Βάλαμε όλο το προσωπικό ενός agency σε ασφαλή απομακρυσμένη πρόσβαση σε ένα απόγευμα.
Ένα agency χρειαζόταν όλο του το προσωπικό, δεκάδες ανθρώπους, σε ασφαλή απομακρυσμένη πρόσβαση ταυτόχρονα, ο καθένας με σταθερή static IP και full-tunnel έξοδο. Ένα απόγευμα, ένα batch, κάθε λογαριασμός ζωντανός με την πρώτη προσπάθεια. Η μέθοδος ήταν πρώτα αναγνώριση, μετά batch, και επαλήθευση διαβάζοντας πίσω την κατάσταση.
Σε αυτό το άρθρο 3 ενότητες
- Ένα ψηφιακό agency χρειαζόταν ολόκληρο το προσωπικό του, δεκάδες ανθρώπους, σε ασφαλή απομακρυσμένη πρόσβαση ταυτόχρονα: ο καθένας με σταθερή static IP (ώστε τα κατάντη συστήματα να τους αναγνωρίζουν) και full-tunnel έξοδο μέσω της δημόσιας διεύθυνσης του ίδιου του agency.
- Το να γίνει αυτό με το χέρι, ένα κλικ στην κονσόλα τη φορά, είναι εκεί που ζουν τα λάθη και ένα χαμένο απόγευμα.
- Διαβάσαμε τη ζωντανή διαμόρφωση του gateway πριν αγγίξουμε οτιδήποτε, και αυτή όρισε το σχέδιο.
- Μετά ένα πέρασμα μέσω API: δεκάδες λογαριασμοί, ο καθένας με τη δική του static IP, όλοι ζωντανοί με την πρώτη προσπάθεια, παραδομένοι ως πακέτο.
Το αίτημα, απλά: όλο το προσωπικό, ασφαλής πρόσβαση, κάθε χρήστης καρφωμένος σε σταθερή διεύθυνση, full-tunnel, σωστά, σε ένα πέρασμα. Γιατί το ένα πέρασμα μετράει για ένα agency είναι απλό. Το onboarding είναι επιβάρυνση, και η επιβάρυνση κλιμακώνεται με τα λάθη.
Αναγνώριση πριν αγγίξουμε οτιδήποτε
Η πρώτη κίνηση ήταν αναγνώριση read-only. Διαβάσαμε πρώτα τη ζωντανή διαμόρφωση του gateway, που έδειξε τρία πράγματα που έπρεπε να ληφθούν υπόψη. Επιβεβαιώσαμε ότι το δίκτυο του tunnel είχε χώρο για ολόκληρη τη λίστα. Το full-tunnel ήταν ήδη ενεργό από την πλευρά του server, οπότε δεν χρειαζόταν αλλαγή δρομολόγησης. Και το override της static IP ανήκει κάτω από έναν συγκεκριμένο κόμβο διαμόρφωσης, δίπλα σε ένα κλειδί με παρόμοιο όνομα που μπερδεύεται εύκολα μαζί του.
“Διαβάστε πρώτα τη ζωντανή διαμόρφωση. Μετά χτίστε.”
Το batch, ως runbook
Αναγνώριση, read-only
: Απαριθμούμε τη ζωντανή διαμόρφωση και ενημερώνουμε τις σημειώσεις ώστε να της αντιστοιχούν.
Δημιουργία μέσω των τυπικών εργαλείων
: Κάθε ταυτότητα παίρνει πιστοποιητικό, τοπικό credential, παραγόμενο client bundle και κωδικό 32 χαρακτήρων, όλα μέσω του REST API του gateway. Η κονσόλα μένει κλειστή, που είναι ο κανόνας του σπιτιού.
Κάρφωμα των διευθύνσεων
: Σε κάθε λογαριασμό ανατίθεται μια static IP από ένα καθαρό ελεύθερο εύρος.
Επαλήθευση με ανάγνωση πίσω, μετά απόδειξη ενός ζωντανού
: Ξαναδιαβάζουμε τον πίνακα των overrides μετά το apply, μετά αποδεικνύουμε ένα bundle ζωντανό από άκρη σε άκρη πριν σταλεί το batch. Εμπιστευόμαστε την κατάσταση, όχι την εγγραφή.
