Ein Bastion Host (auch Jump Host oder Sprungserver) ist ein besonders gehärteter Server, über den Administratoren kontrolliert von außen auf Systeme im internen Netz zugreifen. Er ist bewusst der einzige Rechner, der dafür von außen erreichbar ist — alles andere bleibt hinter der Firewall verborgen.
Aufgaben
Der Bastion Host bündelt den Fernzugriff: Statt viele einzelne Dienste im Internet zu exponieren, stellt nur er den Einstiegspunkt bereit. Übliche Aufgabe ist der SSH-Zugriff auf interne Server, oft per SSH-Key mit SSH-Agent-Forwarding oder als Sprungziel in der SSH-Konfiguration. Er kann aber auch RDP-Verbindungen oder administrative Weboberflächen vermitteln.
Härtung
Weil ein Bastion Host exponiert ist, wird er besonders abgesichert: minimale installierte Dienste, aktivierte Updates, Schlüssel-Anmeldung statt Passwörtern, restriktive Firewall-Regeln, Login-Überwachung und Protokollierung. Zugriffsrechte sind minimal gehalten (Least Privilege), und der Zugang lässt sich protokollieren, um nachvollziehen zu können, wer wann auf welches interne System zugegriffen hat.
Abgrenzung
Der Bastion Host ist ein einzelner kontrollierter Einstiegspunkt für die Administration. Eine DMZ dagegen ist ein ganzes Netzsegment für öffentlich erreichbare Dienste. Ein Bastion Host kann in einer DMZ stehen, ist aber nicht darauf beschränkt — manche Varianten verzichten ganz auf eine eigene DMZ und exponieren nur den gehärteten Bastion Host. Systeme mit höchsten Sicherheitsanforderungen trennt man dagegen per Air Gap vollständig vom Netz.