用法 08 · 管住厂商远维（只读段）
厂商远维
每家厂商：合同还在不在、从它的入口能碰到哪些设备、有没有绕过堡垒机的路、实际会话走没走堡垒机、改过什么。限时放行和到点关闭属于要动网络的事，在「变更验算」里做。
安全监控系统厂商（样例）
厂商驻矿工程师（样例，号码略）
- 合同到期
- 2027-06-30还有 280 天
- 账号
- kj-ops01（实名） · 经堡垒机kj-admin（多人共用） · 直连
- 90 天会话
- 2 组1 组没走堡垒机
从入口能碰到
| 设备 | 能到的端口 | 不经堡垒机也能到 |
|---|
| 工程师站 | TCP 3389 | TCP 3389 |
| 安全监控主机 | TCP 3389 | 否 |
它改过什么
- 2024-04-08 21:40 VPN 网关上出现「安全监控厂商直连工程师站」规则安全监控厂商（kj-admin） · 无变更单 · 没走堡垒机vpn-gw 规则：（无） → vendor-kj → engineer 3389 allow
- 2026-09-10 14:05 安全监控主机采集程序升级到 3.2.1安全监控厂商（kj-ops01） · 变更单 BG-2026-051 · 经堡垒机gas-host 采集程序：3.1.7 → 3.2.1
- 2026-09-18 23:12 工程师站上修改分站通讯参数安全监控厂商（kj-admin） · 无变更单 · 没走堡垒机engineer 分站通讯配置：重试 3 次 → 重试 5 次
问题
高安全监控系统厂商（样例） 可以绕过堡垒机直接进生产网不经堡垒机也能到：工程师站（TCP 3389）。这些操作没有录像和审计。
高安全监控系统厂商（样例） 实际在用绕过堡垒机的通道90 天内 6 次直连会话，最近一次 2026-09-18 23:58，目标 工程师站。
中安全监控系统厂商（样例） 有多人共用的账号kj-admin（多人共用）：出了事查不到是谁操作的。
高安全监控系统厂商（样例） 有 2 次改动没走堡垒机或没有变更单2024-04-08 VPN 网关上出现「安全监控厂商直连工程师站」规则；2026-09-18 工程师站上修改分站通讯参数
- 合同到期
- 2026-12-31还有 99 天
- 账号
- loc-ops（实名） · 经堡垒机
- 90 天会话
- 1 组
从入口能碰到
| 设备 | 能到的端口 | 不经堡垒机也能到 |
|---|
| 人员定位服务器 | TCP 3389 | 否 |
- 合同到期
- 2026-06-30已过 85 天
- 账号
- video-admin（多人共用） · 直连
- 90 天会话
- 无
从入口能碰到
| 设备 | 能到的端口 | 不经堡垒机也能到 |
|---|
| 视频 NVR | TCP 8000 | TCP 8000 |
问题
高视频系统厂商（样例） 合同已于 2026-06-30 到期，远维通道还开着仍可到达：视频 NVR（TCP 8000）。
高视频系统厂商（样例） 可以绕过堡垒机直接进生产网不经堡垒机也能到：视频 NVR（TCP 8000）。这些操作没有录像和审计。
中视频系统厂商（样例） 有多人共用的账号video-admin（多人共用）：出了事查不到是谁操作的。
高给 视频系统厂商（样例） 开的「视频厂商到 NVR」90 天没用过可以直接关闭；需要时再走限时放行。
绕过堡垒机的路
红线：厂商从 VPN 网关经历史遗留直连线进生产核心，不经过堡垒机，没有录像