Χτίσαμε ένα VPN Control Center για την ομάδα ενός agency.
Ένα agency πολλών brands ζήτησε self-service πάνω στην ασφαλή πρόσβαση που τρέχουμε για αυτό: προσθήκη χρήστη, επαναφορά κωδικού, αφαίρεση κάποιου που έφυγε, όλα από τη δική τους ομάδα. Ορίστε τι χτίσαμε, και γιατί είναι μία από τις πιο δυνατές κινήσεις managed υπηρεσιών που ξέρουμε.
Σε αυτό το άρθρο 4 ενότητες
- Ένα agency πολλών brands ζήτησε self-service πάνω στο VPN που τρέχουμε για αυτό: προσθήκη χρήστη, επαναφορά κωδικού, αφαίρεση κάποιου που έφυγε, χωρίς άνοιγμα ticket.
- Το αίτημα: χτίστε στους δικούς μου ανθρώπους τα εργαλεία, τόσο εύκολα ώστε ένας junior χειριστής να τα τρέχει χωρίς να χαλάσει τίποτα.
- Μετατρέψαμε το εσωτερικό μας toolkit χειριστή σε template για τα gateways τους (μία πηγή αλήθειας, παραγόμενη ανά gateway), και μετά χτίσαμε ένα VPN Control Center μέσα στην περιοχή πελατών: πρόσβαση βάσει ρόλων, κανόνες ανά χρήστη, και μια ροή discover-and-onboard για νέα gateways.
- Τελική κατάσταση: η ομάδα τους τρέχει την καθημερινή ασφαλή πρόσβαση από ένα μενού. Εμείς έχουμε την υποδομή από κάτω.
Οι συνηθισμένες αλλαγές VPN για το agency έρχονταν σε εμάς ως αιτήματα. Προσθήκη χρήστη. Επαναφορά κωδικού. Αφαίρεση κάποιου που έφυγε. Το agency ζήτησε το επόμενο βήμα: να μπουν αυτές οι καθημερινές λειτουργίες στα χέρια της δικής τους ομάδας, ώστε να ορίζουν τον δικό τους ρυθμό.
Το αίτημα, εν συντομία: χτίστε τα εργαλεία ώστε να τα τρέχουν οι δικοί τους άνθρωποι, τόσο απλά ώστε να τα χρησιμοποιεί ο πιο junior χειριστής χωρίς να χαλάσει τίποτα.
h2 (#why-us): Γιατί ζήτησαν εμάς, και όχι μια κονσόλα
Επειδή αυτό πάνω στο οποίο ήθελαν self-service ήταν υποδομή που σχεδιάσαμε και λειτουργούμε εμείς: τα gateways, οι αρχές πιστοποίησης ανά tenant, ο κύκλος ζωής των διαπιστευτηρίων. Οποιοσδήποτε άλλος θα έπρεπε πρώτα να κάνει reverse engineering στην εγκατάσταση. Εμείς μπορούσαμε να κάνουμε την αφαίρεση σωστή με την πρώτη, γιατί χτίσαμε αυτό που αφαιρεί.
h2 (#one-toolkit-not-three): Ένα toolkit, όχι ένα ανά tenant
Πολλαπλοί tenants, ξεχωριστά gateways, ξεχωριστές αρχές πιστοποίησης, και τα εργαλεία έπρεπε να λειτουργούν πανομοιότυπα σε όλα ώστε ο πελάτης να μαθαίνει μία ροή εργασίας. Η καθαρή κίνηση δεν ήταν να γράψουμε με το χέρι scripts ανά tenant, που σημαίνει πολλαπλασιασμένη συντήρηση και εγγυημένο drift. Αντιμετωπίσαμε το δικό μας εσωτερικό toolkit χειριστή ως template και παράγουμε το σετ κάθε tenant από αυτό, αντικαθιστώντας τις σταθερές ανά gateway.
Συγκεκριμένα: πέντε κανονικές λειτουργίες (προσθήκη χρήστη, επαναφορά κωδικού, αφαίρεση χρήστη, λίστα χρηστών, εναλλαγή διαπιστευτηρίων), παραγόμενες ανά gateway, κάθε script να μιλά μόνο με το δικό του gateway μέσω του OPNsense REST API, με εναλλάξιμα διαπιστευτήρια και τα πάντα να τρέχουν τοπικά χωρίς εξωτερική υπηρεσία στη διαδρομή. Μετά το επίπεδο εμπειρίας χειριστή που ζήτησε πραγματικά ο πελάτης: ένας κύριος πίνακας αναφοράς, ένα how-to ανά gateway, και ένα banner σύνδεσης που δείχνει σε κάθε χειριστή ακριβώς την εντολή που χρειάζεται.
