neochrome/bastion

带Google Authenticator的堡垒机

一个简单的SSH堡垒机，使用公钥和https://github.com/google/google-authenticator-libpam%E7%A1%AE%E4%BF%9D%E8%BF%9E%E6%8E%A5%E5%AE%89%E5%85%A8%E3%80%82

使用方法

SSH主机密钥会在启动时动态生成。为确保升级或其他操作时密钥持久化，建议将/etc/ssh目录通过数据卷存储，示例如下：

bash
$ docker volume create bastion-keys
$ docker run -v "bastion-keys:/etc/ssh" -p 2222:22 neochrome/bastion:latest

使用bastion用户进行连接：

bash
$ ssh bastion@hostname

Google Authenticator配置

首次连接堡垒机时，系统会自动运行google-authenticator设置双因素认证（已有配置时除外）。

如需在多台堡垒机间共享认证配置或确保升级时配置持久化，可使用数据卷：

bash
$ docker volume create bastion-ga
$ docker run -v "bastion-ga:/bastion" -p 2222:22 neochrome/bastion:latest

若需使用现有认证配置，可将配置文件挂载为/.google_authenticator，容器启动时会自动复制到对应位置。

也可通过数据容器同时管理/etc/ssh和/bastion卷：

bash
$ docker create --name bastion-data neochrome/bastion:latest
$ docker run --volumes-from bastion-data -p 2222:22 neochrome/bastion:latest

公钥认证（authorized_keys）

堡垒机需通过公钥进行认证，可通过以下方式配置：

1. 绑定挂载：将公钥文件或现有authorized_keys文件挂载为/authorized_keys，容器启动时会自动复制到对应位置并设置正确权限。
2. 派生镜像：创建基于neochrome/bastion:latest的派生镜像，将密钥添加至/bastion/authorized_keys，并确保所有者为bastion:users。
3. 数据卷挂载：使用包含/bastion/authorized_keys文件（已设置正确权限）的数据卷，并挂载至/bastion。
4. 数据容器管理：类似方式2，但通过数据容器管理密钥。

登录提示（motd）

镜像默认不含/etc/motd文件，如需添加，可通过以下方式：

1. 在派生镜像中直接添加。
2. 将motd文件挂载至/motd，容器启动时会自动复制到/etc/motd。
3. 直接将motd文件挂载至/etc/motd。