Construímos um VPN Control Center para a equipa de uma agência.
Uma agência multimarca pediu self-service sobre o acesso seguro que operamos para ela: adicionar um utilizador, repor uma palavra-passe, remover quem saiu, tudo a partir da sua própria equipa. Eis o que construímos, e porque é uma das jogadas de serviços geridos mais fortes que conhecemos.
Neste artigo 4 secções
- Uma agência multimarca pediu self-service sobre a VPN que operamos para ela: adicionar um utilizador, repor uma palavra-passe, remover quem saiu, sem abrir um ticket.
- O pedido: construam as ferramentas para os meus próprios colaboradores, tão fáceis que um operador júnior as consiga usar sem estragar nada.
- Transformámos o nosso toolkit interno de operador num template para os gateways deles (uma única fonte de verdade, gerada por gateway), e depois construímos um VPN Control Center dentro da área de cliente: acesso baseado em funções, regras por utilizador, e um fluxo de descoberta e integração para novos gateways.
- Estado final: a equipa deles opera o acesso seguro do dia a dia a partir de um menu. Nós ficamos com a infraestrutura por baixo.
As alterações de VPN de rotina para a agência chegavam-nos como pedidos. Adicionar um utilizador. Repor uma palavra-passe. Remover alguém que saiu. A agência pediu o passo seguinte: pôr essas operações do dia a dia nas mãos da sua própria equipa, para definir o seu próprio ritmo.
O pedido, em resumo: construir as ferramentas para que os seus próprios colaboradores as usem, de forma suficientemente simples para que o operador mais júnior as utilize sem estragar nada.
h2 (#why-us): Porque nos pediram a nós, e não a uma consola
Porque aquilo sobre o qual queriam self-service era infraestrutura que nós desenhámos e operamos: os gateways, as autoridades de certificação por tenant, o ciclo de vida das credenciais. Qualquer outro teria de fazer primeiro engenharia inversa da instalação. Nós conseguimos acertar na abstração à primeira, porque construímos aquilo que ela abstrai.
h2 (#one-toolkit-not-three): Um toolkit, não um por tenant
Vários tenants, gateways separados, autoridades de certificação separadas, e as ferramentas tinham de funcionar de forma idêntica em todos para que o cliente aprendesse um único fluxo de trabalho. A jogada limpa não era escrever à mão scripts por tenant, o que significa manutenção multiplicada e drift garantido. Tratámos o nosso próprio toolkit interno de operador como template e geramos o conjunto de cada tenant a partir dele, substituindo as constantes por gateway.
Em concreto: cinco operações canónicas (adicionar utilizador, repor palavra-passe, remover utilizador, listar utilizadores, rodar credenciais), geradas por gateway, cada script a falar apenas com o seu próprio gateway através da REST API do OPNsense, com credenciais rotativas e tudo a correr localmente sem nenhum serviço externo no circuito. Depois, a camada de experiência do operador que o cliente realmente pediu: uma tabela de referência principal, um how-to por gateway, e um banner de início de sessão que aponta qualquer operador exatamente para o comando de que precisa.
=== secure-access operator toolkit ===
add-user | reset-password | remove-user | list-users | rotate-api-credentials
per-gateway how-to: /etc/<gateway>-howto reference: /etc/vpn-operationsLê-se com cat a partir de qualquer sessão. A rede de segurança do operador júnior é um banner, não uma página de wiki que ninguém abre.
h2 (#the-control-center): O Control Center na área de cliente
Depois veio o momento do «e também podem», e o toolkit tornou-se uma funcionalidade do produto. Um VPN Control Center dentro da área de cliente: um módulo de menu com controlo de acesso baseado em funções, um seletor de gateway, um editor de regras de acesso por utilizador, e um fluxo de adição de gateway com descoberta automática. Cola-se o URL, a key e o secret de um gateway, carrega-se em discover, e o módulo lê a autoridade de certificação e a instância da máquina e integra-o sem código novo.
As alterações de utilizadores de rotina eram feitas pela nossa equipa, a pedido.
Scripts de operador gerados para cada tenant
Os operadores deles servem-se sozinhos. Nós mantemos um único template.
Um Control Center na área de cliente
Acesso baseado em funções, e novos gateways que se integram sozinhos por descoberta.
A cada passo, o cliente confiou-nos mais da construção, não menos.
h2 (#the-end-state): O estado final
Em produção. Quando chegou um novo gateway, integrou-se sozinho através do fluxo de descoberta, sem que fosse escrito código novo para ele. A equipa deles opera o acesso seguro do dia a dia a partir de um menu, cada gateway futuro integra-se sozinho, e nós ficamos com a infraestrutura por baixo enquanto o cliente conduz.
“Operámos a VPN e entregámos os comandos à sua equipa, e ficámos com as chaves da casa das máquinas.”
Respostas diretas
A minha própria equipa pode gerir utilizadores de VPN em infraestrutura gerida?+
Sim, e pode ser feito com engenharia a sério. Nesta construção, os operadores do cliente receberam ferramentas geradas e depois um módulo na área de cliente com acesso baseado em funções, sobre gateways que operamos nós.
A EuroVPS constrói ferramentas à medida para clientes?+
Quando o projeto o pede. Este foi de scripts de operador a funcionalidade da área de cliente em produção.
O OPNsense pode ser gerido através da sua API?+
Sim. Todas as operações nesta construção passaram pela REST API do OPNsense e não pela consola, que é a nossa regra da casa, porque as operações por script são repetíveis e revisáveis.
Quem cuida das ferramentas de self-service?+
Nós. O self-service transfere as operações de rotina para a sua equipa, enquanto os gateways, as autoridades de certificação e o próprio módulo continuam a ser responsabilidade nossa.
A gestão de acessos em self-service é segura para pessoal júnior?+
Foi essa a especificação do desenho, palavra por palavra: tão fácil que o operador mais júnior a consiga usar sem estragar nada. As proteções vivem nas ferramentas (um comando por tarefa, acesso baseado em funções na área de cliente), não num documento de aviso que ninguém lê.
Quer que a sua equipa execute as suas próprias operações?
Diga-nos que operações a sua equipa gostaria de poder executar sozinha. Se a resposta certa forem ferramentas, construímos os comandos e ficamos com a infraestrutura por baixo.
Fale com um engenheiroChegou ao fim.
Ponha a leitura em prática
O que executa?
Fale-nos da carga de trabalho, do tráfego e dos requisitos de recuperação. Comece pelo configurador de servidores ou discuta os detalhes com um engenheiro.
Escrito pelos engenheiros que constroem e operam a infraestrutura que descreve.Fale com um engenheiro