官方文档很详细，本文与官方文档 基本相同
环境
系统: CentOS 7
IP: 192.168.1.73
目录: /data
数据库: mariadb
代理: nginx
开始安装 基本配置 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 $ yum update -y # 防火墙 与 selinux 设置说明, 如果已经关闭了 防火墙 和 Selinux 的用户请跳过设置 $ systemctl start firewalld $ firewall-cmd --zone=public --add-port=80/tcp --permanent $ firewall-cmd --zone=public --add-port=2222/tcp --permanent --permanent 永久生效, 没有此参数重启后失效 $ firewall-cmd --reload $ setenforce 0 $ sed -i "s/SELINUX=enforcing/SELINUX=disabled/g" /etc/selinux/config # 安装依赖包 $ yum -y install wget gcc epel-release git
安装Redis Jumpserver 使用 Redis 做 cache 和 celery broke
1 2 3 $ yum -y install redis $ systemctl enable redis $ systemctl start redis
安装MySQL 如果不使用 Mysql 可以跳过相关 Mysql 安装和配置, 支持sqlite3, mysql, postgres等
1 2 3 4 5 6 7 8 9 $ yum -y install mariadb mariadb-devel mariadb-server MariaDB-shared $ systemctl enable mariadb $ systemctl start mariadb # 创建数据库 Jumpserver 并授权 $ DB_PASSWORD=`cat /dev/urandom | tr -dc A-Za-z0-9 | head -c 24` $ echo -e "\033[31m 你的数据库密码是 $DB_PASSWORD \033[0m" $ mysql -uroot -e "create database jumpserver default charset 'utf8'; grant all on jumpserver.* to 'jumpserver'@'127.0.0.1' identified by '$DB_PASSWORD '; flush privileges;" $ mysql -uroot -e "create database jumpserver default charset 'utf8'; grant all on jumpserver.* to 'jumpserver'@'127.0.0.1' identified by 'jumpserver'; flush privileges;"
安装Nginx 用作代理服务器整合 Jumpserver 与各个组件
1 2 $ yum -y install nginx $ systemctl enable nginx
安装Python3.6环境 1 2 3 4 5 6 7 8 9 $ yum -y install python36 python36-devel # 配置并载入 Python3 虚拟环境 $ cd /data $ python3.6 -m venv py3 $ source /data/py3/bin/activate # 看到下面的提示符代表成功, 以后运行 Jumpserver 都要先运行以上 source 命令, 载入环境后默认以下所有命令均在该虚拟环境中运行 (py3) [root@localhost py3]
下载 Jumpserver 1 2 3 4 5 6 7 8 9 $ cd /data/ $ git clone --depth=1 https://github.com/jumpserver/jumpserver.git # 安装依赖 RPM 包 $ yum -y install $(cat /data/jumpserver/requirements/rpm_requirements.txt) # 安装 Python 库依赖 $ pip install --upgrade pip setuptools $ pip install -r /data/jumpserver/requirements/requirements.txt
修改 Jumpserver 配置文件 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 $ cd /data/jumpserver $ cp config_example.yml config.yml $ SECRET_KEY=`cat /dev/urandom | tr -dc A-Za-z0-9 | head -c 50` $ echo "SECRET_KEY=$SECRET_KEY " >> ~/.bashrc $ BOOTSTRAP_TOKEN=`cat /dev/urandom | tr -dc A-Za-z0-9 | head -c 16` $ echo "BOOTSTRAP_TOKEN=$BOOTSTRAP_TOKEN " >> ~/.bashrc $ sed -i "s/SECRET_KEY:/SECRET_KEY: $SECRET_KEY /g" /data/jumpserver/config.yml $ sed -i "s/BOOTSTRAP_TOKEN:/BOOTSTRAP_TOKEN: $BOOTSTRAP_TOKEN /g" /data/jumpserver/config.yml $ sed -i "s/# DEBUG: true/DEBUG: false/g" /data/jumpserver/config.yml $ sed -i "s/# LOG_LEVEL: DEBUG/LOG_LEVEL: ERROR/g" /data/jumpserver/config.yml $ sed -i "s/# SESSION_EXPIRE_AT_BROWSER_CLOSE: false/SESSION_EXPIRE_AT_BROWSER_CLOSE: true/g" /data/jumpserver/config.yml $ sed -i "s/DB_PASSWORD: /DB_PASSWORD: $DB_PASSWORD /g" /data/jumpserver/config.yml $ echo -e "\033[31m 你的SECRET_KEY是 $SECRET_KEY \033[0m" $ echo -e "\033[31m 你的BOOTSTRAP_TOKEN是 $BOOTSTRAP_TOKEN \033[0m"
