【天逸出品】【第圩八期】远程办公环境下，如何权衡安全和便捷

项目背景：

最近经历这样一个项目，客户（某大学） 有一台比较重要的服务器，这边发生了安全事件，重要的资料泄露了，对客户造成了不好的影响

然后借助安全事件，项目很快就成单了，买了零信任、防火墙、堡垒机。然后交付的时候，没有方案，销售就说了一句，搞得安全一点。

客户也没什么想法，就是说以后要避免再出现这种安全问题，并且 服务器日常需要很多人维护，保障安全的同时，不要搞得太繁琐。

交付的时候问题就来了，一边是要加固安全，另一方面又要让运维没有那么复杂，应该如何去权衡呢。

交付前分析一下应该怎么进行安全方面的加固

本来服务器可以任意去访问，只要是校园内地址就可以登录。改造以后，变成只能通过先登录零信任，然后再登录堡垒机，再通过堡垒机去访问服务器。

更改前拓扑：

更改后拓扑:

零信任放到防火墙的前端，这样零信任访问后端服务器的流量不是加密的，可以被防火墙进行防护

防火墙三个接口都用透明接口，这样原来的路由也不变，网络没有改动，并且还能对访问堡垒机的用户进行管控

防火墙策略部署：

防火墙上的策略比较好配置，开一下IPS防护，然后放行堡垒机地址访问服务器的应用控制策略，然后拒绝其他的地址去访问服务器

零信任策略：

关于认证：

二次认证，比只用账号密码认证要更加安全，这个是毋庸置疑的，但是二次认证带来的用户体验会给用户一个麻烦的感觉

我这边给做的方案是这样

首先开启二次认证，可以结合 免费的令牌

然后

通过可信终端来限制用户使用的运维电脑，在可信终端上使用时候，就可以免除二次认证

零信任发布堡垒机资源的时候，采用https协议来发布

然后把单点登录的功能打开

这样 用户登录零信任以后，再跳转堡垒机 就可以 一键登录进去

最后 SPA功能开启一下，这个隐藏端口的功能，会给将来减少很多麻烦

堡垒机策略：

版本推荐 3.0.11

应用发布服务器要装一下，可以直接发布BS应用

资源发布注意事项：

如果想运维方便，那就需要管理员在配置资源的时候，做的细致一些

针对服务器的运维，拷贝权限一定要搞清楚，能不开的尽量不开

用户授权的时候，需要配置好权限，通过 资源账号 来进行授权，这样用户登录堡垒机以后，也可以一键登录进去资源

这些配置完成以后，原本运维人员是通过输入服务器的账号密码来进行运维，现在是只要登录零信任，可以一键登录堡垒机，一键登录资源。

登录资源的复杂程度基本没有变，但是现在有防火墙在防护网络的安全，有零信任在加强接入安全，有堡垒机在加强运维安全。

总结：

安全和便捷不应该是对立的，安全也可以很简单。做好策略的优化，利用好产品的优势，做好安全的同时，收获每一个用户的满意。

楼主分享的案例很实用，具有典型性，希望有更多这样的干货供我们学习参考，非常感谢！

楼主分析的很详细，不错的实战经验，小白用户一看就懂，非常好的技术干货帖，顶一个！

楼主的文章图文并茂，清晰易懂，看完这波操作可以轻松上手了，如遇到问题再向楼主请教~

楼主分享的案例很实用，具有典型性

每天学习一点点，每天进步一点点。

感谢分享有助于工资和学习！

每天学习一点点，每天进步一点点。