适用场景
天融信在政企与行业客户覆盖广，防火墙守边界、堡垒机管内部操作。两者配合，才能既防外又控内。
配置步骤（审计与合规取证）
# 1) 审计范围：登录、命令、文件传输、RDP 画面、数据库操作
# 2) 留存：本地 + 远程备份，保留 ≥6 个月
# 3) 告警：非工作时间登录、敏感命令、异常 IP
# 4) 报表：按月导出运维操作统计，作为内控材料关键参数与建议
- 防火墙：分区-路由-策略-NAT 四步走，策略默认拒绝
- 堡垒机：先把资产与账号托管进来，再配权限，最后开审计
- 账号托管（含定期改密）是堡垒机价值核心，否则无法证明密码可控
- 高危命令（删除、格式化、关机）用命令控制做二次审批
- 审计录屏与命令日志保留 ≥6 个月，便于事后追责
容易踩的坑
- 只录屏不留命令日志，检索效率极低
- 审计数据与业务数据同盘，磁盘满导致审计中断
- 无告警规则，事件只能靠事后翻记录
验证与巡检
# 验证：按人/按资产检索完整操作链（登录-命令-退出）并导出留档- 巡检：检索演练每季度一次、告警规则有效、报表归档
小结
堡垒机项目的成败在资产与账号梳理阶段，不在设备配置本身。资产不全、账号不托管，运维人员就会绕过堡垒机直连。
> 说明：文中命令为通用写法，不同型号/版本可能略有差异，落地前请对照设备实际版本的官方文档；带外管理与安全设备变更建议先在测试设备验证。