JumpServer跨网段访问内网服务器——跳板机配置方案

前言:在运维场景中，堡垒机与内网服务器不在同一网段是高频痛点，直接访问会因网络隔离失败。借助JumpServer的“跳板机”功能，可实现跨网段访问，本文分享经优化的两种通用配置方案。

场景说明

假设环境：

• JumpServer堡垒机：部署在公网/独立网段；
• 内网服务器：分布在192.168.1.0/24、172.16.0.0/24等私有网段；
• 跳板机：同时连通“JumpServer”与“所有内网网段”的中转服务器。

方案一：基于JumpServer官方jms代理的跳板机配置（标准化方案）

此方案通过部署jms_agent组件实现流量中转，是官方推荐的规范方式，需JumpServer 2.20+版本支持。

步骤1：在JumpServer后台创建跳板机资产

安全注意：网关密钥属于敏感信息，需妥善保存（避免明文存储），仅授予必要运维人员查看权限；同时可为该跳板机资产配置「资产授权」，限制仅特定用户组使用。

步骤2：在跳板机安装jms_agent（修复404链接）

登录跳板机，执行官方最新安装脚本：

# 下载并安装JumpServer网关代理
curl -sSL https://get.jumpserver.org/agent.sh | bash -s — gateway

安装过程中，按提示输入：

• 堡垒机服务地址（步骤1记录的地址）；
• 网关密钥（步骤1记录的Secret Key）。

说明：jms_agent实际通过SSH隧道转发流量，无需手动配置系统路由，兼容性与安全性更优。

步骤3：启动代理并设置自启

# 启动jms_agent服务
systemctl start jms_agent

# 设置开机自启
systemctl enable jms_agent

步骤4：关联内网资产到跳板机

回到JumpServer后台，编辑目标内网资产：

访问链路说明

当完成jms_agent配置后，结合网关服务器已开启的 net.ipv4.ip_forward=1（IP转发功能），最终跨网段访问链路为：
JumpServer → 网关服务器（jms_agent所在跳板机） → 网关服务器所在子网的默认网关 → 目标内网网段（如192.168.2.0/24、172.16.3.0/24等）的内网服务器。

方案二：基于系统网络路由的跳板机配置（轻量方案）

无需部署额外组件，借助跳板机的系统网络转发能力实现中转，需跳板机具备跨网段路由能力。

步骤1：在跳板机开启IP转发

# 临时开启（重启后失效）
sysctl -w net.ipv4.ip_forward=1

# 永久开启（需重启系统）
echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
sysctl -p

步骤2：确保跳板机的路由能力

核心前提：跳板机需同时连通JumpServer和所有目标内网网段（通过默认网关或静态路由实现）：

# 查看当前路由表（确认包含内网网段路由）
route -n

# 若缺少内网网段路由，手动添加（以192.168.1.0/24为例）
route add -net 192.168.1.0/24 gw 内网网关IP dev 网卡名

步骤3：配置JumpServer跳板机资产

同方案一的「步骤1」，创建对应跳板机的“跳板机”类型资产。

步骤4：关联内网资产到跳板机

同方案一的「步骤4」，将内网资产的接入节点设为该跳板机。

版本说明：此方案对JumpServer版本无特殊限制（2.0+主流版本均支持）。

访问链路说明

此方案下，结合网关服务器已开启的 net.ipv4.ip_forward=1（IP转发功能），跨网段访问的完整链路为：
JumpServer → 网关服务器（已配置路由的跳板机） → 网关服务器所在子网的默认网关 → 目标内网网段（如192.168.2.0/24、172.16.3.0/24等）的内网服务器。

方案对比

常见问题排查