Wir haben ein VPN Control Center für das eigene Team einer Agentur gebaut.
Eine Agentur mit mehreren Marken wollte Self-Service über den sicheren Zugang, den wir für sie betreiben: einen Benutzer anlegen, ein Passwort zurücksetzen, jemanden entfernen, der gegangen ist, alles durch das eigene Team. Hier ist, was wir gebaut haben, und warum es einer der stärksten Schritte im Managed-Services-Geschäft ist, die wir kennen.
In diesem Artikel 4 Abschnitte
- Eine Agentur mit mehreren Marken wollte Self-Service über das VPN, das wir für sie betreiben: Benutzer anlegen, Passwort zurücksetzen, jemanden entfernen, der gegangen ist, ohne ein Ticket zu öffnen.
- Die Anforderung: baut meinen eigenen Leuten die Werkzeuge, so einfach, dass ein Junior-Operator sie ausführen kann, ohne etwas kaputt zu machen.
- Wir haben unser internes Operator-Toolkit als Vorlage über ihre Gateways gelegt (eine Quelle der Wahrheit, pro Gateway generiert) und dann ein VPN Control Center in den Kundenbereich gebaut: rollenbasierter Zugriff, Regeln pro Benutzer und ein Discover-and-Onboard-Ablauf für neue Gateways.
- Endzustand: Ihr Team erledigt den täglichen sicheren Zugang aus einem Menü. Wir verantworten die Infrastruktur darunter.
Die üblichen VPN-Änderungen für die Agentur kamen als Anfragen zu uns. Benutzer anlegen. Passwort zurücksetzen. Jemanden entfernen, der gegangen ist. Die Agentur bat um den nächsten Schritt: diese alltäglichen Vorgänge in die Hände des eigenen Teams zu legen, damit es sein eigenes Tempo bestimmt.
Die Anforderung, kurz gefasst: Baut die Werkzeuge so, dass die eigenen Leute sie ausführen können, einfach genug, dass der jüngste Operator sie benutzt, ohne etwas kaputt zu machen.
h2 (#why-us): Warum sie uns gefragt haben, und keine Konsole
Weil das, worüber sie Self-Service wollten, Infrastruktur war, die wir entworfen haben und betreiben: die Gateways, die Zertifizierungsstellen pro Tenant, der Lebenszyklus der Zugangsdaten. Jeder andere hätte die Umgebung zuerst per Reverse Engineering verstehen müssen. Wir konnten die Abstraktion beim ersten Versuch richtig machen, weil wir gebaut haben, was sie abstrahiert.
h2 (#one-toolkit-not-three): Ein Toolkit, nicht eines pro Tenant
Mehrere Tenants, getrennte Gateways, getrennte Zertifizierungsstellen, und die Werkzeuge mussten über alle identisch zu bedienen sein, damit der Kunde einen Arbeitsablauf lernt. Der saubere Schritt war nicht, Skripte pro Tenant von Hand zu schreiben, was vervielfachte Wartung und garantierten Drift bedeutet. Wir behandeln unser eigenes internes Operator-Toolkit als Vorlage und generieren den Satz jedes Tenants daraus, indem wir die Konstanten pro Gateway einsetzen.
Konkret: fünf kanonische Operationen (Benutzer anlegen, Passwort zurücksetzen, Benutzer entfernen, Benutzer auflisten, Zugangsdaten rotieren), pro Gateway generiert, jedes Skript spricht nur mit seinem eigenen Gateway über die OPNsense REST API, mit rotierbaren Zugangsdaten, und alles läuft lokal ohne externen Dienst in der Kette. Dann die Ebene der Operator-Erfahrung, nach der der Kunde eigentlich gefragt hatte: eine zentrale Referenztabelle, eine Anleitung pro Gateway und ein Login-Banner, das jeden Operator genau auf den Befehl hinweist, den er braucht.
