libastion 0.0.1

package/.env.example

@@ -0,0 +1,9 @@
+# Bastion Master Key (AES-256-GCM encryption key)
+# Generate: node -e "console.log(require('crypto').randomBytes(32).toString('hex'))"
+BASTION_MASTER_KEY=
+
+# SSH Server listen port (default: 2222)
+BASTION_PORT=2222
+
+# Log level: info, warn, error, debug
+BASTION_LOG_LEVEL=info

package/PLAN.md

@@ -0,0 +1,168 @@
+# 基于 Node.js 的轻量级堡垒机实现方案
+
+## 一、方案概述
+
+用 Node.js 实现一个**原生 SSH 客户端接入**的轻量堡垒机：用户用 `ssh user@bastion -p 2222` 连接堡垒机，堡垒机完成本地账号认证与权限校验后，作为 SSH 客户端代理连接目标主机，在数据流转过程中实现命令审计、SFTP 文件传输审计与端口转发审计。审计数据落库，可查询追溯。
+
+## 二、技术栈与依赖
+
+- **Node.js** >= 18
+- **ssh2**：SSH Server + SSH Client（核心，唯一协议依赖）
+- **better-sqlite3**：审计日志与配置数据存储（轻量、同步、零运维）
+- **bcryptjs**：用户密码哈希
+- **winston**：运行日志
+- **dotenv**：环境变量（主密钥等）
+- **commander**（可选）：CLI 管理命令
+
+## 三、总体架构与数据流
+
+```
+用户(ssh客户端)
+   │  ssh user@bastion -p 2222
+   ▼
+┌─────────────────────────────┐
+│   SSH Server (ssh2)         │  ← 认证：本地用户库(bcrypt) + RBAC角色
+│   ├─ session/shell          │
+│   ├─ session/exec           │
+│   ├─ session/sftp           │  ← 文件传输审计
+│   └─ session/direct-tcpip   │  ← 端口转发审计
+└──────────┬──────────────────┘
+           │ 桥接/代理（数据流经审计与命令过滤层）
+           ▼
+┌─────────────────────────────┐
+│   SSH Client (ssh2)         │  ← 用托管凭据(加密存储)连接目标主机
+└──────────┬──────────────────┘
+           ▼
+        目标主机 (host:port)
+```
+
+## 四、模块划分
+
+1. **入口模块** `bin/server.js`：加载配置、初始化存储、启动 SSH Server
+2. **配置模块** `src/config/`：config.json + .env，含监听端口、并发上限、超时、黑名单规则
+3. **认证与用户模块** `src/auth/`：本地用户 CRUD、bcrypt 校验、角色（admin/auditor/user）、登录限流与失败锁定
+4. **会话代理模块** `src/session/`：会话生命周期管理、Server↔Client 桥接、心跳/空闲超时、并发会话数限制
+5. **目标主机与凭据模块** `src/hosts/`：主机 CRUD、`user_host_perms` 授权、凭据 AES-256-GCM 加密存储
+6. **命令过滤模块** `src/policy/`：命令黑名单/白名单正则，命中即拦截并记录
+7. **审计模块** `src/audit/`：会话流水、命令日志、SFTP 传输、端口转发、审计查询接口
+8. **存储模块** `src/db/`：better-sqlite3 连接与建表、迁移
+9. **CLI 管理模块** `src/cli/`：`add-user`、`add-host`、`grant`、`list-audit` 等命令
+
+## 五、数据库表结构（better-sqlite3）
+
+- **users**
+  - `id` (PK), `username` (UNIQUE), `password_hash`, `role` (admin/auditor/user), `status` (active/locked), `failed_attempts`, `locked_until`, `created_at`
+
+- **hosts**
+  - `id` (PK), `name`, `host`, `port`, `username`, `auth_type` (password/keyboard-interactive), `credential_enc` (encrypted), `created_at`
+
+- **user_host_perms**
+  - `id` (PK), `user_id` (FK), `host_id` (FK), `UNIQUE(user_id, host_id)`
+
+- **audit_sessions**
+  - `id` (PK), `user_id` (FK), `host_id` (FK), `client_ip`, `start_time`, `end_time`, `status` (active/closed/error), `session_key`
+
+- **audit_commands**
+  - `id` (PK), `session_id` (FK), `command`, `timestamp`, `blocked` (boolean)
+
+- **audit_transfers**