确认内容有没有错误 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 SECRET_KEY: BOOTSTRAP_TOKEN: DEBUG: false LOG_LEVEL: ERROR SESSION_EXPIRE_AT_BROWSER_CLOSE: true DB_ENGINE: mysql DB_HOST: 127.0 .0 .1 DB_PORT: 3306 DB_USER: jumpserver DB_PASSWORD: jumpserver DB_NAME: jumpserver HTTP_BIND_HOST: 0.0 .0 .0 HTTP_LISTEN_PORT: 8080 REDIS_HOST: 127.0 .0 .1 REDIS_PORT: 6379
运行 Jumpserver 1 2 3 4 5 6 7 8 9 $ cd /data/jumpserver $ ./jms start -d # 新版本更新了运行脚本, 使用方式./jms start|stop|status all 后台运行请添加 -d 参数 $ wget -O /usr/lib/systemd/system/jms.service https://demo.jumpserver.org/download/shell/centos/jms.service 这里注意要修改下安装目录 $ chmod 755 /usr/lib/systemd/system/jms.service $ systemctl enable jms
安装 docker 部署 koko 与 guacamole 1 2 3 4 5 6 7 8 9 10 11 12 13 14 $ yum install -y yum-utils device-mapper-persistent-data lvm2 $ yum-config-manager --add-repo http://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo $ yum makecache fast $ rpm --import https://mirrors.aliyun.com/docker-ce/linux/centos/gpg $ yum -y install docker-ce $ systemctl start docker $ cat << EOF >>/etc/docker/daemon.json { "data-root": "/data/docker", "registry-mirrors": ["http://f1361db2.m.daocloud.io"] } EOF $ systemctl daemon-reload $ systemctl restart docker
允许 容器ip 访问宿主 8080 端口 容器的 ip 可以进入容器查看
1 2 3 $ firewall-cmd --permanent --add-rich-rule="rule family=" ipv4" source address=" 172.17.0.0/16" port protocol=" tcp" port=" 8080" accept" $ firewall-cmd --reload # 172.17.0.x 是docker容器默认的IP池, 这里偷懒直接授权ip段了, 可以根据实际情况单独授权IP
获取当前服务器 IP
1 2 3 4 5 6 7 $ Server_IP=`ip addr | grep 'state UP' -A2 | grep inet | egrep -v '(127.0.0.1|inet6|docker)' | awk '{print $2}' | tr -d "addr:" | head -n 1 | cut -d / -f1` $ echo -e "\033[31m 你的服务器IP是 $Server_IP \033[0m" # http://<Jumpserver_url> 指向 jumpserver 的服务端口, 如 http://192.168.244.144:8080 # BOOTSTRAP_TOKEN 为 Jumpserver/config.yml 里面的 BOOTSTRAP_TOKEN $ docker run --name jms_koko -d -p 2222:2222 -p 127.0.0.1:5000:5000 -e CORE_HOST=http://$Server_IP :8080 -e BOOTSTRAP_TOKEN=$BOOTSTRAP_TOKEN --restart=always jumpserver/jms_koko:1.5.4 $ docker run --name jms_guacamole -d -p 127.0.0.1:8081:8080 -e JUMPSERVER_SERVER=http://$Server_IP :8080 -e BOOTSTRAP_TOKEN=$BOOTSTRAP_TOKEN --restart=always jumpserver/jms_guacamole:1.5.4
安装 Web Terminal 前端 Luna 需要 Nginx 来运行访问 访问(https://github.com/jumpserver/luna/releases)下载对应版本的 release 包, 直接解压, 不需要编译
1 2 3 4 5 6 7 8 $ cd /data $ wget https://github.com/jumpserver/luna/releases/download/1.5.4/luna.tar.gz # 如果网络有问题导致下载无法完成可以使用下面地址 $ wget https://demo.jumpserver.org/download/luna/1.5.4/luna.tar.gz $ tar xf luna.tar.gz $ chown -R root:root luna