=== secure-access operator toolkit ===
add-user | reset-password | remove-user | list-users | rotate-api-credentials
per-gateway how-to: /etc/<gateway>-howto reference: /etc/vpn-operationsMit cat aus jedem Login lesbar. Das Sicherheitsnetz des Junior-Operators ist ein Banner, keine Wiki-Seite, die niemand öffnet.
h2 (#the-control-center): Das Control Center im Kundenbereich
Dann kam der Moment des «könnt ihr auch», und das Toolkit wurde zum Produktmerkmal. Ein VPN Control Center im Kundenbereich: ein Menümodul mit rollenbasierter Zugriffskontrolle, einer Gateway-Auswahl, einem Editor für Zugriffsregeln pro Benutzer und einem Ablauf zum Hinzufügen eines Gateways mit automatischer Erkennung. Sie fügen URL, Key und Secret eines Gateways ein, klicken auf Discover, und das Modul liest die Zertifizierungsstelle und die Instanz von der Maschine und nimmt sie ohne neuen Code auf.
Übliche Benutzeränderungen erledigte unser Team, auf Anfrage.
Generierte Operator-Skripte für jeden Tenant
Ihre Operatoren bedienen sich selbst. Wir pflegen eine Vorlage.
Ein Control Center im Kundenbereich
Rollenbasierter Zugriff, und neue Gateways, die sich per Erkennung selbst aufnehmen.
Bei jedem Schritt vertraute uns der Kunde mehr vom Aufbau an, nicht weniger.
h2 (#the-end-state): Der Endzustand
In Produktion. Als ein neues Gateway kam, nahm es sich über den Erkennungsablauf selbst auf, ohne dass dafür neuer Code geschrieben wurde. Ihr Team erledigt den täglichen sicheren Zugang aus einem Menü, jedes künftige Gateway nimmt sich selbst auf, und wir verantworten die Infrastruktur, während der Kunde steuert.
“Wir haben das VPN betrieben und Ihrem Team die Steuerung übergeben, und die Schlüssel zum Maschinenraum behalten.”
Klare Antworten
Kann mein eigenes Team VPN-Benutzer auf verwalteter Infrastruktur pflegen?+
Ja, und es lässt sich sauber umsetzen. In diesem Aufbau bekamen die Operatoren des Kunden generierte Werkzeuge und dann ein Modul im Kundenbereich mit rollenbasiertem Zugriff, über Gateways, die wir betreiben.
Baut EuroVPS individuelle Werkzeuge für Kunden?+
Wenn die Zusammenarbeit es verlangt. Dieses Projekt ging von Operator-Skripten zu einem Merkmal des Kundenbereichs in Produktion.
Lässt sich OPNsense über seine API verwalten?+
Ja. Jede Operation in diesem Aufbau lief über die OPNsense REST API statt über die Konsole, das ist unsere Hausregel, weil geskriptete Operationen wiederholbar und überprüfbar sind.
Wer kümmert sich um die Self-Service-Werkzeuge?+
Wir. Self-Service verlagert die üblichen Vorgänge zu Ihrem Team, während die Gateways, die Zertifizierungsstellen und das Modul selbst in unserer Verantwortung bleiben.
Ist Self-Service-Zugangsverwaltung für Junior-Mitarbeiter sicher?+
Das war die Entwurfsvorgabe, wörtlich: so einfach, dass der jüngste Operator es ausführen kann, ohne etwas kaputt zu machen. Die Leitplanken stecken in den Werkzeugen (ein Befehl pro Aufgabe, rollenbasierter Zugriff im Kundenbereich), nicht in einem Warndokument, das niemand liest.
Soll Ihr Team seine eigenen Vorgänge selbst erledigen?
Sagen Sie uns, welche Vorgänge Ihr Team gern selbst ausführen könnte. Wenn die richtige Antwort Werkzeuge sind, bauen wir die Steuerung und behalten die Infrastruktur darunter.
Mit einem Ingenieur sprechenSie haben das Ende erreicht.
Setzen Sie das Gelesene um
Was betreiben Sie?
Erzählen Sie uns von Workload, Traffic und Anforderungen an die Wiederherstellung. Beginnen Sie mit dem Server-Konfigurator oder besprechen Sie die Details mit einem Ingenieur.
Geschrieben von den Ingenieuren, die die beschriebene Infrastruktur bauen und betreiben.Mit einem Ingenieur sprechen