+  - `id` (PK), `session_id` (FK), `direction` (upload/download), `path`, `size`, `timestamp`
+
+- **audit_forwards**
+  - `id` (PK), `session_id` (FK), `fwd_type` (direct-tcpip/forwarded-tcpip), `src_addr`, `src_port`, `dst_addr`, `dst_port`, `timestamp`
+
+## 六、核心实现要点
+
+### 1. SSH Server 认证与代理
+- 使用 `ssh2.Server` 监听 2222 端口
+- `authentication` 回调：验证用户密码，查角色，查授权目标
+- 支持 `shell`（交互式终端）、`exec`（单命令执行）、`sftp`、`direct-tcpip`（端口转发）
+
+### 2. 数据桥接与审计
+- 双向 `pipe` 桥接 Server 侧与 Client 侧 channel
+- 在 Server 侧 stream 上做**逐行命令解析**（按 `\r`/`\n` 切分输入，提取完整命令写入审计）
+- SFTP 通过 `on('OPEN')` / `on('WRITE')` 事件解析文件名与读写方向，记录上传/下载行为
+- 端口转发通过 `direct-tcpip` 事件记录源/目标地址与端口
+
+### 3. 命令过滤
+- 每条命令在转发前经 `policy` 模块匹配黑名单正则（如 `rm -rf.*`、`shutdown`、`mkfs`）
+- 命中黑名单：向客户端回写拒绝提示，记录 `blocked=1`，**不转发**到目标主机
+
+### 4. 凭据加密
+- 主密钥仅存环境变量 `BASTION_MASTER_KEY`
+- 凭据以 **AES-256-GCM** 加密后入库，密钥不落盘
+
+### 5. 会话管理
+- 全局并发上限（默认 50）、单用户并发上限
+- 空闲超时（默认 30 分钟自动断开）
+- 会话断开时写 `audit_sessions.end_time/status`
+
+## 七、项目目录结构
+
+```
+bastion/
+├── bin/
+│   └── server.js            # 启动入口
+├── src/
+│   ├── config/
+│   │   └── index.js         # 配置加载（config.json + .env）
+│   ├── db/
+│   │   └── index.js         # sqlite 连接与建表
+│   ├── auth/
+│   │   └── index.js         # 认证与用户管理
+│   ├── hosts/
+│   │   └── index.js         # 目标主机与授权
+│   ├── session/
+│   │   └── index.js         # 会话代理核心（桥接逻辑）
+│   ├── policy/
+│   │   └── index.js         # 命令过滤
+│   ├── audit/
+│   │   └── index.js         # 审计写入与查询
+│   └── cli/
+│       └── index.js         # CLI 管理命令
+├── config.json              # 端口/规则/超时等配置
+├── .env.example             # 主密钥等环境变量模板
+├── logs/                    # winston 日志目录
+├── package.json
+└── README.md
+```
+
+## 八、实施步骤
+
+| 步骤 | 内容 | 预估工作量 |
+|------|------|-----------|
+| 1 | 初始化工程：`npm init`，安装依赖，建立目录结构与配置模板 | 0.5h |
+| 2 | 存储层：实现 db 模块，编写全部建表 SQL | 0.5h |
+| 3 | 用户与认证：用户 CRUD、bcrypt 校验、角色校验、登录限流 | 1h |
+| 4 | 主机与授权：主机 CRUD、凭据加解密、用户-主机授权 | 1h |
+| 5 | SSH Server 接入：实现 server 监听与密码认证 | 1h |
+| 6 | 会话代理：shell/exec 桥接、并发与超时控制 | 2h |
+| 7 | 审计：命令解析落库、SFTP 与端口转发审计、会话汇总 | 2h |
+| 8 | 命令过滤：黑名单正则拦截与记录 | 1h |
+| 9 | CLI 管理：用户/主机/授权/审计查询命令 | 1h |
+| 10 | 联调与部署：本地 ssh 实测、pm2/systemd 守护配置 | 1h |
+
+## 九、部署与运维
+
+- **启动**：`node bin/server.js`，默认监听 2222 端口
+- **守护**：
+  - pm2: `pm2 start bin/server.js --name bastion`
+  - systemd: 提供 `bastion.service` unit 文件
+- **审计查询**：CLI `bastion audit --user xxx --since 2025-01-01`
+- **日志**：winston 输出到 `logs/`，按天轮转
+
+## 十、安全基线
+
+- 主密钥独立管理，通过 `BASTION_MASTER_KEY` 环境变量传入
+- 失败登录锁定机制，防止暴力破解
+- 空闲会话自动断开
+- 并发上限控制
+- 审计日志 append-only，后续可增强为哈希链防篡改
+
+## 十一、后续扩展（可选）
+
+- 对接 LDAP / AD / SSO 企业认证
+- TOTP 双因素认证
+- 完整会话逐字符录制与回放
+- Web 管理面板（Express + xterm.js）
+- 集群化与高可用部署

