🔍 核心问题：为什么需要扫描SSH跳板后的内网机器？
在企业网络安全架构中，SSH跳板机（Bastion Host）是常见防护措施，它作为访问内网资源的唯一入口，极大提升了安全性。但这也给漏洞扫描带来了挑战——Nessus等扫描工具无法直接访问被保护的内网机器。
🔒 现实场景：您的DMZ区有一台Nessus扫描器，但需要扫描的内网数据库服务器、应用服务器都隐藏在SSH跳板机后面，无法直接连接。这时候，如何通过SSH跳板安全有效地扫描这些”隐形”资产？
🛠️ 解决方案：Nessus扫描SSH跳板后机器的4种方法
方法一：SSH端口转发（本地端口映射）
这是最常用且相对简单的方法，通过建立本地端口与目标内网机器端口的映射关系实现扫描。
操作步骤：
1. 在Nessus服务器上建立到跳板机的SSH连接，并设置本地端口转发
2. 命令示例：ssh -L 本地端口:目标内网机器IP:目标端口 跳板机用户名@跳板机IP
3. 在Nessus中配置扫描目标为127.0.0.1:本地端口
优势：配置相对简单，不需要特殊Nessus插件
劣势：需要保持SSH连接不中断，不适合长期自动化扫描
方法二：Nessus的SSH隧道功能（原生支持）
Nessus Pro和Nessus Manager版本原生支持通过SSH隧道扫描，这是官方推荐的方式。
配置流程：
1. 登录Nessus Web界面
2. 进入”Settings” → “Advanced Settings”
3. 找到”SSH Tunneling”相关设置
4. 配置跳板机信息（IP、端口、认证方式）
5. 设置目标内网机器信息
6. 创建扫描策略时选择”通过SSH隧道扫描”
关键设置项：
– 跳板机SSH端口（通常为22）
– 认证方式（密钥或密码）
– 目标机器网络范围
– 隧道保持时间
优势：官方支持，稳定性高，可长期运行
劣势：需要Nessus专业版许可
方法三：代理跳转配置
通过配置HTTP/SOCKS代理，让Nessus扫描流量通过跳板机转发。
实施要点：
1. 在跳板机上设置代理服务（如Dante、3Proxy等）
2. 配置Nessus使用该代理服务器
3. 设置扫描策略时指定目标为内网IP
技术细节：
– 代理服务器需要能够访问目标内网
– 需要正确配置代理认证
– 网络延迟可能影响扫描速度
方法四：API与自动化脚本结合
对于高级用户，可以通过Nessus API结合自定义脚本实现更灵活的扫描方案。
技术路线：
1. 编写脚本建立SSH连接并创建端口转发
2. 通过Nessus API配置扫描任务
3. 动态设置扫描目标为转发后的本地端口
4. 实现扫描结果的自动收集与分析
适用场景：大规模、自动化扫描需求
技术门槛：较高，需要编程能力
⚠️ 常见问题与解决方案
Q1: 扫描结果不完整或出现超时？
可能原因与对策：
– 网络延迟：SSH跳转增加了网络跳数，⏱️ 建议增加扫描超时设置
– 防火墙限制：跳板机或目标机器可能有出站/入站限制，🔥 检查防火墙规则
– 认证失败：SSH密钥或密码错误，🔐 重新验证认证信息
– 端口未开放：目标服务端口未在跳板机上正确映射，📡 使用telnet/nc测试端口连通性
Q2: 权限不足导致扫描失败？
权限矩阵：
| 扫描类型 | 所需最低权限 | 推荐权限级别 |
|———|————-|————-|
| 基础扫描 | SSH登录权限 | 只读权限 |
| 漏洞扫描 | 目标机器网络访问权限 | 网络管理员权限 |
| 服务探测 | 目标端口开放权限 | 服务管理权限 |
| 配置审计 | 系统配置读取权限 | root/管理员权限 |
最佳实践：使用最小权限原则，但确保有足够权限完成所需扫描类型
Q3: 如何确保扫描过程的安全合规？
安全建议清单：
✅ 日志记录：记录所有扫描活动，包括时间、目标、扫描策略
✅ 扫描时段：在业务低峰期执行扫描，避免影响生产环境
✅ 带宽限制：控制扫描流量，避免占用过多网络资源
✅ 敏感信息保护：妥善保管SSH密钥和认证凭据
✅ 合规审批：确保扫描行为获得相关系统负责人授权
🎯 最佳实践与个人见解
经过多次实际操作和测试，我认为方法二（Nessus原生SSH隧道功能）是最可靠的企业级解决方案，虽然需要专业版许可，但提供了最稳定的性能和最完善的功能支持。
对于资源有限的环境，方法一（SSH端口转发）是不错的临时解决方案，配合screen或tmux工具可以保持连接稳定性。
🔧 技术建议：
– 测试阶段使用小范围目标验证配置正确性
– 生产环境扫描前，先在非业务时段进行小规模扫描
– 建立扫描基线，对比历史数据识别真正的新风险
– 结合漏洞管理流程，确保发现的问题得到及时修复
📊 性能数据参考：通过SSH跳板扫描通常比直接扫描慢30%-，建议适当延长扫描超时设置，并根据网络状况调整并发扫描数量。