Ми підключили весь персонал агенції до захищеного віддаленого доступу за один вечір.
Агенції потрібно було підключити весь свій персонал, десятки людей, до захищеного віддаленого доступу одразу, кожного з фіксованим статичним IP і full-tunnel виходом. Один вечір, одна партія, кожен обліковий запис запрацював з першої спроби. Метод: спочатку розвідка, потім партія, з перевіркою через зчитування стану назад.
У цій статті 3 розділів
- Цифровій агенції потрібно було підключити весь свій персонал, десятки людей, до захищеного віддаленого доступу одразу: кожного з фіксованим статичним IP (щоб системи далі по ланцюжку їх упізнавали) і з full-tunnel виходом через власну публічну адресу агенції.
- Робити це вручну, по одному кліку в консолі за раз, є місцем, де живуть помилки і втрачений вечір.
- Ми прочитали робочу конфігурацію шлюзу, перш ніж будь-чого торкатися, і вона визначила план.
- Потім один прохід через API: десятки облікових записів, кожен зі своїм статичним IP, кожен запрацював з першої спроби, передані як пакет.
Запит, простими словами: весь персонал, захищений доступ, кожен користувач прикріплений до статичної адреси, full-tunnel, зроблено правильно, за один прохід. Чому один прохід важливий для агенції, просто. Підключення є накладними витратами, а накладні витрати масштабуються з помилками.
Розвідка, перш ніж будь-чого торкатися
Першим кроком була розвідка лише для читання. Ми спочатку прочитали робочу конфігурацію шлюзу, яка показала три речі, які треба врахувати. Ми підтвердили, що в тунельній мережі є місце для всього списку. Full-tunnel уже був увімкнений на боці сервера, тож зміна маршрутизації не була потрібна. А перевизначення статичного IP належить до одного конкретного вузла конфігурації, поруч із ключем зі схожою назвою, який легко з ним сплутати.
“Спочатку прочитайте робочу конфігурацію. Потім будуйте.”
Партія, як runbook
Розвідка, лише для читання.
Перелічіть робочу конфігурацію й оновіть нотатки, щоб вони їй відповідали.
Створення стандартними інструментами.
Кожна ідентичність отримує сертифікат, локальні облікові дані, згенерований клієнтський пакет і пароль із 32 символів, усе через REST API шлюзу. Консоль залишається закритою, таке правило дому.
Закріплення адрес.
Кожному обліковому запису призначається статичний IP з чистого вільного діапазону.
Перевірка зчитуванням назад, потім доказ на одному живому.
Перечитайте таблицю перевизначень після застосування, потім доведіть один пакет живим наскрізно, перш ніж партія піде. Довіряйте стану, а не запису.
Підсумок
ALL
1
1st
1
Те, що зробило це одним проходом, є позицією. Це шлюзи, якими керуємо ми, з уже відомими пастками моделі конфігурації, керовані через API, де кожен крок повторюваний і кожен результат можна перевірити. Люди, які керують шлюзом, є людьми, які його налаштували.
Це не був героїчний одноразовий подвиг. Той самий інструментарій і дисципліна повторюються в наших клієнтів-агенцій, а продуктова версія є окремою історією в статті ми побудували VPN Control Center для власної команди агенції. Шаблон є сильнішим доказом, ніж анекдот.
“Увесь персонал на захищеному доступі за один вечір, і жодному з них не довелося знати, як це працює.”
Прямі відповіді
Як дати віддаленому персоналу фіксовані статичні IP у VPN?+
Резервування адрес на користувача на шлюзі, з чистого нерозподіленого діапазону, застосоване через API і потім перевірене перечитуванням таблиці призначень. Крок перевірки є найважливішою частиною.
Як масово створювати користувачів VPN без помилок?+
Спочатку розвідка (робоча конфігурація, а не wiki), перевірка кожного імені на колізії, і створення через API стандартними інструментами.
Чому моє призначення статичного IP не застосовується?+
На деяких платформах шлюзів перевизначення належить до одного конкретного вузла конфігурації, поруч із ключем зі схожою назвою. Якщо клієнт отримує динамічну адресу, перевірте, який вузол тримає перевизначення.
Full-tunnel чи split-tunnel для VPN персоналу?+
Це розгортання було full-tunnel за вимогою: весь вихід через власну публічну адресу агенції, щоб системи далі по ланцюжку бачили одну ідентичність. Split-tunnel міняє цей контроль на менший зворотний трафік. Це рішення політики, тож ухваліть його до створення, бо воно визначає конфігурацію на боці сервера.
Скільки часу займає підключення цілої команди до VPN?+
Ця збірка зайняла один вечір, створена партією, з тестовим пакетом, доведеним живим до того, як пішла решта.
Підключаєте цілу команду?
Принесіть нам список. Одна чиста партія, жодного клікання в консолі, і пакет для кожної людини, який просто працює.
Поговоріть з інженеромВи дійшли до кінця.
Застосуйте прочитане на практиці
Що ви запускаєте?
Розкажіть нам про навантаження, трафік і вимоги до відновлення. Почніть з конструктора сервера або обговоріть деталі з інженером.
Написано інженерами, які будують і експлуатують інфраструктуру, про яку йдеться.Поговоріть з інженером