中小企业要不要上堡垒机，先数一数有几个人知道服务器的密码，规模大小放在后面。两个人以上共用 root 或 administrator 口令、有外包需要临时进生产环境、或者业务要过等保二级以上，其中任何一条成立就值得认真考虑。买之前先把服务器和数据库的管理端口收紧到只允许堡垒机访问，这一步不花钱，不做的话后面买什么都是白买。
堡垒机这个叫法来自网络架构里的跳板机，正式名称是运维安全审计系统。它做的事可以用一句话说清，把所有登录服务器、数据库、网络设备的动作收拢到一个统一入口，在这个入口上完成身份核对、权限判断和过程记录。
行业里讲的 4A 指认证、授权、账号和审计四件事。认证解决访问的人是谁，授权划出这个人能碰到的资产范围，账号负责资产口令的集中保管与定期更换，审计留下可以回放的操作过程。
它也有边界。堡垒机只能管住从它这里经过的那条路。如果服务器上的 SSH 端口对所有地址开放，或者运维的笔记本里还存着直连口令，绕过堡垒机的访问照样发生，而这一部分在审计记录里是空白。很多企业花了钱却没有换来任何追溯能力，根子都在这里。
一、现在需不需要，先过五条自查
下面五条命中一条就值得认真考虑，命中两条以上基本可以定下来要上。
- 有两个以上的人知道同一台服务器的 root 或 administrator 口令
- 有外包、兼职或者处在离职过渡期的人要临时访问生产环境
- 服务器、数据库和网络设备的管理端口在内网里对所有地址开放
- 业务要过等保二级及以上，或者甲方在合同里写了这一条
- 出过一次事故，复盘时说不清是谁在什么时候改了哪台机器的配置
反过来看省钱的那一侧。如果只有一名运维、被管的机器不到五台、全部在内网、也没有任何外协，先做的往往是把远程入口收紧、把共用口令换成一人一号，再打开设备自带的操作日志。这三件事的花费接近零，能把主要风险压下去。等人数涨上来或者等保要求落地，再上堡垒机也不迟。
二、等保要求的是什么，以及它没要求什么
先把依据放清楚。《中华人民共和国网络安全法》（2025 年 10 月 28 日修正，2026 年 1 月 1 日起施行）第二十三条确立了网络安全等级保护制度，同时要求网络运营者采取监测、记录网络运行状态和网络安全事件的技术措施，按照规定留存相关的网络日志不少于六个月。
技术要求的落地依据是 GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》，2019 年 5 月 10 日发布，2019 年 12 月 1 日实施。标准把要求分成技术和管理两大部分。技术部分按 安全物理环境 / 安全通信网络 / 安全区域边界 / 安全计算环境 / 安全管理中心 五个层面展开，管理部分按 安全管理制度 / 安全管理机构 / 安全管理人员 / 安全建设管理 / 安全运维管理 五个层面展开。
堡垒机主要落在安全计算环境这一层，对应身份鉴别、访问控制和安全审计几组条款；做到三级，还会牵到安全区域边界上的访问控制与入侵防范。安全审计那一组条款的重点是记录本身要受保护、要定期备份，不能出现被意外删除、修改或覆盖的情况。
有一条要说明白，标准里没有哪一条写着必须采购堡垒机。它考核的是能力，具体落在这几项上。
- 账号唯一，能对应到具体的人
- 口令有复杂度要求，并且定期更换
- 访问范围有边界，不是谁都能连上所有机器
- 重要操作留有记录，记录受保护且能回放
这四项可以用堡垒机一次性拿到，也可以自己拼。跳板机加上统一认证再加上日志平台是另一条路，区别在于后续的维护、升级和排障要由自己的运维承担。判断落在用途上。如果本来就要过等保，同时确实需要有人对运维操作负责，堡垒机是综合成本较低的做法。如果只是想应付一次测评，先看差距分析报告里实际缺哪几项，缺什么补什么，别按厂商给的清单整套买。
三、三种买法的实际代价
| 方式 | 一次性投入 | 后续成本 | 自己要承担的部分 |
|---|---|---|---|
| 开源自建 | 一台虚拟机或物理机，加上实施和配置工时 | 软件许可免费，主要是维护人力与录像存储 | 版本升级、故障处理、备份与恢复 |
| 商业产品 | 按资产档位报的授权费，软硬一体还要加硬件 | 年度维保或订阅费，扩容通常要加钱 | 与厂商绑定，定制改动周期长 |
| 云厂商托管 | 无 | 按规格或纳管资产数订阅 | 资产要能连到服务侧，本地机房接入受限 |
费用给不出一个通用数字，因为三类的计价方式完全不同。自建方案里开源软件的许可成本为零，主要支出是实施与配置的人天；商业产品与云托管按资产数量分档，授权的年费和订阅的年费跨度都很大，具体以厂商针对实际规模给出的报价为准。