package/README.md

@@ -0,0 +1,213 @@
+# 轻量级堡垒机 - 基于 Node.js
+
+> 一个基于 Node.js 实现的原生 SSH 堡垒机，支持命令审计、SFTP 文件传输审计、端口转发审计和命令黑白名单过滤。
+
+## 功能特性
+
+- **SSH 原生接入**：用户通过标准 SSH 客户端连接堡垒机
+- **本地认证**：用户名/密码认证，支持失败锁定机制
+- **角色权限**：admin / auditor / user 三级角色
+- **目标主机托管**：加密存储目标主机凭据
+- **用户授权**：细粒度用户-主机授权管理
+- **命令审计**：记录所有执行的命令
+- **SFTP 审计**：记录文件上传/下载操作
+- **端口转发审计**：记录所有 SSH 端口转发请求
+- **命令黑白名单**：可配置的命令过滤规则
+- **会话管理**：并发上限、空闲超时、最大会话时长
+
+## 快速开始
+
+### 1. 安装依赖
+
+```bash
+npm install
+```
+
+### 2. 配置环境
+
+```bash
+cp .env.example .env
+```
+
+编辑 `.env` 文件：
+
+```env
+# 生成主密钥
+# BASTION_MASTER_KEY=$(node -e "console.log(require('crypto').randomBytes(32).toString('hex'))")
+BASTION_MASTER_KEY=your-32-byte-hex-key-here
+
+# 监听端口（默认 2222）
+BASTION_PORT=2222
+
+# 日志级别
+BASTION_LOG_LEVEL=info
+```
+
+### 3. 启动服务
+
+```bash
+npm start
+# 或
+node bin/server.js
+```
+
+### 4. 使用 CLI 管理
+
+```bash
+# 添加目标主机
+node bin/cli.js add-host "生产服务器" 192.168.1.100 22 deploy your_password
+
+# 添加用户
+node bin/cli.js add-user alice your_password
+
+# 授权用户访问主机
+node bin/cli.js grant alice "生产服务器"
+
+# 列出目标主机
+node bin/cli.js list-hosts
+
+# 查看审计会话
+node bin/cli.js list-sessions
+
+# 查看会话命令日志
+node bin/cli.js show-commands 1
+```
+
+### 5. 连接堡垒机
+
+```bash
+ssh admin@localhost -p 2222
+# 默认管理员账号：admin / admin123（首次启动自动创建）
+```
+
+## 项目结构
+
+```
+bastion/
+├── bin/
+│   ├── server.js          # SSH 服务器入口
+│   └── cli.js             # CLI 管理工具
+├── src/
+│   ├── config/            # 配置加载
+│   ├── db/                # 数据库 (SQLite)
+│   ├── auth/              # 认证与授权
+│   ├── hosts/             # 目标主机管理
+│   ├── session/           # SSH 会话代理
+│   ├── policy/            # 命令过滤
+│   ├── audit/             # 审计日志
+│   └── cli/               # CLI 命令实现
+├── data/                  # 数据库文件
+├── logs/                  # 日志文件
+├── config.json            # 配置文件
+├── .env.example           # 环境变量模板
+├── package.json
+└── README.md
+```
+
+## 配置说明
+
+### config.json
+
+```json
+{
+  "server": {
+    "port": 2222,
+    "maxSessions": 50,
+    "sessionTimeoutSec": 1800,
+    "idleTimeoutSec": 900
+  },
+  "auth": {
+    "maxFailedAttempts": 5,
+    "lockDurationSec": 900
+  },
+  "policy": {
+    "blockedCommands": [
+      "^rm\\s+(-[a-z]*\\s+)*-[rfR].*",
+      "^shutdown\\b",
+      "^reboot\\b",
+      "^mkfs\\b"
+    ]
+  }
+}
+```
+
+## 部署
+
+### 使用 pm2
+
+```bash
+npm install -g pm2
+pm2 start bin/server.js --name bastion
+pm2 save
+pm2 startup
+```
+
+### 使用 systemd
+
+创建 `/etc/systemd/system/bastion.service`：
+
+```ini
+[Unit]
+Description=Bastion Host Service
+After=network.target
+
+[Service]
+Type=simple
+User=bastion
+WorkingDirectory=/opt/bastion
+ExecStart=/usr/bin/node bin/server.js
+Restart=on-failure
+RestartSec=5
+EnvironmentFile=/opt/bastion/.env
+
+[Install]
+WantedBy=multi-user.target
+```
+
+```bash
+sudo systemctl daemon-reload
+sudo systemctl enable bastion
+sudo systemctl start bastion
+```
+
+## 默认账号
+
+- 用户名：`admin`
+- 密码：`admin123`
+
+**⚠️ 首次启动后请立即修改默认密码！**
+
+```bash
+node bin/cli.js update-password admin new_password
+```
+
+## 技术栈
+
+- Node.js >= 18
+- ssh2 - SSH Server + Client
+- better-sqlite3 - 数据库
+- bcryptjs - 密码哈希
+- winston - 日志
+- commander - CLI 工具
+- dotenv - 环境变量
+
+## 安全建议
+
+1. **主密钥管理**：通过环境变量传入，不要写入代码
+2. **定期轮换**：定期更换 `BASTION_MASTER_KEY`
+3. **日志轮转**：配置日志文件轮转策略
+4. **审计完整性**：后续可扩展为哈希链防篡改
+5. **网络隔离**：堡垒机应部署在受信任的网络中
+
+## 后续扩展
+
+- [ ] 对接 LDAP / AD / SSO
+- [ ] TOTP 双因素认证
+- [ ] 完整会话逐字符录制与回放
+- [ ] Web 管理面板
+- [ ] 集群化与高可用
+- [ ] API 接口（REST/GraphQL）
+
+## License
+
+MIT