=== secure-access operator toolkit ===
add-user | reset-password | remove-user | list-users | rotate-api-credentials
per-gateway how-to: /etc/<gateway>-howto reference: /etc/vpn-operationsΔιαβάζεται με cat από οποιαδήποτε σύνδεση. Το δίχτυ ασφαλείας του junior χειριστή είναι ένα banner, όχι μια σελίδα wiki που κανείς δεν ανοίγει.
h2 (#the-control-center): Το Control Center στην περιοχή πελατών
Μετά ήρθε η στιγμή του «μπορείτε επίσης», και το toolkit έγινε χαρακτηριστικό προϊόντος. Ένα VPN Control Center μέσα στην περιοχή πελατών: ένα module μενού με έλεγχο πρόσβασης βάσει ρόλων, επιλογέα gateway, επεξεργαστή κανόνων πρόσβασης ανά χρήστη, και μια ροή προσθήκης gateway με αυτόματη ανακάλυψη. Επικολλάτε το URL, το key και το secret ενός gateway, πατάτε discover, και το module διαβάζει την αρχή πιστοποίησης και το instance από το μηχάνημα και το εντάσσει χωρίς νέο κώδικα.
Οι συνηθισμένες αλλαγές χρηστών γίνονταν από την ομάδα μας, κατόπιν αιτήματος.
Παραγόμενα scripts χειριστή για κάθε tenant
Οι χειριστές τους εξυπηρετούνται μόνοι τους. Εμείς συντηρούμε ένα template.
Ένα Control Center στην περιοχή πελατών
Πρόσβαση βάσει ρόλων, και νέα gateways που εντάσσονται μόνα τους μέσω ανακάλυψης.
Σε κάθε βήμα, ο πελάτης μάς εμπιστεύτηκε περισσότερο από το χτίσιμο, όχι λιγότερο.
h2 (#the-end-state): Η τελική κατάσταση
Σε παραγωγή. Όταν έφτασε ένα νέο gateway, εντάχθηκε μόνο του μέσω της ροής ανακάλυψης, χωρίς να γραφτεί νέος κώδικας γι' αυτό. Η ομάδα τους τρέχει την καθημερινή ασφαλή πρόσβαση από ένα μενού, κάθε μελλοντικό gateway εντάσσεται μόνο του, και εμείς έχουμε την υποδομή από κάτω ενώ ο πελάτης οδηγεί.
“Τρέξαμε το VPN και δώσαμε στην ομάδα σας τα χειριστήρια, και κρατήσαμε τα κλειδιά του μηχανοστασίου.”
Ευθείες απαντήσεις
Μπορεί η δική μου ομάδα να διαχειρίζεται χρήστες VPN σε υποδομή με διαχείριση;+
Ναι, και μπορεί να γίνει με σωστή μηχανική. Σε αυτό το χτίσιμο οι χειριστές του πελάτη πήραν παραγόμενα εργαλεία και μετά ένα module στην περιοχή πελατών με πρόσβαση βάσει ρόλων, πάνω σε gateways που τρέχουμε εμείς.
Χτίζει η EuroVPS προσαρμοσμένα εργαλεία για πελάτες;+
Όταν το ζητά η συνεργασία. Αυτό πήγε από scripts χειριστή σε χαρακτηριστικό της περιοχής πελατών σε παραγωγή.
Μπορεί το OPNsense να διαχειριστεί μέσω του API του;+
Ναι. Κάθε λειτουργία σε αυτό το χτίσιμο πέρασε από το OPNsense REST API και όχι από την κονσόλα, που είναι ο κανόνας του σπιτιού μας, γιατί οι scripted λειτουργίες είναι επαναλήψιμες και ελέγξιμες.
Ποιος φροντίζει τα εργαλεία self-service;+
Εμείς. Το self-service μεταφέρει τις συνηθισμένες λειτουργίες στην ομάδα σας, ενώ τα gateways, οι αρχές πιστοποίησης και το ίδιο το module παραμένουν δική μας ευθύνη.
Είναι ασφαλής η self-service διαχείριση πρόσβασης για junior προσωπικό;+
Αυτή ήταν η προδιαγραφή σχεδιασμού, κατά λέξη: τόσο εύκολο ώστε ο πιο junior χειριστής να το τρέχει χωρίς να χαλάσει τίποτα. Τα προστατευτικά όρια ζουν στα εργαλεία (μία εντολή ανά εργασία, πρόσβαση βάσει ρόλων στην περιοχή πελατών), όχι σε ένα προειδοποιητικό έγγραφο που κανείς δεν διαβάζει.
Θέλετε η ομάδα σας να τρέχει τις δικές της λειτουργίες;
Πείτε μας ποιες λειτουργίες θα ήθελε η ομάδα σας να μπορεί να τρέχει μόνη της. Αν η σωστή απάντηση είναι εργαλεία, θα χτίσουμε τα χειριστήρια και θα κρατήσουμε την υποδομή από κάτω.
Μιλήστε με έναν μηχανικόΦτάσατε στο τέλος.
Βάλτε την ανάγνωση σε εφαρμογή
Τι τρέχετε;
Πείτε μας για τον φόρτο εργασίας, την κίνηση και τις απαιτήσεις ανάκαμψης. Ξεκινήστε από το εργαλείο διαμόρφωσης server ή συζητήστε τις λεπτομέρειες με έναν μηχανικό.
Γραμμένο από τους μηχανικούς που χτίζουν και λειτουργούν την υποδομή που περιγράφει.Μιλήστε με έναν μηχανικό