bastion系统

如果正确配置，bastion系统可将安全漏洞带来的风险降到最低。

bastion系统通常配置两个服务：一个服务定义系统的功能，它可能是Web服务器、文件服务器、身份验证服务器等；另一个服务支持远程访问，例如SSH或者通过SSH的VNC（VNC over SSH）。

在虚拟化之前，通常限制使用bastion系统。只有最富有的企业才能够让每个服务专用不同的物理系统。如果需要冗余，费用只会更高。

通过虚拟化，小公司也能使用bastion系统，需要的只是标准的最小化安装。作为这个网络的管理员，使用少量Kickstart文件就可以很方便地创建一整组bastion系统。然后可以自定义每个系统，使其专用于一个服务器。

结构完好的bastion系统必须遵循两条原则。

● 如果不需要某个软件，则卸载它。

● 如果需要某个软件但不使用它，就不要激活。

一般来说，如果没有安装相关服务，黑客就无法利用安全漏洞。如果因为要测试而不得不安装服务，不要激活该服务，这样可以将风险降到最低。当然，为各bastion系统配置的防火墙应该只允许专用服务和远程访问方法的流量通过。