Abbiamo messo tutto il personale di un'agenzia in accesso remoto sicuro in un pomeriggio.
Un'agenzia aveva bisogno di tutto il suo personale, decine di persone, in accesso remoto sicuro in una volta sola, ciascuno con un IP statico fisso e uscita full-tunnel. Un pomeriggio, un lotto, ogni account attivo al primo tentativo. Il metodo è stato ricognizione prima, lotto dopo, verificato rileggendo lo stato.
In questo articolo 3 sezioni
- Un'agenzia digitale aveva bisogno dell'intero personale, decine di persone, in accesso remoto sicuro in una volta sola: ciascuno con un IP statico fisso (così che i sistemi a valle li riconoscano) e uscita full-tunnel attraverso l'indirizzo pubblico dell'agenzia stessa.
- Farlo a mano, un clic nella console alla volta, è dove vivono gli errori e un pomeriggio perso.
- Abbiamo letto la configurazione live del gateway prima di toccare qualsiasi cosa, e quella ha fissato il piano.
- Poi un solo passaggio guidato dall'API: decine di account, ciascuno con il proprio IP statico, ognuno attivo al primo tentativo, consegnati come pacchetto.
La richiesta, in chiaro: tutto il personale, accesso sicuro, ogni utente fissato a un indirizzo statico, full-tunnel, fatto correttamente, in un solo passaggio. Perché il passaggio unico conti per un'agenzia è semplice. L'onboarding è overhead, e l'overhead scala con gli errori.
Ricognizione prima di toccare qualsiasi cosa
La prima mossa è stata una ricognizione in sola lettura. Abbiamo letto per prima la configurazione live del gateway, che ha mostrato tre cose di cui tenere conto. Abbiamo confermato che la rete del tunnel aveva spazio per l'intero elenco. Il full-tunnel era già abilitato lato server, quindi non serviva alcuna modifica di routing. E l'override dell'IP statico sta sotto un nodo di configurazione specifico, accanto a una chiave dal nome simile con cui è facile confonderlo.
“Leggete prima la configurazione live. Poi costruite.”
Il lotto, come runbook
Ricognizione, in sola lettura.
Enumerare la configurazione live e aggiornare le note perché corrispondano.
Creare con gli strumenti standard.
Ogni identità riceve un certificato, una credenziale locale, un bundle client generato e una password di 32 caratteri, tutto attraverso l'API REST del gateway. La console resta chiusa, che è la regola della casa.
Fissare gli indirizzi.
A ogni account un IP statico assegnato da un intervallo libero e pulito.
Verificare rileggendo, poi provarne uno dal vivo.
Rileggere la tabella degli override dopo l'applicazione, poi provare un bundle dal vivo da un capo all'altro prima che il lotto venga spedito. Fidatevi dello stato, non della scrittura.
La ricevuta
ALL
1
1st
1
Ciò che ne ha fatto un solo passaggio è la posizione. Questi sono gateway che gestiamo noi, con le trappole del modello di configurazione già note, guidati attraverso un'API dove ogni passo è ripetibile e ogni risultato è verificabile. Le persone che gestiscono il gateway sono le persone che lo hanno provisionato.
Non è stato un exploit eroico una tantum. Lo stesso kit di strumenti e la stessa disciplina ricorrono tra i nostri clienti agenzia, e la versione prodotto è una storia a sé in abbiamo costruito un VPN Control Center per il team di un'agenzia. Uno schema è una prova più forte di un aneddoto.
“Un intero personale in accesso sicuro in un pomeriggio, e nessuno di loro ha dovuto sapere come funzionava.”
Risposte dirette
Come si danno IP statici fissi al personale remoto su una VPN?+
Prenotazioni di indirizzo per utente sul gateway, da un intervallo pulito e non allocato, applicate attraverso l'API e poi verificate rileggendo la tabella delle assegnazioni. Il passo di verifica è la parte che conta di più.
Come si creano utenti VPN in massa senza errori?+
Ricognizione prima (la configurazione live, non il wiki), controllo delle collisioni su ogni nome, e creazione attraverso l'API con gli strumenti standard.
Perché la mia assegnazione di IP statico non viene applicata?+
Su alcune piattaforme gateway l'override sta sotto un nodo di configurazione specifico, accanto a una chiave dal nome simile. Se il client riceve un indirizzo dinamico, controllate quale nodo contiene l'override.
Full-tunnel o split-tunnel per la VPN del personale?+
Questo rollout era full-tunnel per requisito: tutta l'uscita attraverso l'indirizzo pubblico dell'agenzia stessa, così che i sistemi a valle vedano una sola identità. Lo split-tunnel scambia quel controllo con meno backhaul. È una decisione di policy, quindi prendetela prima del provisioning, perché definisce la configurazione lato server.
Quanto ci vuole a fare l'onboarding di un intero team su una VPN?+
Questa build ha richiesto un pomeriggio, provisionata a lotto, con un bundle di prova verificato dal vivo prima che il resto venisse spedito.
State facendo l'onboarding di un intero team?
Portateci l'elenco. Un solo lotto pulito, nessun clic nella console, e un bundle per ogni persona che semplicemente funziona.
Parla con un ingegnereSiete arrivati alla fine.
Mettete la lettura al lavoro
Cosa fate girare?
Raccontateci il carico di lavoro, il traffico e i requisiti di ripristino. Partite dal configuratore di server, oppure discutete i dettagli con un ingegnere.
Scritto dagli ingegneri che costruiscono e gestiscono l'infrastruttura che descrive.Parla con un ingegnere