package/bin/cli.js

@@ -0,0 +1,4 @@
+#!/usr/bin/env node
+
+require("dotenv").config();
+require("../src/cli");

package/bin/server.js

@@ -0,0 +1,126 @@
+#!/usr/bin/env node
+require('dotenv').config();
+const { Server } = require('ssh2');
+const fs = require('fs');
+const path = require('path');
+const config = require('../src/config');
+const auth = require('../src/auth');
+const hosts = require('../src/hosts');
+const policy = require('../src/policy');
+const audit = require('../src/audit');
+const sessionMod = require('../src/session');
+const logger = require('../src/logger');
+const svc = 'server';
+
+logger.info(`${svc}: starting on port ${config.server.port}`);
+auth.initDefaults();
+
+const hostKey = fs.readFileSync(path.join(__dirname, '..', 'host.key'), 'utf8');
+const server = new Server({ hostKeys: [hostKey] });
+
+server.on('connection', (client, info) => {
+  const connInfo = info;
+  logger.info(`${svc}: new conn from ${info.ip}`);
+  let user = null;
+  let host = null;
+
+  client.on('authentication', (ctx) => {
+    if (ctx.method !== 'password') return ctx.reject(['password']);
+    if (sessionMod.getActiveSessions() >= sessionMod.getMaxSessions()) return ctx.reject();
+    const u = auth.authenticate(ctx.username, ctx.password);
+    if (!u) return ctx.reject(['password']);
+    const hs = auth.getUserHosts(u.id);
+    if (hs.length === 0) return ctx.reject(['password']);
+    user = u;
+    host = hosts.getHost(hs[0].id);
+    ctx.accept();
+    logger.info(`${svc}: auth ok ${u.username}`);
+  });
+
+  client.on('ready', () => logger.info(`${svc}: ${user ? user.username : ''} ready`));
+
+  client.on('session', (accept) => {
+    const ch = accept();
+    ch.on('pty', (a) => a && a());
+    ch.on('window-change', (a) => a && a());
+
+    ch.on('shell', (acceptShell) => {
+      if (!user || !host) { ch.close(); return; }
+      const stream = acceptShell();
+      const as = audit.createSession(user.id, host.id, connInfo.ip);
+      let last = Date.now();
+      const t = setInterval(() => {
+        if (Date.now() - last > config.server.idleTimeoutSec * 1000) {
+          stream.write('\r\n*** idle timeout ***\r\n');
+          stream.end();
+          client.end();
+          clearInterval(t);
+        }
+      }, 30000);
+      sessionMod.createClientConnection(host, user.id, as.id, null).then((c) => {
+        c.shell({ term: 'vt100' }, (err, rs) => {
+          if (err) { stream.end(); return; }
+          rs.on('data', (d) => { last = Date.now(); stream.write(d); });
+          stream.on('data', (d) => { last = Date.now(); rs.write(d); });
+          const close = () => { clearInterval(t); audit.endSession(as.id, 'closed'); client.end(); };
+          rs.on('close', close);
+          stream.on('close', close);
+        });
+      }).catch((e) => {
+        logger.error(`${svc}: upstream connect failed: ${e.message}`);
+        stream.write('\r\n*** upstream connect failed ***\r\n');
+        stream.end();
+      });
+    });
+
+    ch.on('exec', (acceptExec, rejectExec, info) => {
+      if (!user || !host) { rejectExec && rejectExec(); return; }
+      const as = audit.createSession(user.id, host.id, connInfo.ip);
+      const bp = policy.checkCommand(info.command);
+      if (bp.blocked) {
+        const s = acceptExec();
+        audit.recordCommand(as.id, info.command, true);
+        s.write('*** command blocked by policy ***\n');
+        s.exit(1);
+        s.end();
+        audit.endSession(as.id, 'closed');
+        return;
+      }
+      audit.recordCommand(as.id, info.command, false);
+      sessionMod.createClientConnection(host, user.id, as.id, null).then((c) => {
+        c.exec(info.command, (err, rs) => {
+          if (err) { rejectExec && rejectExec(); return; }
+          const s = acceptExec();
+          rs.on('data', (d) => s.write(d));
+          rs.stderr.on('data', (d) => s.stderr && s.stderr.write(d));
+          rs.on('close', () => { s.exit(0); s.end(); c.end(); audit.endSession(as.id, 'closed'); });
+        });
+      }).catch((e) => { rejectExec && rejectExec(); });
+    });
+
+    ch.on('sftp', (acceptSftp) => {
+      if (!user || !host) { ch.close(); return; }
+      const as = audit.createSession(user.id, host.id, connInfo.ip);
+      const sc = acceptSftp();
+      sc.on('OPEN', (reqid, filename, flags) => {
+        const dir = (flags & 3) ? 'upload' : 'download';
+        audit.recordTransfer(as.id, dir, filename, 0);
+      });
+      sessionMod.createClientConnection(host, user.id, as.id, null).then((c) => {
+        c.sftp((err) => { if (err) { sc.close(); } });
+      }).catch(() => sc.close());
+    });
+
+    ch.on('direct-tcpip', (acceptDst, rejectDst, info) => {
+      if (!user || !host) { rejectDst && rejectDst(new Error('unavailable')); return; }
+      const as = audit.createSession(user.id, host.id, connInfo.ip);
+      audit.recordForward(as.id, 'direct-tcpip', info.srcIP, info.srcPort, info.destIP, info.destPort);
+      rejectDst ? rejectDst(new Error('port forwarding disabled')) : acceptDst().end();
+      audit.endSession(as.id, 'closed');
+    });
+  });
+
+  client.on('close', () => logger.info(`${svc}: conn closed`));
+});
+
+server.listen(config.server.port, () => logger.info(`${svc}: ready on port ${config.server.port}`));

