适用场景
远程接入既要"能用"，也要"可控"：谁能连、能连什么、做了什么，三个问题必须有答案。否则远程通道就是最大的风险口。
配置步骤（堡垒机作为唯一入口）
# 1) 资产与账号托管（含自动改密）
# 2) 角色与权限（按岗位到资产）
# 3) 高危命令审批与阻断
# 4) 录屏与命令日志留存 ≥6 个月
# 5) 与远程接入打通：远程用户先连 VPN，再进堡垒机关键参数与建议
- 按角色授权资源，不要给所有人同一套内网权限
- 开启双因子（短信/OTP/证书），仅口令不足以抵抗撞库
- 接入日志与操作审计必须留存，满足合规要求
- 远程接入设备与管理端单独打补丁，这是攻击重点目标
- 离职即禁用账号，定期（每月）核对账号与在职名单
容易踩的坑
- 运维人员绕过堡垒机直连（网络仍可达）
- 账号未托管，密码仍在个人手里
- 只录屏不留命令日志，检索效率极低
验证与巡检
# 验证：随机抽一台资产确认只能经堡垒机访问- 巡检：资产覆盖率 100%、托管账号无例外、审计可检索
小结
远程接入的运维重点是账号治理与日志审计：账号对不对、权限大不大、操作有没有记录，每季度至少复核一次。
> 说明：文中命令为通用写法，不同型号/版本可能略有差异，落地前请对照设备实际版本的官方文档；带外管理与安全设备变更建议先在测试设备验证。