Бастионный хост

Бастионный хост — выделенный сервер, принимающий административные подключения из доверенной или внешней сети и предоставляющий контролируемый доступ к внутренним системам. Его размещают на границе сегментов либо в отдельной зоне доступа, чтобы не открывать прямые административные соединения к каждому целевому серверу. Для такого хоста ограничивают набор служб и исходящих соединений, используют строгую аутентификацию, минимальные привилегии, обновления, журналирование и контроль сеансов. На нём не следует размещать посторонние прикладные сервисы: компрометация бастионного хоста может создать путь к управляемым ресурсам. Требования к отказоустойчивости и регистрации определяются критичностью администрируемой среды. Бастионные хосты используют для доступа по SSH, RDP и другим административным протоколам к серверам, сетевому оборудованию и облачным ресурсам. Они отличаются от межсетевого экрана: межсетевой экран фильтрует трафик, а бастионный хост принимает на себя или проксирует административные подключения. Также он не заменяет систему управления привилегированным доступом, хотя может быть её компонентом.