Next Terminal 是一款面向运维团队的轻量级开源堡垒机，基于 Go 与 React 开发，最大的特点是所有远程连接都能在浏览器中完成。无论是 SSH、RDP 还是 VNC，管理员和普通用户都不需要安装专用客户端，登录 Web 界面即可获得接近原生客户端的操作体验。更重要的是，系统会自动记录每一次会话内容，并生成可回放的录像文件，为后续审计和事故排查提供完整依据。接下来从部署到使用，逐步说明如何搭建这样一套带 HTML5 运维审计和录像回放能力的堡垒机。
Next Terminal堡垒机的功能定位
Next Terminal 的核心价值在于把所有远程访问入口收敛到一个统一平台。传统运维场景中，开发或运维人员直接使用 SSH 客户端连接服务器，账号密码分散在个人电脑上，既难以回收权限，也无法确认谁在什么时间执行过哪些命令。接入堡垒机后，用户必须先通过身份认证，再根据授权策略访问指定的资产，所有流量经过堡垒机中转，原始服务器密码对普通用户不可见。
Next Terminal 的另一个优势是对 HTML5 协议的完整支持。它内置了 Apache Guacamole 网关组件，将 RDP、VNC、SSH 等协议转换为浏览器可识别的 WebSocket 数据流。这意味着在 Windows、macOS、Linux 甚至手机平板上，只要打开浏览器就能进行运维操作，不需要安装 Java 插件或本地客户端，大幅降低了终端环境适配成本。
部署前的环境准备
由于 Next Terminal 官方推荐使用 Docker 部署，服务器需要提前安装 Docker Engine 20.10 以上版本，并建议同时安装 Docker Compose v2。操作系统可以选择 CentOS 7.9、Ubuntu 20.04、Debian 11 等常见 Linux 发行版，也可以在 Windows Server 或 Windows 10/11 上使用 Docker Desktop 进行体验。生产环境建议配置至少 2 核 CPU、4GB 内存和 40GB 可用磁盘空间，其中磁盘主要用于保存数据库和录像文件。
需要提前规划数据持久化目录。Linux 下可以使用 /data/next-terminal，Windows 下可以使用 C:next-terminaldata。该目录会存放 SQLite 数据库、录制的会话文件以及系统日志，后续升级或迁移时只需要保留这个目录即可恢复全部数据。另外要确保防火墙或安全组放行 8088 端口，便于用户通过浏览器访问 Web 控制台。
如果希望通过 HTTPS 对外提供服务，可以再准备一台 Nginx 或 Caddy 作为反向代理，并申请域名和证书。Next Terminal 本身默认只在 8088 端口提供 HTTP 服务，生产环境不建议直接暴露在公网。
使用Docker Compose部署Next Terminal
先创建数据目录并进入该目录，然后创建 docker-compose.yml 文件。配置文件主要包含服务名、镜像地址、端口映射、数据卷和环境变量，完整内容可参考如下：
version: '3.3'
services:
next-terminal:
image: nextterminal/next-terminal:latest
container_name: next-terminal
restart: always
ports:
- "8088:8088"
volumes:
- /data/next-terminal:/app/data
environment:
- DB=sqlite
- SQLITE_FILE=/app/data/next-terminal.db
- SERVER_PORT=8088
保存文件后执行 docker compose up -d 命令，Compose 会自动拉取镜像并启动容器。使用 docker ps 可以看到名为 next-terminal 的容器处于运行状态。如果服务器位于国内，拉取镜像较慢，可以提前配置 Docker Hub 镜像加速器，或者从其他可信镜像仓库获取同版本镜像。启动完成后，浏览器访问 http://服务器IP:8088 即可打开登录页面。
Windows 环境使用 Docker Desktop 时，上面的卷映射需要改成 C:next-terminaldata:/app/data，注意反斜杠方向由 Windows 路径规则决定，但冒号前后不能有空格。启动命令同样为 docker compose up -d。
初始化配置与资产接入
