Ми побудували VPN Control Center для власної команди агенції.
Агенція з кількома брендами попросила самообслуговування над безпечним доступом, який ми для неї експлуатуємо: додати користувача, скинути пароль, видалити того, хто звільнився, усе силами власної команди. Ось що ми побудували і чому це один із найсильніших ходів managed-послуг, які ми знаємо.
У цій статті 4 розділів
- Агенція з кількома брендами попросила самообслуговування над VPN, який ми для неї експлуатуємо: додати користувача, скинути пароль, видалити того, хто звільнився, не відкриваючи тікет.
- Запит: збудуйте інструменти для моїх власних людей, настільки прості, щоб молодший оператор міг ними користуватися, нічого не зламавши.
- Ми зробили шаблон із нашого внутрішнього операторського інструментарію для всіх їхніх шлюзів (одне джерело істини, генерація для кожного шлюзу), а потім побудували VPN Control Center у клієнтському порталі: рольовий доступ, правила для кожного користувача і потік виявлення та підключення нових шлюзів.
- Кінцевий стан: їхня команда керує щоденним безпечним доступом із меню. Інфраструктура під сподом належить нам.
Рутинні зміни VPN для агенції приходили до нас як запити. Додати користувача. Скинути пароль. Видалити того, хто пішов. Агенція попросила про наступний крок: передати ці щоденні операції в руки власної команди, щоб вона сама задавала темп.
Запит, коротко: збудуйте інструменти так, щоб наші власні люди могли ними користуватися, достатньо просто для наймолодшого оператора, щоб нічого не зламати.
Чому вони попросили нас, а не консоль
Бо те, над чим вони хотіли самообслуговування, було інфраструктурою, яку спроєктували й експлуатуємо ми: шлюзи, центри сертифікації для кожного орендаря, життєвий цикл облікових даних. Будь-кому іншому довелося б спершу реконструювати налаштування. Ми могли зробити абстракцію правильною з першої спроби, бо ми збудували те, що вона абстрагує.
Один інструментарій, а не по одному на орендаря
Кілька орендарів, окремі шлюзи, окремі центри сертифікації, і інструментарій мав працювати однаково для всіх, щоб клієнт вивчив один робочий процес. Чистим ходом було не писати вручну скрипти для кожного орендаря, що є помноженим обслуговуванням і гарантованим розходженням. Натомість узяти наш власний внутрішній операторський інструментарій як шаблон і генерувати з нього набір для кожного орендаря, підставляючи константи кожного шлюзу.
Конкретно: п’ять канонічних операцій (додати користувача, скинути пароль, видалити користувача, перелічити користувачів, ротувати облікові дані), згенерованих для кожного шлюзу, кожен скрипт говорить лише зі своїм шлюзом через OPNsense REST API, з обліковими даними, що ротуються, і все працює локально без зовнішнього сервісу в ланцюжку. Потім рівень операторського досвіду, про який клієнт насправді просив: головна довідкова таблиця, інструкція для кожного шлюзу і банер при вході, який вказує будь-якому оператору рівно на потрібну команду.
=== secure-access operator toolkit ===
add-user | reset-password | remove-user | list-users | rotate-api-credentials
per-gateway how-to: /etc/<gateway>-howto reference: /etc/vpn-operationsМожна вивести через cat з будь-якого входу. Запобіжником молодшого оператора є банер, а не сторінка вікі, яку ніхто не відкриває.
Control Center у порталі
Потім настав момент «а можете ще й», і інструментарій став функцією продукту. VPN Control Center усередині клієнтського порталу: модуль меню з рольовим контролем доступу, вибір шлюзу, редактор правил доступу для кожного користувача і потік додавання шлюзу з автовиявленням. Вставте URL шлюзу, ключ і секрет, натисніть «виявити», і модуль зчитує центр сертифікації та екземпляр із машини і підключає її без нового коду.
Рутинні зміни користувачів виконувала наша команда, на запит.
Згенеровані операторські скрипти для кожного орендаря
Їхні оператори обслуговують себе самі. Ми підтримуємо один шаблон.
Control Center у порталі
Рольовий доступ, і нові шлюзи, які підключаються самі через виявлення.
На кожному кроці клієнт довіряв нам більшу частину збірки, а не меншу.
Кінцевий стан
Розгорнуто в робоче середовище. Коли прибув новий шлюз, він підключився сам через потік виявлення, без написання нового коду для нього. Їхня команда керує щоденним безпечним доступом із меню, кожен майбутній шлюз підключається сам, а ми володіємо інфраструктурою під сподом, поки клієнт кермує.
“Ми експлуатували VPN, передали вашій команді кермо і залишили собі ключі від машинного відділення.”
Прямі відповіді
Чи може моя власна команда керувати користувачами VPN на керованій інфраструктурі?+
Так, і це можна спроєктувати належним чином. У цій збірці оператори клієнта отримали згенеровані інструменти, а потім модуль порталу з рольовим доступом, над шлюзами, які експлуатуємо ми.
Чи будує EuroVPS індивідуальні інструменти для клієнтів?+
Коли проєкт цього вимагає. Цей пройшов шлях від операторських скриптів до робочої функції порталу.
Чи можна керувати OPNsense через його API?+
Так. Кожна операція в цій збірці йшла через OPNsense REST API, а не через консоль, і це наше домашнє правило, бо скриптовані операції відтворювані і піддаються перегляду.
Хто доглядає за інструментами самообслуговування?+
Ми. Самообслуговування переносить рутинні операції на вашу команду, тоді як шлюзи, центри сертифікації і сам модуль залишаються нашою відповідальністю.
Чи безпечне самообслуговування доступу для молодшого персоналу?+
Таким було завдання, дослівно: настільки просто, щоб наймолодший оператор міг ним користуватися, нічого не зламавши. Запобіжники живуть в інструментах (одна команда на завдання, рольовий доступ у порталі), а не в документі з попередженнями, якого ніхто не читає.
Хочете, щоб ваша команда сама виконувала свої операції?
Скажіть нам, які операції ваша команда хотіла б виконувати самостійно. Якщо правильна відповідь є інструментами, ми збудуємо кермо і залишимо собі інфраструктуру під сподом.
Поговоріть з інженеромВи дійшли до кінця.
Застосуйте прочитане на практиці
Що ви запускаєте?
Розкажіть нам про навантаження, трафік і вимоги до відновлення. Почніть з конструктора сервера або обговоріть деталі з інженером.
Написано інженерами, які будують і експлуатують інфраструктуру, про яку йдеться.Поговоріть з інженером