moul/sshportal

sshportal

透明SSH堡垒机（无需传统跳转的跳板主机/服务器）

!https://raw.githubusercontent.com/moul/sshportal/master/.assets/flow-diagram.png

镜像概述和主要用途

sshportal 是一款透明SSH堡垒机，旨在提供安全、便捷的服务器访问管理方案。它消除了传统跳板机的复杂性，实现用户与主机的独立管理，支持便捷的用户邀请系统、多级别访问控制等功能，适用于企业服务器访问管理、教育环境临时访问分配、安全审计等场景。

核心功能和特性

核心功能

• 独立二进制文件：约10-20Mb，无运行时依赖（内置SSH服务器和客户端）
• 跨平台支持：可在Linux和OSX/darwin等系统运行
• 数据库支持：使用Sqlite3或MySQL存储数据（通过gorm可扩展支持PostgreSQL、MSSQL等）
• 无状态设计：使用MySQL作为后端时支持水平扩展
• 灵活认证：支持密钥或密码连接远程主机
• 管理功能：主机管理、用户管理（邀请、分组、统计）、密钥管理（创建、删除、更新、导入）
• 安全审计：会话记录（TTY会话以ttyrec格式记录，支持回放）、隧道日志、操作审计日志
• 访问控制：ACL管理（结合用户组和主机组）、用户角色（管理员、可信用户、标准用户等）
• SSH兼容性：支持scp、rsync、隧道（本地/远程/动态转发）、sftp、ssh-agent、X11转发、Git等

已知限制

• 暂不支持mosh
• 用户名不能与主机名相同
• 不能访问名为"healthcheck"的主机（内置命令保留名）

使用场景和适用范围

• 教育场景：教师为学生提供临时服务器访问，动态配置主机和用户
• 企业管理：大型团队（如vente-privee.com技术团队）管理服务器/路由器访问，减少配置管理时间
• 安全审计：记录所有会话操作，满足合规性要求（如托管公司用于详细审计跟踪）
• 临时访问分配：黑客松、课程等活动中快速创建多个账户，分发访问凭证

详细使用方法和配置说明

Docker部署（推荐）

启动服务器

console
# 后台启动服务器，挂载当前目录以持久化sqlite数据库
docker run -p 2222:2222 -d --name=sshportal -v "$(pwd):$(pwd)" -w "$(pwd)" moul/sshportal:v1.10.0

# 查看日志获取管理员邀请令牌（首次运行必需）
docker logs -f sshportal

升级方法

sh
# 停止并备份当前容器和数据库
docker stop sshportal
docker rename sshportal sshportal_old
cp sshportal.db sshportal.db.bkp

# 启动新版本
docker run -p 2222:2222 -d --name=sshportal -v "$(pwd):$(pwd)" -w "$(pwd)" moul/sshportal:v1.10.0
# 检查日志确认迁移是否成功
docker logs -f sshportal

回滚方法

sh
docker stop sshportal
docker rm sshportal
cp sshportal.db.bkp sshportal.db
docker rename sshportal_old sshportal
docker start sshportal
docker logs -f sshportal

基本使用流程

1. 关联管理员SSH密钥

首次启动后，从日志获取邀请令牌（如invite:BpLnfgDsc2WD8F2q），执行：

console
ssh localhost -p 2222 -l invite:BpLnfgDsc2WD8F2q

2. 进入管理员交互shell

console
ssh localhost -p 2222 -l admin

3. 创建主机

console
config> host create bart@foo.example.org
1

4. 列出主机

console
config> host ls
  ID | NAME |           URL           |   KEY   | PASS | GROUPS  | COMMENT
+----+------+-------------------------+---------+------+---------+---------+
   1 | foo  | bart@foo.example.org:22 | default |      | default |
Total: 1 hosts.

5. 在目标服务器上配置密钥

console
ssh bart@foo.example.org "$(ssh localhost -p 2222 -l admin key setup default)"

6. 连接目标主机

console
ssh localhost -p 2222 -l foo
bart@foo>

7. 邀请用户

console
config> user invite bob@example.com
User 2 created.
To associate this account with a key, use the following SSH user: 'invite:NfHK5a84jjJkwzDk'.

备份与恢复

内置备份/恢复

sh
# 备份
ssh portal config backup > sshportal.bkp

# 恢复
ssh portal config restore < sshportal.bkp

额外备份方法

sh
# SQLite数据库备份
sqlite3 sshportal.db .dump > sshportal.sql.bkp

# 直接复制数据库文件
cp sshportal.db sshportal.db.bkp

健康检查

通过SSH检查

console
ssh healthcheck@sshportal
OK

通过内置工具检查

console
# 检查状态
sshportal healthcheck --addr=localhost:2222; echo $?
0

# 等待健康后连接
sshportal healthcheck --wait && ssh sshportal -l admin

配置.ssh/config别名

编辑~/.ssh/config：

ini
Host portal
  User      admin
  Port      2222       # 堡垒机端口
  HostName  127.0.0.1  # 堡垒机主机名

使用别名连接：

bash
# 进入管理员shell
ssh portal

# 连接主机
ssh hostname@portal

扩展与集群

使用MySQL作为后端实现水平扩展：

console
sshportal --db-conn=user:pass@host/dbname?parseTime=true --db-driver=mysql

内置Shell命令

提供丰富的管理命令，包括ACL、主机、用户、密钥、会话等管理，例如：

• host create：创建主机
• user invite：邀请用户
• acl create：创建访问控制规则
• session ls：列出会话
• config backup：备份配置

完整命令列表可通过help命令查看。

演示数据

可使用以下公开服务器测试：

console
ssh portal host create ***
ssh sdf@portal

ssh portal host create ***
ssh whoami@portal

ssh portal host create ***
ssh chat@portal