rec，或通过 Match User/Group 条件设置；3) 配置 tlog 将记录写到 /var/log/tlog/ 或通过 rsyslog 转发到集中式服务器。测试：登录用户会在 /var/log/tlog/ 下生成可回放文件，用 tlog-playback 播放。

8

日志集中与检索

推荐将 rsyslog/ auditd 日志转发到集中式 ELK/EFK 或 Graylog：在 rsyslog 配置文件里设置 action(type="omfwd" target="logserver" port="514" protocol="tcp")，并确保 auditd 的 /var/log/audit/audit.log 也被收集。建立索引字段（user, src_ip, command, session_id）便于告警与审计。

9

硬化、权限与备份

要点：限制登录来源（iptables/nftables）、启用多因子（eg. Google Authenticator / U2F）用于管理入口、定期更换 CA 私钥并轮换证书、定期备份 /etc/ssh、/etc/ssh/ssh_ca 和审计日志，确保备份密钥在 HSM 或离线介质上。

10

图解与视频制作建议

制作步骤演示：用 OBS 录屏，分段录制（环境准备、CA 生成、签发、sshd 配置、审计展示），同时截图（scrot/gnome-screenshot）并用箭头标注关键命令与文件路径；在视频说明中附上可复制的命令块和配置文件摘录，便于观众复现。

11

常见问题与排错

排查登录失败：检查 sshd 日志（/var/log/auth.log 或 journalctl -u sshd），确认客户端证书存在且未过期（ssh-keygen -L -f id_rsa-cert.pub 查看 Valid after/before），确认 TrustedUserCAKeys 指向正确的公钥且 AuthorizedPrincipalsFile 中包含匹配 principal。

12

问：为什么用 SSH 证书比传统 authorized_keys 更安全？

12a

答：

证书由受保护的 CA 签发，便于集中管理与撤销（只需从 sshd 更新或撤回 CA 或变更 principals 文件），避免每台服务器单独维护 authorized_keys，支持有效期与标识（principal）绑定，管理可审计。

13

问：如何保证会话录像不被篡改并长期保存？

13a

答：

将录像文件实时转发到集中化日志服务器并上锁（只追加），同时对日志服务器启用写入审计与快照备份；对关键文件做哈希并存入不可变存储或 SIEM，保证可溯源。

14

问：部署跳板机的最小权限策略有哪些实用建议？

14a

答：

最小权限原则：禁止密码登录、禁用 root、只允许经 CA 签名的用户、通过 Match 条件限制命令或 ForceCommand 限制会话、用 sudoers 精细化权限，并在网络层限制访问源 IP 和端口。

来源：安全篇跳板机怎样搭建图解视频证书配置与审计日志设置