运维安全中心 堡垒机跨境运维加速：基于全球加速 GA2.0 的加速实践

这篇说说通过全球加速2.0（Global Accelerator 2.0，GA2.0）在客户端与境外运维安全中心（堡垒机）之间建立加速通道的方法。

一、应用场景

·跨境远程运维：运维人员与运维安全中心（堡垒机）或目标资产分布在不同国家或地区时，跨境访问可能受到公网链路波动、时延抖动等因素影响。可通过 GA2.0 优化跨区域访问路径，改善 SSH、RDP 等交互式运维体验。

·境外资源集中管理：企业在境外部署服务器、数据库及其他基础设施，并通过境内统一运维入口进行管理时，可使用 GA2.0 优化境内到境外资源所在区域的访问链路，降低跨区域网络质量波动对运维操作的影响。

·统一审计下的跨境运维：企业希望继续通过运维安全中心（堡垒机）统一进行身份认证、权限控制和操作审计，同时改善跨境访问体验时，可在不改变运维安全中心（堡垒机）核心管控流程的前提下，引入 GA2.0 优化网络访问链路。

二、方案特点

·低侵入式接入：加速配置主要在 GA2.0 侧完成，现有运维安全中心（堡垒机）及后端主机资产通常无需调整。客户端仅需将原访问地址切换为 GA2.0 加速地址，原有端口、账号及认证凭据可继续沿用。

·网络链路优化：GA2.0 主要作用于客户端至堡垒机之间的网络传输路径，通过就近接入及优化后的跨区域传输链路改善访问质量，不改变运维安全中心（堡垒机）原有的身份认证、权限控制和操作审计流程。

·适配主流运维协议：基于 TCP 的运维访问方式可通过 GA2.0 进行加速，例如 SSH、RDP 等场景。具体监听协议与端口应根据实际运维接入方式进行配置。

·保留统一审计能力：运维会话仍由运维安全中心（堡垒机）进行统一记录和审计。若访问控制或审计策略依赖客户端来源 IP，应结合 GA2.0 的真实用户 IP 获取能力进行配置，并在上线前通过实际登录验证日志记录是否符合预期。

·支持平滑回退：可保留原有直连访问路径作为备用通道。当加速链路出现异常或需要排障时，可切换至原有访问方式，降低网络链路调整对既有运维流程的影响。

三、方案选型

GA2.0 提供两种跨境加速方案，差异如下。

注意：说明：

四、前置条件

·已购买运维安全中心（堡垒机）实例。

·已确认运维人员的客户端分布地域（如华南（广州）、华东（上海）、华北（北京）），用于就近选择加速区域。

·已提交工单并开通 GA2.0 服务。

·若选择（联通）跨境云专线，需提前完成跨境资质审核。

五、获取堡垒机公网 IP 及所在地域

1. 登录 运维安全中心（堡垒机）控制台，在左侧导航栏中，选择开通服务 > 服务列表。

2. 在服务列表页面，选择需要加速的目标实例，查看对应实例的公网 IP 与所在地域。

六、步骤1：创建加速实例

注意：说明：

注意：GA2.0 的实例管理入口当前处于白名单控制状态，需先通过工单申请开通，开通后即可在控制台看到该入口。

1. 登录 全球加速控制台，在左侧导航栏中，选择实例管理，单击创建标准实例。

2. 在实例创建页面，输入全球加速实例名称、选择计费模式并按需添加描述。

3. 单击下一步，进入配置加速区域页面。

七、步骤2：配置加速区域

1. 在配置加速区域页面，按需选择加速区域，并根据指引配置公网质量类型、带宽峰值、IP 地址协议。

2. 配置完成后，单击下一步，进入配置监听器页面。

注意：说明：

注意：如你的业务使用全球统一域名，且通过全局 CNAME 方式接入 GA2.0，在未配置中国大陆节点或中国香港节点作为加速区域的场景下，中国大陆用户的访问请求将被系统默认解析至127.0.0.1。

八、步骤3：配置监听器

1. 在配置监听器页面，参考以下配置项说明完成监听器配置。

2. 配置完成后，单击下一步，进入终端节点组配置页。

九、步骤4：配置终端节点组

注意：说明：

1. 在终端节点组配置页面，输入节点组名称，参考以下配置项说明完成终端节点组配置。

2. 配置完成后单击下一步，进入配置审核页。

3. 单击确认开通，完成实例配置。

十、步骤5：获取加速 IP 并切换客户端访问地址

1. 登录 全球加速控制台。选择已创建的加速实例，单击详情。

2. 在实例详情页面中，单击实例详情，获取加速域名。

3. 在实例详情页面中，单击加速区域，获取加速接入点 IP。

4. 将客户端的访问地址由运维安全中心（堡垒机）公网 IP 改为加速接入点 IP 或加速域名，端口、账号、密码保持不变。

# 加速前：直连运维安全中心（堡垒机）公网 IPssh -p 8322 '<运维账号>/<主机账号>/<主机 IP>'@<运维安全中心（堡垒机）公网 IP># 加速后：连接加速接入点 IP，其余参数不变ssh -p 8322 '<运维账号>/<主机账号>/<主机 IP>'@<GA2.0 加速 IP>

注意：说明：

注意：切换客户端访问地址后，请在客户端安全策略中同步收敛放行范围，仅允许可信终端访问加速接入点。加速接入点为公网可达地址，若来源范围过宽，可能导致端口被未授权访问。

十一、Web-H5 运维加速

Web-H5 运维方式同样可以使用 GA2.0 加速，配置方式与 SSH 直连基本一致，差异点如下。

1. 监听端口：使用 443，而非 SSH 直连的 8322。

2. 终端节点：填写域名而非运维安全中心（堡垒机）公网 IP。域名为 xxx.h5.tencentbh.com，其中 xxx 取运维安全中心（堡垒机）实例 ID 字符串中以 – 分隔的最后一个部分。

3. 客户端 hosts 配置：在客户端 hosts 文件中追加如下记录，将加速 IP 与上述域名绑定。

<GA2.0 加速 IP> xxx.h5.tencentbh.com

注意：说明：

注意：BHLoader 拉起本地 SSH 客户端访问运维安全中心（堡垒机）的运维方式不支持使用 GA2.0 加速。

十二、常见问题

十三、相关文档