| 场景 | 两端不可直达或安全策略禁止裸暴露 |
|---|---|
| 首选 | VPN/专线直连，运维流量走内网 |
| 次选 | 跳到堡垒机：SSH 隧道转发 3389/5985 |
| 最后 | RDP 网关或 WinRM over HTTPS，只开 443 |
常用示例
常用示例
# 本机 13389 → web01:3389（经跳板机）
ssh -N -L 13389:web01:3389 ops@jump01
# 本机 5985 → web01:5985，让 WinRM 走隧道
ssh -L 5985:web01:5985 ops@jump01
$c = Get-Credential
New-PSSession -ConnectionUri http://localhost:5985/wsman -Credential $c -Authentication Negotiate把 WinRM/RDP 直接暴露公网等于给爆破脚本发邀请：至少限制源 IP、启用 NLA/MFA，并保留登录审计。