问
堡垒机映射问题
2天前提问
- 0关注
- 0收藏，67浏览
关于堡垒机通过防火墙做端口映射进行远程运维，除了你提到的 22、443、3389 之外，是否还需要映射其他端口，主要取决于你使用的堡垒机品牌、具体运维方式以及是否需要通过堡垒机访问后端的数据库等特定资源。
以下是详细的端口映射梳理与安全建议：
核心运维端口（必须映射）
这些是运维人员连接堡垒机本身所必需的端口：
- 443 (HTTPS)：用于通过 Web 浏览器登录堡垒机管理界面和进行网页版运维。
- 22 (SSH) 或 60022/2222：用于通过 SSH 客户端（如 Xshell、SecureCRT）连接堡垒机。不同厂商的默认端口可能不同，常见的有标准的 22 端口，或者 H3C/华为等厂商默认的 2222、阿里云堡垒机的 60022。
- 3389 (RDP) 或 63389/53389：用于通过 Windows 自带的 MSTSC 远程桌面客户端连接堡垒机。同样，不同厂商的默认端口会有差异，例如阿里云堡垒机默认为 63389，华为云默认为 53389。
扩展功能与特定协议端口（按需映射）
如果你的运维场景包含以下需求，则需要额外映射对应的端口：
- 9443：部分品牌（如阿里云、华为云）的堡垒机使用该端口进行运维会话的视频回放、审计或 License 注册许可。
- 2121 (FTP) 与 20000-21000 (FTP被动模式)：如果需要通过堡垒机进行 FTP 文件传输运维，需要映射 FTP 服务端口及被动模式的数据端口范围。
- 数据库端口：如果运维人员需要通过堡垒机直连访问后端的数据库，可能需要映射对应的数据库端口（如 MySQL 的 3306、Oracle 的 1521、SQL Server 的 1433 等）。
- 其他厂商特定端口：例如移动云堡垒机可能还会用到 18080（统一通讯）和 23389（客户端直连运维）等端口。
安全配置建议（非常重要）
将堡垒机映射到公网会直接增加内网的暴露面，为了保障安全，在配置防火墙映射时务必遵循以下原则：
- 严格限制访问源 IP：绝对不要将上述端口的访问权限开放给全网（0.0.0.0/0）。务必在防火墙上配置白名单，仅允许公司内部固定的办公出口公网 IP 或指定的运维人员 IP 访问堡垒机的映射端口。
- 端口最小化原则：只映射业务和运维实际需要用到的端口，禁止映射连续的大段端口或“任意端口”。
- 高危端口替换：如果条件允许，建议在映射时将公网端口修改为非标准端口（例如将公网的 33389 映射到内网堡垒机的 3389），以减少被互联网恶意扫描和暴力破解的风险。
暂无评论
先给结论：对外映射只必须：443（Web）+ 22（SSH）+ 3389（RDP）；要不要多开，取决于你堡垒机品牌 / 版本和运维方式。下面按 “最小够用→推荐→常见品牌差异→安全建议” 说明。
一、最小映射（你现在的 22/443/3389）
- TCP/443：HTTPS Web 登录堡垒机（必开）
- TCP/22：SSH 客户端直连堡垒机（Linux / 网络设备）
- TCP/3389：RDP 客户端直连堡垒机（Windows）
仅这三个，绝大多数场景能远程运维。
二、通常建议额外映射（看功能）
1）文件传输（常用）
- TCP/22：SFTP（和 SSH 同端口，不用额外开）
- TCP/21：FTP（非加密，尽量不用）
2）Web 内部运维（HTML5 免客户端）
很多堡垒机在 Web 里直接打开 SSH/RDP，需要：
- TCP/80（可选，HTTP 跳转 HTTPS）
- TCP/8080/8443/9443（不同品牌 Web 运维 / 审计回放）
3）数据库运维（若需通过堡垒机连 DB）
- MySQL：3306
- Oracle：1521
- SQL Server：1433
4）审计 / 录像回放（部分品牌需要）
- TCP/5110/9443/10050（视厂商）
三、不同堡垒机品牌默认端口差异（关键）
深信服
- Web：443
- SSH 运维：2222（不是 22）
- RDP 运维：63389（不是 3389）
- SFTP：2222
华为云 / 天翼云
- Web：443
- SSH：2222/60022
- RDP：53389/63389
阿里 / 腾讯云堡垒机
- Web：443
- SSH：60022
- RDP：63389
你现场如果是深信服，只映射 22/3389 会连不上，必须改映射为 2222→2222、63389→63389。
四、防火墙映射最佳实践（安全 + 够用）
- 公网入口只开放 443、22、3389（或对应品牌端口）
- 源 IP 限制：只允许公司公网出口 IP / 固定运维 IP 段访问，不要放通 0.0.0.0/0
- 端口改写（建议）
- 外网 2222 → 堡垒机 22（或 2222）
- 外网 33899 → 堡垒机 3389（或 63389）
- 外网 443 → 堡垒机 443
- 禁用不必要的协议：如 Telnet（23）、FTP（21）
五、你现在怎么查
- 登录堡垒机 Web → 系统配置 / 网络参数 → 看SSH、RDP 监听端口
- 如果是 22/3389：你现在映射够用
- 如果是 2222/63389：防火墙要改成映射这两个端口
总结
- 最低：443、22、3389（或品牌对应端口）
- 常用追加：80（可选）、2222/63389（品牌差异）、数据库端口（按需）
- 安全核心：源 IP 白名单 + 非标准端口映射 + 只开必要端口
暂无评论
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
暂无评论