Pusemos todo o pessoal de uma agência em acesso remoto seguro numa tarde.
Uma agência precisava de todo o seu pessoal, dezenas de pessoas, em acesso remoto seguro ao mesmo tempo, cada uma com um IP estático fixo e egress full-tunnel. Uma tarde, um batch, todas as contas ativas à primeira tentativa. O método foi reconhecimento primeiro, batch depois, e verificação por leitura do estado.
Neste artigo 3 secções
- Uma agência digital precisava de todo o seu pessoal, dezenas de pessoas, em acesso remoto seguro ao mesmo tempo: cada uma com um IP estático fixo (para que os sistemas a jusante as reconheçam) e egress full-tunnel através do endereço público da própria agência.
- Fazer isto à mão, um clique na consola de cada vez, é onde vivem os erros e uma tarde perdida.
- Lemos a configuração em produção do gateway antes de tocar em alguma coisa, e foi ela que definiu o plano.
- Depois uma passagem via API: dezenas de contas, cada uma com o seu próprio IP estático, todas ativas à primeira tentativa, entregues como um pacote.
O pedido, em termos simples: todo o pessoal, acesso seguro, cada utilizador fixado a um endereço estático, full-tunnel, bem feito, numa passagem. Porque é que uma passagem importa para uma agência é simples. A integração é overhead, e o overhead escala com os erros.
Reconhecimento antes de tocar em alguma coisa
O primeiro movimento foi reconhecimento read-only. Lemos primeiro a configuração em produção do gateway, que mostrou três coisas a ter em conta. Confirmámos que a rede do túnel tinha espaço para toda a lista. O full-tunnel já estava ativo do lado do servidor, pelo que não era precisa nenhuma alteração de routing. E o override do IP estático pertence a um nó de configuração específico, ao lado de uma chave com nome semelhante que é fácil de confundir com ele.
“Leia primeiro a configuração em produção. Depois construa.”
O batch, como runbook
Reconhecimento, read-only
: Enumeramos a configuração em produção e atualizamos as notas para lhe corresponderem.
Criação com as ferramentas padrão
: Cada identidade recebe um certificado, uma credencial local, um client bundle gerado e uma palavra-passe de 32 caracteres, tudo através da REST API do gateway. A consola fica fechada, que é a regra da casa.
Fixação dos endereços
: A cada conta é atribuído um IP estático de um intervalo livre e limpo.
Verificação por leitura, depois prova de um ativo
: Voltamos a ler a tabela de overrides depois do apply, e depois provamos um bundle ativo de ponta a ponta antes de o batch ser enviado. Confiamos no estado, não na escrita.
O balanço
TODAS
1
1.ª
1
O que fez disto uma passagem é a posição. Estes são gateways que nós operamos, com as armadilhas do modelo de configuração já conhecidas, conduzidos através de uma API onde cada passo é repetível e cada resultado é verificável. As pessoas que operam o gateway são as pessoas que fizeram o provisioning.
Não foi um caso único heroico. O mesmo conjunto de ferramentas e a mesma disciplina repetem-se nos nossos clientes do mundo das agências, e a versão produtizada é uma história própria em construímos um VPN Control Center para a equipa de uma agência. Um padrão é prova mais forte do que uma anedota.
“Todo o pessoal em acesso seguro numa tarde, e nenhum deles precisou de saber como funciona.”
Respostas diretas
Como dão IP estáticos fixos a pessoal remoto numa VPN?+
Com reservas de endereço por utilizador no gateway, de um intervalo limpo e não alocado, aplicadas através da API e depois verificadas voltando a ler a tabela de atribuição. O passo da verificação é a parte que mais importa.
Como criam utilizadores de VPN em massa sem erros?+
Reconhecimento primeiro (a configuração em produção, não o wiki), verificação de colisões para cada nome, e criação através da API com ferramentas padrão.
Porque é que a minha atribuição de IP estático não se aplica?+
Em algumas plataformas de gateway o override pertence a um nó de configuração específico, ao lado de uma chave com nome semelhante. Se o cliente recebe um endereço dinâmico, verifique que nó guarda o override.
Full-tunnel ou split-tunnel para a VPN do pessoal?+
Esta instalação foi full-tunnel por requisito: todo o egress através do endereço público da própria agência, para que os sistemas a jusante vejam uma única identidade. O split-tunnel troca esse controlo por menos backhaul. É uma decisão de política, por isso tome-a antes do provisioning, porque define a configuração do lado do servidor.
Quanto tempo demora a integração de uma equipa inteira numa VPN?+
Esta instalação demorou uma tarde, com provisioning em batch, com um bundle de teste provado ativo antes de os restantes serem enviados.
Integração de uma equipa inteira?
Traga-nos a lista. Um batch limpo, sem cliques na consola, e um bundle para cada pessoa que simplesmente funciona.
Fale com um engenheiroChegou ao fim.
Ponha a leitura em prática
O que executa?
Fale-nos da carga de trabalho, do tráfego e dos requisitos de recuperação. Comece pelo configurador de servidores ou discuta os detalhes com um engenheiro.
Escrito pelos engenheiros que constroem e operam a infraestrutura que descreve.Fale com um engenheiro