無論是對于中型組織還是大型組織，跳轉服務器都提供了一種高效且安全的方法來管理和訪問不同安全區(qū)域中的設備
本文將詳細介紹如何高效且安全地跳轉服務器，確保您的IT管理更加順暢和安全
一、了解跳轉服務器 跳轉服務器是一種強化的服務器，主要用于訪問和管理其他安全區(qū)域中的設備，例如內(nèi)部網(wǎng)絡和外圍網(wǎng)絡之間的區(qū)域
這種服務器可以用作單一聯(lián)系和管理點，使得管理員能夠集中管理和控制各個設備和系統(tǒng)
對于中型組織來說，跳轉服務器尤其有助于增強那些物理安全性更具挑戰(zhàn)的位置的安全性，例如沒有數(shù)據(jù)中心的分支機構
而對于大型組織，管理員可以在數(shù)據(jù)中心內(nèi)部部署跳轉服務器，提供對服務器和域控制器的高度受控訪問
二、跳轉服務器的安全配置 由于跳轉服務器通常不包含任何敏感數(shù)據(jù)，但用戶憑據(jù)存儲在內(nèi)存中，惡意黑客可能會將這些憑據(jù)作為攻擊目標
因此，必須對跳轉服務器進行嚴格的加固和安全配置
1.使用PAW（Privileged Access Workstation） PAW是一種專門配置的工作站，用于訪問高價值資產(chǎn)
使用PAW來訪問跳轉服務器，可以顯著提高安全性
PAW通常運行在專用硬件上，支持基于硬件和軟件的安全功能，例如： -Windows Defender CredentialGuard：對內(nèi)存中的域憑據(jù)進行加密
-Windows Defender Remote Credential Guard：防止將遠程憑據(jù)發(fā)送到跳轉服務器，轉而使用Kerberos版本5單一登錄票證
-虛擬機監(jiān)控程序強制代碼完整性（HVCI）：實現(xiàn)基于虛擬化的安全性，強制內(nèi)核模式組件遵循代碼完整性策略
2.配置代碼完整性 使用配置代碼完整性功能，管理員可以創(chuàng)建自定義代碼完整性策略并指定受信任的軟件
這有助于防止惡意代碼在跳轉服務器上運行
3.智能卡和遠程桌面協(xié)議（RDP） 管理用戶可以使用智能卡和RDP連接到跳轉服務器，以執(zhí)行管理任務
智能卡提供了一種安全且便捷的身份驗證方式，而RDP則允許管理員遠程訪問服務器
三、邏輯安全區(qū)域的創(chuàng)建 通過使用帶或不帶PAW的跳轉服務器，可以創(chuàng)建邏輯安全區(qū)域
在一個區(qū)域內(nèi)，計算機的安全性和連接性配置類似，這有助于簡化管理并提高安全性
1.使用組策略對象（GPO） 在域環(huán)境中，可以使用GPO來配置這些設置
GPO允許管理員為不同的用戶或計算機組定義安全策略、軟件安裝和配置設置等
2.管理用戶和普通用戶的分離 管理用戶有一個管理帳戶，并使用智能卡來向其管理PAW進行身份驗證
普通用戶則使用標準帳戶進行身份驗證，并訪問標準應用來執(zhí)行日常辦公任務
四、實現(xiàn)跳轉服務器的最佳實踐 在實現(xiàn)跳轉服務器時，有一些最佳實踐可以幫助提高安全性和效率
1.遠程桌面網(wǎng)關 如果管理員必須直接連接到目標服務器（使用RDP），請實現(xiàn)遠程桌面網(wǎng)關
通過遠程桌面網(wǎng)關，可以對跳轉服務器的連接以及將用于管理的目標服務器實施限制，從而增加一層安全防護
2.Hyper-V和虛擬機（VM） 考慮為跳轉服務器上的每個管理員實現(xiàn)VM
每個VM都可以配置為允