提到开源就绕不开一个具体项目。JumpServer 是 FIT2CLOUD 从 2014 年开始维护的开源堡垒机，遵循 GPL v3 许可，社区版免费下载；按项目方公开的产品说明，v4.0 社区版可纳管的资产上限是 5000 台。企业版在社区版之上加了单点登录、工单审批、高可用等能力，按年订阅。
落到选择上，资产在几十台以内、内部有能看懂 Linux 的运维，社区版自建通常够用，省下来的钱放在录像存储和备份上更实在。资产上百台，或者审计要求需要有原厂出具的支持承诺，再考虑商业档位。
四、选型时要看的六个指标
| 指标 | 判断要点 | 现场怎么验 |
|---|---|---|
| 资产类型覆盖 | 只支持 SSH 不够，要覆盖 RDP、主流数据库、Kubernetes、Web 应用和网络设备 | 要求当场接一台 Windows、一个数据库、一台交换机 |
| 认证对接 | 能不能接现有的 AD 或 LDAP，能不能开多因素认证 | 用你们真实的域账号登录一次 |
| 权限粒度 | 能否按人、按资产、按时间窗分配，临时授权能不能走审批 | 造一个只允许周二访问某台机器、每次不超过两小时的场景 |
| 会话录像 | 录下来的是不是可以回放的完整会话，文件存在哪、怎么清理 | 录三段会话，事后逐段回放一遍 |
| 账号托管 | 资产上的口令由堡垒机统一托管并定期轮换，还是仍然靠人工维护 | 看它能不能自动改密，改完之后登录是否仍然正常 |
| 留存与扩容 | 审计记录保留多久，存储怎么扩，资产翻倍时架构要不要重做 | 问清录像的存储增长口径和清理策略 |
演示环节看不出真本事。让厂商或实施方在测试环境里当场把这些验证动作做一遍，能筛掉相当一部分讲得流畅、实际接不进去的产品。另外要提前确认协议代理的实现方式，多数产品不需要在被管的服务器上装客户端，这一点直接决定后面批量纳管的工期。
五、钱最容易花错的四处
第一处是买完不关直连入口。 堡垒机装好了、资产也纳管了，服务器上的 22 端口仍然对所有地址开放，运维习惯不改，还是直连。这种情况下审计记录里只有零星几次登录，钱花了，风险没降。整改动作就是调防火墙和安全组，把管理端口只放给堡垒机地址，成本不过是一张变更单。
第二处是没接统一认证，还是共用口令。 堡垒机变成一个更麻烦的跳板，出了事依然追不到人。判断方法很简单，看堡垒机上是不是每个运维都有独立账号，能不能和人事名单对上。
第三处是所有人都给超级管理员。 权限不分级，审计记录里全是管理员操作，日志再全也没有追责对象。起步阶段至少分出运维、只读审计、外包临时授权三种角色。
第四处是没给录像留存储。 会话录像按会话数量和时长线性增长，磁盘写满之后审计功能会中断，而中断经常没人第一时间发现。上线前先按每人每天几段会话估算容量，把清理策略和备份一起定下来。
比这四处更容易被算错的是双机热备。资产在几十台以内、运维只有两三个人，冷备加一次定期的恢复演练，性价比通常高于热备集群，后者往往要额外买授权和实施服务。冗余是用钱买连续性，前提是这套东西真的承载了不能停的访问。
六、上线顺序与验收清单
顺序列出来。前四步决定这套东西有没有用，后四步决定它能撑多久。
- 划定纳管范围，生产环境排在最前，测试环境和办公网放在后面
- 部署堡垒机，放在运维网段，给它一个固定的内网地址
- 收紧入口，被管资产的管理端口只开给堡垒机地址，其余来源一律拒绝
- 接统一认证，把共用口令迁到一人一号
- 划分权限，按岗位给最小权限，需要更多再单独申请
- 试运行两周，让运维在日常工作里用它，把兼容性和体验问题处理掉
- 打开审计与告警，把高危命令、异常时段登录、非堡垒机来源的访问做成告警
- 规划录像和审计记录的存储与备份，并且真的做一次恢复演练
验收阶段可以对着下面六条逐项打勾，都在了才算这套系统真的在工作。
- 被管资产的管理端口已经关闭对外直连，只有堡垒机地址能进入
- 每个运维有独立账号，能对应到具体的人
- 至少一类高危操作能在发生时触发告警
- 随机抽查三段会话，能完整回放出操作过程
- 停掉堡垒机之后，运维无法绕过它访问生产资产
- 审计记录有独立备份，并且做过一次恢复演练
按这份清单往下走，最该先动的是第三步的入口收敛，它不花钱，却决定了后面所有投入有没有意义。服务器的管理端口还开着的时候，可以先用企业内网系统统一访问方案把访问路径收拢，再上企业堡垒机与运维审计方案做统一认证与操作审计；网络设备这一侧的命令审计和配置备份可以看网络设备操作审计解决方案。如果这套东西是为了过等保，流程与时间表可以对着中小企业等保测评全流程排，两份材料清单有不少重合的地方。更多同类文章见技术分享。