Abbiamo costruito un VPN Control Center per il team stesso di un'agenzia.
Un'agenzia multi-brand ha chiesto il self-service sull'accesso sicuro che gestiamo per lei: aggiungere un utente, reimpostare una password, rimuovere chi se ne va, tutto dal proprio team. Ecco cosa abbiamo costruito, e perché è una delle mosse di managed services più forti che conosciamo.
In questo articolo 4 sezioni
- Un'agenzia multi-brand ha chiesto il self-service sul VPN che gestiamo per lei: aggiungere un utente, reimpostare una password, rimuovere chi se ne va, senza aprire un ticket.
- La richiesta: costruite il tooling per le mie persone, così facile che un operatore junior può usarlo senza rompere nulla.
- Abbiamo trasformato in template il nostro toolkit interno per operatori attraverso i loro gateway (una sola fonte di verità, generata per gateway), poi abbiamo costruito un VPN Control Center dentro il portale clienti: accesso basato sui ruoli, regole per utente, e un flusso di discovery e onboarding per i nuovi gateway.
- Stato finale: il loro team gestisce l'accesso sicuro quotidiano da un menu. Noi possediamo l'impianto sottostante.
Le modifiche VPN di routine per l'agenzia arrivavano a noi come richieste. Aggiungere un utente. Reimpostare una password. Rimuovere qualcuno che se n'è andato. L'agenzia ha chiesto il passo successivo: mettere quelle operazioni quotidiane nelle mani del proprio team, così da stabilire il proprio ritmo.
La richiesta, in breve: costruire il tooling perché le loro persone possano usarlo, abbastanza semplice perché l'operatore più junior lo usi senza rompere nulla.
Perché hanno chiesto a noi, e non a una console
Perché la cosa su cui volevano il self-service era infrastruttura che abbiamo progettato e che gestiamo: i gateway, le certificate authority per tenant, il ciclo di vita delle credenziali. Chiunque altro avrebbe dovuto prima fare reverse engineering della configurazione. Noi potevamo rendere corretta l'astrazione al primo tentativo, perché abbiamo costruito ciò che astrae.
Un toolkit, non uno per tenant
Più tenant, gateway separati, certificate authority separate, e il tooling doveva essere identico da operare su tutti perché il cliente impari un solo workflow. La mossa pulita non era scrivere a mano script per tenant, che è manutenzione moltiplicata e deriva garantita. Trattare il nostro toolkit interno per operatori come un template e generare il set di ogni tenant da esso, sostituendo le costanti per gateway.
Concretamente: cinque operazioni canoniche (aggiungere utente, reimpostare password, rimuovere utente, elencare utenti, ruotare credenziali), generate per gateway, ogni script che parla solo con il proprio gateway tramite la REST API di OPNsense, con credenziali ruotabili e tutto in esecuzione locale senza alcun servizio esterno nel giro. Poi il livello di esperienza operatore che il cliente aveva davvero chiesto: una tabella di riferimento principale, un how-to per gateway, e un banner di login che indica a qualsiasi operatore esattamente il comando che gli serve.
=== secure-access operator toolkit ===
add-user | reset-password | remove-user | list-users | rotate-api-credentials
per-gateway how-to: /etc/<gateway>-howto reference: /etc/vpn-operationsLeggibile con cat da qualsiasi login. La rete di sicurezza dell'operatore junior è un banner, non una pagina wiki che nessuno apre.
Il Control Center nel portale
Poi è arrivato il momento del «potete anche», e il toolkit è diventato una funzionalità di prodotto. Un VPN Control Center dentro il portale clienti: un modulo a menu con controllo degli accessi basato sui ruoli, un selettore di gateway, un editor di regole di accesso per utente, e un flusso di aggiunta gateway con auto-discovery. Incollate URL, chiave e secret di un gateway, premete discover, e il modulo legge la certificate authority e l'istanza dalla macchina e la onboarda senza nuovo codice.
Modifiche utente di routine gestite dal nostro team, su richiesta.
Script operatore generati per ogni tenant
I loro operatori fanno da soli. Noi manteniamo un solo template.
Un Control Center nel portale
Accesso basato sui ruoli, e nuovi gateway che si onboardano da soli via discovery.
A ogni passo, il cliente ci ha affidato più della costruzione, non meno.
Lo stato finale
Distribuito in produzione. Quando è arrivato un nuovo gateway, si è onboardato da solo attraverso il flusso di discovery, senza nuovo codice scritto per lui. Il loro team gestisce l'accesso sicuro quotidiano da un menu, ogni gateway futuro si onboarda da solo, e noi possediamo l'impianto mentre il cliente guida.
“Abbiamo gestito il VPN e consegnato i comandi al vostro team, tenendo le chiavi della sala macchine.”
Risposte dirette
Il mio team può gestire gli utenti VPN su infrastruttura gestita?+
Sì, e si può ingegnerizzare come si deve. In questa costruzione gli operatori del cliente hanno ottenuto tooling generato e poi un modulo nel portale con accesso basato sui ruoli, su gateway che gestiamo noi.
EuroVPS costruisce tooling su misura per i clienti?+
Quando l'incarico lo richiede. Questo è passato da script per operatori a una funzionalità di portale in produzione.
OPNsense si può gestire tramite la sua API?+
Sì. Ogni operazione in questa costruzione è passata dalla REST API di OPNsense anziché dalla console, che è la nostra regola di casa, perché le operazioni scriptate sono ripetibili e revisionabili.
Chi si occupa del tooling self-service?+
Noi. Il self-service sposta le operazioni di routine al vostro team, mentre i gateway, le certificate authority e il modulo stesso restano nostra responsabilità.
La gestione degli accessi in self-service è sicura per il personale junior?+
Era il brief di progetto, alla lettera: così facile che l'operatore più junior possa usarlo senza rompere nulla. I guardrail vivono nel tooling (un comando per attività, accesso basato sui ruoli nel portale), non in un documento di avvertenze che nessuno legge.
Volete che il vostro team gestisca le proprie operazioni?
Diteci quali operazioni il vostro team vorrebbe poter eseguire da solo. Se la risposta giusta è il tooling, costruiremo i comandi e terremo l'impianto.
Parla con un ingegnereSiete arrivati alla fine.
Mettete la lettura al lavoro
Cosa fate girare?
Raccontateci il carico di lavoro, il traffico e i requisiti di ripristino. Partite dal configuratore di server, oppure discutete i dettagli con un ingegnere.
Scritto dagli ingegneri che costruiscono e gestiscono l'infrastruttura che descrive.Parla con un ingegnere