配置 Nginx 整合各组件 1 2 3 $ rm -rf /etc/nginx/conf.d/default.conf $ vi /etc/nginx/conf.d/jumpserver.conf
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 server { listen 80; client_max_body_size 100m; # 录像及文件上传大小限制 location /luna/ { try_files $uri / /index.html; alias /data/luna/; # luna 路径, 如果修改安装目录, 此处需要修改 } location /media/ { add_header Content-Encoding gzip; root /data/jumpserver/data/; # 录像位置, 如果修改安装目录, 此处需要修改 } location /static/ { root /data/jumpserver/data/; # 静态资源, 如果修改安装目录, 此处需要修改 } location /koko/ { proxy_pass http://localhost:5000; proxy_buffering off; proxy_http_version 1.1; proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection "upgrade"; proxy_set_header X-Real-IP $remote_addr; proxy_set_header Host $host; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; access_log off; } location /guacamole/ { proxy_pass http://localhost:8081/; proxy_buffering off; proxy_http_version 1.1; proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection $http_connection; proxy_set_header X-Real-IP $remote_addr; proxy_set_header Host $host; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; access_log off; } location /ws/ { proxy_pass http://localhost:8070; proxy_http_version 1.1; proxy_buffering off; proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection "upgrade"; proxy_set_header X-Real-IP $remote_addr; proxy_set_header Host $host; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; access_log off; } location / { proxy_pass http://localhost:8080; proxy_set_header X-Real-IP $remote_addr; proxy_set_header Host $host; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; access_log off; } }
运行 Nginx 1 2 $ nginx -t $ systemctl start nginx
访问 http://192.168.1.73
注意 没有 :8080 通过 nginx 代理端口进行访问
默认账号: admin 密码: admin 到会话管理-终端管理 接受 koko Guacamole 等应用的注册
测试连接
1 2 3 4 5 6 7 8 9 10 11 12 $ ssh -p2222 admin@192.168.1.73 $ sftp -P2222 admin@192.168.1.73 密码: admin # 如果是用在 Windows 下, Xshell Terminal 登录语法如下 $ ssh admin@192.168.1.73 2222 $ sftp admin@192.168.1.73 2222 密码: admin 如果能登陆代表部署成功 # sftp默认上传的位置在资产的 /tmp 目录下 # windows拖拽上传的位置在资产的 Guacamole RDP上的 G 目录下
登录配置 基本设置 修改 url 的”localhost”为你的实际 url 地址, 否则邮件收到的地址将为”localhost” 也无法创建新用户
邮件设置
点击页面上边的”邮件设置”, 进入邮件设置页面
默认使用 25 端口, 不勾选 SSL 和 TLS; 如果需要勾选 SSL, 端口需要修改成 465; 如果需要勾选 TLS, 端口需要改成 587
不可以同时勾选 SSL 和 TLS
配置邮件服务后, 点击页面的”测试连接”按钮, 如果配置正确, Jumpserver 会发送一条测试邮件到您的 SMTP 账号邮箱里面, 确定收到测试邮件后点击保存即可使用
LDAP设置 我这里不使用LDAP，不做配置
终端设置
“密码认证”和”密钥认证”是 SSH 连接跳板机时所使用的认证方式(都不选会造成无法使用 SSH 方式连接登录跳板机, 不影响 web 登录)
“Telnet成功正则表达式” telnet设备登陆失败需要设置
“命令存储””录像存储”位置设置
“命令存储””录像存储”修改后, 需要在Jumpserver 会话管理-终端管理 修改terminal的配置 录像存储 命令记录, 然后重启 Jumpserver 服务
设置后重启 Coco 才能生效
安全设置
“MAF二次认证”勾选会开启全局强制”MFA”, 所有 jumpserver 用户必须使用动态口令进行认证登录(即时生效)
“限制登录失败”和”限制登录时间”设置需要重启 jumpserver 才能生效
“SSH最大空闲时间”设置需要重启 coco 才能生效
“密码校验规则”设置立即生效