首次访问 Web 界面时，使用默认账号 admin 和默认密码 admin 登录，系统会强制要求修改密码。修改完成后进入管理后台，建议先在系统管理中完成基本设置，例如站点名称、访问域名和日志保留时间。Next Terminal 默认使用 SQLite 数据库，适合中小规模使用；如果资产数量超过 500 台或并发会话较多，可以在环境变量中切换为 MySQL，详细参数可参考官方文档。
接下来创建资产。进入资产管理菜单，新增资产时填写设备 IP 地址、协议类型、端口以及登录账号。协议类型支持 SSH、RDP、VNC、Telnet 四种，其中 SSH 可以同时配置密码或私钥认证，RDP 可以设置分辨率、颜色深度和是否允许磁盘映射。资产创建后不要直接暴露给所有用户，需要进入授权策略页面，把资产与用户、账号关联起来。
授权策略可以设置有效期、允许访问的账号以及是否允许文件传输。比如只允许张三在 2024 年 12 月 31 日前通过只读账号访问某一批测试服务器，这样即使张三离开项目，授权到期后系统也会自动阻断访问。
HTML5运维访问与授权策略
普通用户登录 Next Terminal 后，只能看到自己被授权访问的资产列表。点击右侧的连接按钮，浏览器会打开一个新的标签页，通过 HTML5 方式建立远程会话。以 SSH 为例，网页终端支持常见的快捷键、文本复制粘贴、窗口缩放以及中文输入，体验与本地终端接近。RDP 则支持全屏模式、声音播放和本地打印机映射，VNC 也能正常传输画面和键盘鼠标操作。
为了提升安全级别，建议在用户管理中启用双因素认证，并禁止用户直接查看资产密码。Next Terminal 支持 TOTP 动态口令，用户可以绑定手机 App 生成一次性验证码。管理员还可以设置登录失败锁定策略，当连续输入错误密码达到一定次数后，账号自动锁定一段时间，降低暴力破解风险。
下面通过一个简单的表格对比不同协议在 HTML5 访问方式下的审计能力，方便根据实际业务选择合适的远程方式。
| 协议类型 | 默认端口 | HTML5访问 | 审计能力 |
|---|---|---|---|
| SSH | 22 | 支持 | 命令记录+录像回放 |
| RDP | 3389 | 支持 | 录像回放 |
| VNC | 5900 | 支持 | 录像回放 |
| Telnet | 23 | 支持 | 命令记录+录像回放 |
录像回放与审计追踪
Next Terminal 的审计能力体现在会话结束后自动生成的录像文件。管理员进入审计日志或会话审计页面，可以看到每一次连接的开始时间、结束时间、用户、来源 IP、目标资产和协议类型。点击任意一条记录，系统会调用网页播放器加载录像数据，回放画面与用户实际操作完全同步，包括键盘输入、鼠标移动和窗口切换过程。
录像文件默认保存在数据目录下的 recording 文件夹中，Linux 路径为 /data/next-terminal/recording，Windows 路径为 C:next-terminaldatarecording。如果服务器磁盘空间紧张，可以在系统设置中调整录像保留天数，或者定期将历史录像归档到对象存储。需要特别注意的是，录像保存的是操作画面而非简单的命令文本，因此可以还原用户打开配置文件、修改系统设置等图形化操作，这是纯命令审计无法做到的。
回放播放器支持暂停、进度拖动和倍速播放，管理员可以根据时间点定位到关键操作。例如某台服务器在凌晨出现异常，可以筛选该时间段内的全部会话，快速找到对应录像并查看是否有误操作或未授权变更。配合系统日志中的登录记录，能够形成从认证到操作再到结果的完整证据链。
常见问题与优化建议
部署过程中最常见的问题是端口冲突。如果 8088 端口已被其他服务占用，可以修改 docker-compose.yml 中的端口映射，例如将左侧宿主机端口改为 18088，同时把环境变量 SERVER_PORT 保持为 8088 即可，外部访问时使用新端口。另一个常见问题是 IPv6 或防火墙导致页面无法打开，可以通过 telnet 或 curl 检查端口连通性。
日常运维中建议定期备份数据目录，容器本身可以随时删除重建，只要挂载的数据卷不丢失，配置和录像都会保留。升级版本时，执行 docker compose pull 拉取最新镜像，然后 docker compose up -d 重新创建容器即可，系统会自动执行数据库迁移。如果需要更高的可用性，可以在前端配置 Nginx 负载均衡，多实例共享同一个 MySQL 数据库和录像存储目录。
最后还要强调权限最小化原则：不要给普通用户分配管理员角色，不要在授权策略中一次性授权全部资产，临时运维需求通过设置授权有效期来控制。录像文件属于敏感数据，应限制系统级访问权限，只有审计管理员可以查看和下载。做到这些，Next Terminal 就能在中小团队中稳定地承担堡垒机职责。
Next Terminal堡垒机HTML5运维审计录像回放修改时间：2026-08-20 12:08:01