无妨正常访问

提示什么？ 

堡垒机本机后台直接测试连通性（最优先定位）

登录堡垒机后台调试 shell，直接在堡垒机本机执行 ssh 连接目标资产：

1. ✅如果堡垒机本机能直接 ssh 连上目标服务器：网络三层互通没问题；问题出在堡垒机平台配置（资产账号、授权、会话代理策略）。
2. ❌如果堡垒机本机连不上资产：说明堡垒机到资产网络不通，优先排查路由、防火墙 ACL、目标服务器 ssh 限制深信服技术...。

场景 A：堡垒机后台本机都连不上资产（网络层问题）

1. 堡垒机路由检查 堡垒机内网接口是否存在目标服务器网段路由；堡垒机内网网关配置是否正确；

堡垒机有两个网卡：外网网卡（接收外网 ssh 登录）、内网网卡（访问业务资产），内网网段路由必须指向内网网关，不能走外网网关，很多现场把默认网关配成外网，导致访问内网资产路由错误。

2. 中间防火墙 / 安全策略放行 堡垒机内网 IP 访问资产服务器 TCP 22 端口，中间防火墙是否放通； 注意：外网用户能登录堡垒机，只能说明外网→堡垒机外网口放行；堡垒机内网口访问资产是另一条流量，需要单独放通策略。
3. 目标服务器本身限制

• 服务器 sshd 的hosts.deny / hosts.allow拒绝堡垒机内网 IP 访问；
• ssh 服务监听地址、防火墙 firewalld/iptables 拒绝堡垒机 IP；
• 目标服务器 ssh 版本算法协商不兼容（OpenSSH 新版本老算法禁用）深信服技术...。

场景 B：堡垒机后台本机 ssh 资产正常，但是 web/ssh 代理跳转失败（平台配置问题）

1. 资产配置检查

• 资产录入 IP、SSH 端口填写正确；
• 资产上配置的运维账号密码 / 私钥是否正确；堡垒机会使用保存的凭证代填登录，凭证错误就跳转失败（外网登录堡垒机用的是堡垒机账号，和资产账号是两套账号）。

2. 用户授权策略

• 当前登录堡垒机的外网账号，是否被授权该资产；
• 是否限制登录时段、来源 IP 限制；部分策略限制来源为内网，外网登录后不允许跳转资产。

3. 会话代理策略、协议限制 资产协议选择 SSH，协议版本兼容；部分老版本堡垒机对高版本 OpenSSH 资产存在协商 bug，需要升级堡垒机版本。
4. 查看堡垒机审计日志 查看【运维日志 - 会话日志】，跳转失败会打印明确报错：凭证错误、连接被拒绝、主机不可达、策略拒绝，根据日志直接定位根因H3C。

容易踩坑的典型坑点

1. 堡垒机默认网关配置成外网网关 堡垒机访问内网资产，数据包从外网网卡出去，回包走内网网卡，来回路径不一致，防火墙丢弃报文。

解决：默认网关给外网；内网业务网段写静态路由，下一跳指向内网网关。

2. 外网可以 ssh 登录堡垒机，不等于堡垒机可以访问内网；两段流量独立，两套安全策略。
3. 堡垒机账号≠资产服务器账号；外网用户登录堡垒机的账号密码，不会直接用来登录资产，堡垒机使用资产页面预存的账号密码去代填登录。
4. 目标服务器只允许内网网段 ssh 接入，拒绝堡垒机内网 IP，检查/etc/hosts.allow。

快速验证命令清单

故障定位总结

1、堡垒机后台 ssh 资产通 → 问题在堡垒机资产配置、账号授权、凭证； 2、堡垒机后台 ssh 资产不通 → 问题在路由、中间防火墙策略、服务器 ssh 限制；