Ο απολογισμός
ΟΛΟΙ
1
1η
1
Αυτό που το έκανε ένα πέρασμα είναι η θέση. Αυτά είναι gateways που λειτουργούμε εμείς, με τις παγίδες του μοντέλου διαμόρφωσης ήδη γνωστές, οδηγούμενα μέσω ενός API όπου κάθε βήμα είναι επαναλήψιμο και κάθε αποτέλεσμα ελέγξιμο. Οι άνθρωποι που λειτουργούν το gateway είναι οι άνθρωποι που έκαναν το provisioning.
Δεν ήταν ηρωική μοναδική περίπτωση. Το ίδιο σύνολο εργαλείων και η ίδια πειθαρχία επαναλαμβάνονται στους πελάτες μας από τον χώρο των agencies, και η προϊοντοποιημένη εκδοχή είναι δική της ιστορία στο χτίσαμε ένα VPN Control Center για την ομάδα ενός agency. Ένα μοτίβο είναι ισχυρότερη απόδειξη από ένα ανέκδοτο.
“Ολόκληρο το προσωπικό σε ασφαλή πρόσβαση σε ένα απόγευμα, και κανείς τους δεν χρειάστηκε να ξέρει πώς δουλεύει.”
Ευθείες απαντήσεις
Πώς δίνετε σε απομακρυσμένο προσωπικό σταθερές static IP σε VPN;+
Με δεσμεύσεις διεύθυνσης ανά χρήστη στο gateway, από ένα καθαρό αδιάθετο εύρος, εφαρμοσμένες μέσω του API και μετά επαληθευμένες ξαναδιαβάζοντας τον πίνακα ανάθεσης. Το βήμα της επαλήθευσης είναι το κομμάτι που μετράει περισσότερο.
Πώς δημιουργείτε μαζικά χρήστες VPN χωρίς λάθη;+
Αναγνώριση πρώτα (η ζωντανή διαμόρφωση, όχι το wiki), έλεγχος σύγκρουσης για κάθε όνομα, και δημιουργία μέσω του API με τυπικά εργαλεία.
Γιατί δεν εφαρμόζεται η ανάθεση της static IP μου;+
Σε ορισμένες πλατφόρμες gateway το override ανήκει κάτω από έναν συγκεκριμένο κόμβο διαμόρφωσης, δίπλα σε ένα κλειδί με παρόμοιο όνομα. Αν ο client παίρνει δυναμική διεύθυνση, ελέγξτε ποιος κόμβος κρατά το override.
Full-tunnel ή split-tunnel για VPN προσωπικού;+
Αυτή η εγκατάσταση ήταν full-tunnel λόγω απαίτησης: όλη η έξοδος μέσω της δημόσιας διεύθυνσης του ίδιου του agency ώστε τα κατάντη συστήματα να βλέπουν μία ταυτότητα. Το split-tunnel ανταλλάσσει αυτόν τον έλεγχο με λιγότερο backhaul. Είναι απόφαση πολιτικής, οπότε πάρτε την πριν το provisioning, γιατί ορίζει τη διαμόρφωση στην πλευρά του server.
Πόσο διαρκεί το onboarding μιας ολόκληρης ομάδας σε VPN;+
Αυτή η εγκατάσταση πήρε ένα απόγευμα, με provisioning σε batch, με ένα δοκιμαστικό bundle αποδεδειγμένα ζωντανό πριν σταλούν τα υπόλοιπα.
Onboarding ολόκληρης ομάδας;
Φέρτε μας τη λίστα. Ένα καθαρό batch, χωρίς κλικ στην κονσόλα, και ένα bundle για κάθε άνθρωπο που απλώς δουλεύει.
Μιλήστε με έναν μηχανικόΦτάσατε στο τέλος.
Βάλτε την ανάγνωση σε εφαρμογή
Τι τρέχετε;
Πείτε μας για τον φόρτο εργασίας, την κίνηση και τις απαιτήσεις ανάκαμψης. Ξεκινήστε από το εργαλείο διαμόρφωσης server ή συζητήστε τις λεπτομέρειες με έναν μηχανικό.
Γραμμένο από τους μηχανικούς που χτίζουν και λειτουργούν την υποδομή που περιγράφει.Μιλήστε με έναν μηχανικό