package/config.json

@@ -0,0 +1,30 @@
+{
+  "server": {
+    "port": 2222,
+    "maxSessions": 50,
+    "sessionTimeoutSec": 1800,
+    "idleTimeoutSec": 900
+  },
+  "auth": {
+    "maxFailedAttempts": 5,
+    "lockDurationSec": 900
+  },
+  "policy": {
+    "blockedCommands": [
+      "^rm\\s+(-[a-z]*\\s+)*-[rfR].*",
+      "^shutdown\\b",
+      "^halt\\b",
+      "^reboot\\b",
+      "^poweroff\\b",
+      "^mkfs\\b",
+      "^dd\\s+if=",
+      "^chmod\\s+777\\b",
+      "^chmod\\s+\\+s\\b",
+      "^chown\\s+root\\b",
+      "^iptables\\s+-F\\b",
+      "^sysctl\\s+.*=\\s*0\\b",
+      "^wget\\s+.*\\|.*sh",
+      "^curl\\s+.*\\|.*sh"
+    ]
+  }
+}

package/package.json

@@ -0,0 +1,39 @@
+{
+  "name": "libastion",
+  "version": "0.0.1",
+  "description": "A lightweight bastion host built with Node.js",
+  "main": "bin/server.js",
+  "bin": {
+    "bastion": "bin/cli.js"
+  },
+  "scripts": {
+    "start": "node bin/server.js",
+    "dev": "node --watch bin/server.js",
+    "cli": "node bin/cli.js"
+  },
+  "keywords": [
+    "bastion",
+    "ssh",
+    "audit",
+    "jump-server"
+  ],
+  "license": "MIT",
+  "dependencies": {
+    "ssh2": "^1.15.0",
+    "bcryptjs": "^2.4.3",
+    "winston": "^3.14.0",
+    "dotenv": "^16.4.0",
+    "commander": "^12.1.0"
+  },
+  "files": [
+    "bin",
+    "src",
+    "config.json",
+    ".env.example",
+    "README.md",
+    "PLAN.md"
+  ],
+  "engines": {
+    "node": ">=18"
+  }
+}