binlab/bastion

Bastion — 基于OpenSSH Server的堡垒机

堡垒机是网络中专门设计和配置以抵御***的特殊用途计算机，通常仅运行单一应用（如代理服务器），并移除或限制其他服务以降低威胁。它因位置和用途（位于防火墙外或DMZ区，常需从不可信网络访问）而进行加固。

镜像概述

本镜像基于最新版Alpine Linux和OpenSSH Server构建，是一个隔离的Docker镜像，可作为公网与私网之间的连接桥梁，也适用于NAT后的主机反向SSH隧道场景。

核心功能

1. 公网与私网之间的安全访问中转
2. 支持反向SSH隧道，解决NAT后主机的访问问题
3. 基于公钥认证的安全登录机制
4. 可配置TCP转发、代理转发等SSH功能
5. 生成并持久化保存SSH密钥对

使用场景

• 企业内部网络的安全访问入口，保护私网资源
• NAT环境下，通过反向隧道访问内网主机
• 多网络环境下的统一访问中转节点

配置说明

以下为镜像支持的环境变量（ENV）：

• PUBKEY_AUTHENTICATION [true | false]：是否允许公钥认证，默认true（仅适用于SSH协议版本2）
• AUTHORIZED_KEYS [路径]：指定包含用户认证公钥的文件路径，支持%T替换（如%h为用户主目录、%u为用户名），默认文件为/var/lib/bastion/authorized_keys（需通过卷挂载）
• TRUSTED_USER_CA_KEYS [路径]：指定信任的CA证书公钥文件，用于用户证书认证，默认不使用
• GATEWAY_PORTS [true | false]：是否允许远程主机连接转发端口，默认false（仅本地可访问）
• PERMIT_TUNNEL [true | false]：是否允许tun设备转发，默认false
• X11_FORWARDING [true | false]：是否允许X11转发，默认false
• TCP_FORWARDING [true | false]：是否允许TCP转发，默认true
• AGENT_FORWARDING [true | false]：是否允许ssh-agent转发，默认true
• LISTEN_ADDRESS [地址]：监听的本地地址，默认0.0.0.0（适用于Host模式）
• LISTEN_PORT [端口]：监听的端口，默认22（适用于Host模式）

部署示例

Docker运行命令

容器假设您的authorized_keys文件权限为644，并挂载到/var/lib/bastion/authorized_keys：

shell
$ docker volume create bastion
$ docker run -d \
    --name bastion \
    --hostname bastion \
    --restart unless-stopped \
    -v $PWD/authorized_keys:/var/lib/bastion/authorized_keys:ro \
    -v bastion:/usr/etc/ssh:rw \
    --add-host docker-host:172.17.0.1 \
    -p 22222:22/tcp \
    -e "PUBKEY_AUTHENTICATION=true" \
    -e "GATEWAY_PORTS=false" \
    -e "PERMIT_TUNNEL=false" \
    -e "X11_FORWARDING=false" \
    -e "TCP_FORWARDING=true" \
    -e "AGENT_FORWARDING=true" \
    binlab/bastion

Docker Compose配置

yaml
version: "3.6"
services:
  bastion:
    image: binlab/bastion
    container_name: bastion
    hostname: bastion
    restart: unless-stopped
    expose:
      - 22/tcp
    ports:
      - 22222:22/tcp
    environment:
      PUBKEY_AUTHENTICATION: "true"
      GATEWAY_PORTS: "false"
      PERMIT_TUNNEL: "false"
      X11_FORWARDING: "false"
      TCP_FORWARDING: "true"
      AGENT_FORWARDING: "true"
    volumes:
      - $PWD/authorized_keys:/var/lib/bastion/authorized_keys:ro
      - bastion:/usr/etc/ssh:rw
    extra_hosts:
      - docker-host:172.17.0.1
    networks:
      - bastion

networks:
  bastion:
    driver: bridge
    
volumes:
  bastion:

首次运行容器时，会生成dsa、ecdsa、ed25519和rsa密钥对并保存到bastion卷中；如需重新生成密钥，需删除该卷。

连接步骤

1. 连接到堡垒机

   • 将用户添加到docker组（无需sudo运行Docker命令）：

     shell
     $ sudo usermod -aG docker <您的用户名>
     

   • 创建工作目录并克隆仓库：

     shell
     $ mkdir $HOME/docker && cd $HOME/docker
     $ git clone https://github.com/binlab/docker-bastion.git && cd docker-bastion
     

   • 生成RSA密钥对（若已有则跳过）：

     shell
     $ ssh-keygen -t rsa -b 4096 -C "your_email@example.com" -f $HOME/.ssh/id_rsa
     

   • 将公钥添加到.bastion_keys文件：

     shell
     $ cat $HOME/.ssh/id_rsa.pub > $PWD/.bastion_keys
     

   • 启动容器：

     shell
     $ docker-compose up
     

   • 连接堡垒机：

     shell
     $ ssh -i $HOME/.ssh/id_rsa -p 22222 bastion@127.0.0.1
     

2. 通过堡垒机连接主机

   • 将私钥添加到SSH代理：

     shell
     $ ssh-add $HOME/.ssh/id_rsa
     

   • 使用代理转发连接主机：

     shell
     $ ssh -A -J bastion@127.0.0.1:22222 <您的用户名>@docker-host
     

3. 通过堡垒机连接其他容器

   shell
   $ ssh -A -J bastion@127.0.0.1:22222 bastion@docker-ssh