导读：很多运维同学刚上 JumpServer 时会困惑：堡垒机能连 Linux、Windows 服务器，但内网后台、管理系统这类网页怎么通过堡垒机访问？JumpServer 社区版没有内置 Web 代理，网页访问有三种主流方案，分别适配合规审计、临时调试、老旧 IE 系统等不同场景，本文整理实操步骤、优缺点以及常见踩坑点。
前置前提：访问链路中对应的节点网络必须可达目标内网网站，不是 JumpServer 主机能通就行，不同方案对应的连通节点不一样，这点是绝大多数人踩坑的根源。
方案一：Web 资产（Website 资产）+ 应用发布机｜正式环境首选（支持完整审计、账号代填）
适用场景：生产后台、等保合规、需要全程录像审计、账号自动填充，v3/v4 社区版、企业版通用。 原理：依靠应用发布机（RemoteApp Windows / VirtualApp Panda Linux 容器）运行 Chrome/Firefox 浏览器，浏览器在发布机内部打开内网网站，画面推送给前端用户，全程操作录像审计、支持账号密码代填。
操作步骤
- 部署应用发布机，二选一
- RemoteApp：Windows Server 服务器，预装 Chrome 浏览器，在【系统设置 – 远程应用 – 应用提供者】添加并初始化部署；优势：Windows 原生浏览器兼容性强，适合 IE 内核页面；缺点：需要 Windows 授权、RDS CAL，资源开销偏大。
- VirtualApp（Panda）：Linux 容器虚拟应用，无需 Windows，信创环境友好，轻量化；优势：不用维护 Windows 主机，现在很多国产化环境优先选这个。
重点：是发布机能够访问内网网站，不是 JumpServer 核心主机。
- 控制台 → 资产管理 → 资产列表，切换到【Web】标签，创建 Website 资产
- 主机地址填写完整 URL，示例：
http://192.168.1.100:8080，非 80/443 端口必须带上端口号 - 协议选择 HTTP/HTTPS
- 可配置登录账号，配合页面选择器实现账号密码自动代填（F12 开发者工具获取页面元素选择器）
- 给目标用户授权该 Web 资产
- 用户登录 JumpServer 工作台，在资产列表找到这个 Web 资产，点击连接，自动拉起发布机内浏览器打开内网网站
版本补充：JumpServer V5 企业版客户端新增内置浏览器模式，可不依赖发布机直接访问 Web 资产，社区版暂不支持该特性。
方案二：SSH 资产端口转发｜开发临时调试，快速隧道（无网页审计）
适用场景：开发临时调试内网 Web 服务、快速验证接口、不想提前纳管 Web 资产，不适合合规等保场景。 原理：将内网服务器上的 Web 端口，通过 JumpServer 隧道转发出来，本质是 SSH 端口转发。仅审计 SSH 终端命令，网页点击、表单操作没有录像记录。
操作步骤
- 先把承载网站的内网 Linux 主机添加为 SSH 资产，授权给用户
- 用户连接资产时，在连接弹窗勾选【端口转发】
- 配置参数：本地端口自定义（如 9000），目标地址填写内网网站监听地址，一般为
127.0.0.1:8080 - 隧道建立完成后，本地浏览器访问
http://jumpserver地址:9000即可打开内网网站
缺点提醒：只记录 SSH 命令，网页操作行为无法审计，正式运维后台禁止使用该方式。
方案三：RDP 远程桌面访问 Windows 主机｜老旧 IE 兼容系统专用
适用场景：只能依靠 IE 浏览器、ActiveX 控件、老.NET 后台这类强 Windows 浏览器依赖的系统。 原理：将内网 Windows 服务器添加 RDP 资产，用户远程桌面登录这台 Windows，在系统内打开浏览器访问内网网站，RDP 会话全程录像审计。 优点：兼容性拉满，完美适配各种古老内网管理系统；缺点：需要一台 Windows 跳板主机，操作链路更长。
方案选型速查表
表格
| 方案 | 审计能力 | 是否需要额外主机 | 适合场景 |
|---|---|---|---|
| Web 资产 + 发布机 | ✅ 完整页面录像、代填审计 | 需要发布机（Windows/ Panda 容器） | 生产后台、等保、日常运维 |
| SSH 端口转发 | ❌ 无网页操作审计 | 不需要额外主机 | 开发临时调试、快速测试 |
| RDP 远程桌面 | ✅ RDP 全程录像 | 需要 Windows 主机 | IE 老系统、ActiveX 内网后台 |
高频踩坑汇总
- 连通性误区：Web 资产模式是发布机连通内网网站，不是 JumpServer 主节点，很多人只放通堡垒机服务器网络，忽略发布机路由策略，导致打不开页面。
- HTTPS 自签证书拦截：内网 HTTPS 后台自签证书，Chrome 会拦截访问，提前在发布机浏览器导入内网根证书。
- 端口遗漏：内网 Web 如果是 8080、9090、3000 等非标端口，URL 必须写全，只填 IP 默认走 80，直接访问失败。
- 社区版误区：JumpServer 社区版没有原生 Web 代理，不要到处找 “直接代理网页” 的功能，社区版 Web 资产必须依赖 RemoteApp 或者 VirtualApp。
写在最后
如果是企业正式运维、有等保、权限审计要求，优先标准化接入 Web 资产 + VirtualApp/Panda，尽量避开 Windows RemoteApp 降低授权成本；开发临时调试可以短期用端口转发，但做好管控，禁止把核心后台走隧道；遗留老 IE 系统，只能 RDP 方案兜底。
如果你需要，我后续可以单独整理一份 VirtualApp（Panda）一键部署脚本，开箱即用，快速搭建 Linux 应用发布节点。
