アウトソーシングから開発まで（後編）

В 前の記事, Veliamの誕生の背景と、SaaS方式での配信を決定した経緯についてお話しました。この記事では、プロダクトをローカルではなくパブリックにするために何をしなければならなかったのかについて話します。配布が始まった経緯と、遭遇した問題について。

計画

ユーザー向けの現在のサーバー側は Linuxほぼすべての組織が Windows サーバーについては、 LinuxVeliamの最大の強みは、NATの背後にあるサーバーやネットワーク機器へのリモート接続です。しかし、この機能はルーターがMikrotik製である必要があるという制約に厳密に縛られていました。これでは多くのユーザーのニーズを満たせないことは明らかでした。当初は、最も人気のあるベンダーのルーターをサポートすることを検討しましたが、サポート対象企業を拡大し続けるのは終わりのない競争になることに気づきました。さらに、既にサポートされているルーターであっても、モデルによってNATルールを変更するためのコマンドが異なる場合があることも分かりました。VPNが唯一の解決策のように思えました。

製品を配布することにしたものの、オープンソースとして配布しないことにしたため、GPLのようなオープンライセンスの様々なライブラリを含めることができませんでした。これは全く別の問題です。製品を販売することに決めた後、ライブラリの半分がGPLだったため、それらを再設計する必要がありました。自分たちで開発していた時は問題ありませんでしたが、配布には適していません。最初に思い浮かぶVPNは… OpenVPNしかし、それは GPL です。別の選択肢は、日本の SoftEther VPN を使用することでした。そのライセンスでは、製品に含めることができました。ユーザーが設定したり SoftEther VPN について何も知らなくても済むように統合する方法について、数日間さまざまなテストを行った後、プロトタイプを作成しました。すべてが期待どおりに動作しました。しかし、何らかの理由で、このスキームはまだ私たちを悩ませ、最終的にそれを放棄しました。当然、別のオプションを思いついた後にそれを放棄しました。最終的に、すべては通常の TCP 接続を使用して行われました。一部の接続はコーディネーターを介して動作し、その他は Free Pascal にも実装されている Nat Hole Punching (NHP) テクノロジーを使用して直接動作します。正直に言うと、NHP についてはこれまで聞いたこともありませんでした。そして、両方とも NAT の背後にある 2 つのネットワーク デバイスを直接接続できるとは思いもよりませんでした。私はそのトピックを研究し、原理を理解し、執筆に取り掛かりました。このアイデアは既に実現されています。ユーザーは、パスワードを入力したりVPNを設定したりすることなく、RDP、SSH、またはWinboxを介して、NATの背後にある目的のデバイスにワンクリックで接続できます。さらに、これらの接続のほとんどは当社のコーディネーターをバイパスするため、ping値と接続処理コストに好影響を与えます。

サーバー部分の翻訳 Linux на Windows

移行に関する問題 Windows 理由はいくつかあります。まず、Windowsに組み込まれているwmicではWQLクエリが使えません。しかも、私たちのシステムは既にWQLクエリを前提として構築されていました。他にもいくつか理由がありましたが、最終的に断念した理由は忘れてしまいました。バージョンによって違いがあるのか​​もしれません。 Windowsそして2つ目の問題はマルチスレッド処理です。適切なライセンスで使えるサードパーティ製のユーティリティが見つからなかったので、再びLazarus IDEを起動して必要なユーティリティを自作しました。入力として必要なオブジェクトリストと実行すべき具体的なクエリを受け取り、応答としてデータを受け取ります。しかも、すべてマルチスレッドモードで動作します。素晴らしい。

PHP用のpthreadsを設定した後 Windows すべてうまくいくと思っていたのですが、そうではありませんでした。デバッグの結果、pthreads は動作しているように見えましたが、私たちのシステムでは動作しないことがわかりました。pthreads には何らかの特殊性があることが明らかになりました。 Windowsそういうことだったんです。ドキュメントを読んだら、 Windows スレッド数は制限されており、私の記憶では暗黙的でした。これが問題になりました。アプリケーションの実行スレッド数を減らし始めると、非常に遅くなったからです。IDEを再度開くと、同じユーティリティがマルチスレッドオブジェクトping機能で更新されていました。ポートスキャンも追加されました。その後、PHP用のpthreadsの必要性がなくなり、使用されなくなりました。このユーティリティにはその後さらにいくつかの機能が追加され、現在でも動作しています。その後、インストーラーがコンパイルされました。 Windowsこれには、Apache、PHP、MariaDB、PHPアプリケーション自体、およびシステムとやり取りするためのユーティリティ一式が含まれており、すべてFree Pascalで記述されています。インストーラーに関しては、ほぼすべてのソフトウェアにとって非常に一般的で必要なことなので、この問題はすぐに解決できると思っていました。私が正しい場所を探していなかったのか、あるいは全く別の何かがあったのかはわかりませんが、柔軟性が不十分な製品や、高価で柔軟性のない製品に何度も遭遇しました。最終的に、あらゆるニーズに対応できる無料のインストーラー、InnoSetupを見つけました。私がここでそれを書いているのは、探すのに苦労したからです。もしかしたら誰かの時間の節約になるかもしれません。

クライアントを優先してプラグインを拒否する

先ほど、クライアント側は「プラグイン」を備えたブラウザだと書きました。そのため、Chrome がアップデートされてレイアウトが少しぎこちなくなることがありました。 Windows アップデートすると、カスタムURスキームは消えてしまいます。製品の公開バージョンでこのような予期せぬ事態が発生するのは本当に避けたかったのです。しかも、カスタムURスキームはアップデートのたびに消えてしまうようになっていました。 WindowsMicrosoft は、該当セクションの Microsoft 以外のブランチをすべて削除しました。Google Chrome も、カスタム URL からアプリケーションを開くという選択を記憶しなくなり、監視対象オブジェクトをクリックするたびにこの質問をします。最後に、ユーザーのローカル システムとの適切なやり取りが必要でしたが、ブラウザではそれが提供されていません。このシナリオで最も簡単なオプションは、現在多くの人が Electron で行っているように、独自のブラウザを作成することのようです。しかし、サーバー側を含め、多くのものがすでに Free Pascal で書かれていたため、寄せ集めを作るのではなく、同じ言語でクライアントを作成することにしました。こうして、Chromium を搭載したクライアントが書かれました。その後、さまざまなバインディングを取得していきました。

リリース

最後にシステムの名前を決めました。ローカル バージョンから SaaS への変換プロセスが進行中、私たちは常にさまざまなオプションを検討しました。当初は国内市場だけでなく参入することを計画していたので、名前を選択する主な基準は、「.com」ゾーンに空いているドメイン、またはそれほど高価ではないドメインが存在するかどうかでした。一部の機能/モジュールはまだローカル バージョンから Veliam に移植されていませんが、現在の機能でリリースし、残りはアップデートとして完成させることにしました。最初のバージョンにはヘルプデスクや Veliam Connector がなく、通知トリガーなどのしきい値を変更することもできませんでした。コード署名証明書を購入し、クライアント部分とサーバー部分に署名しました。製品のWebサイトを作成し、ソフトウェアや商標などの登録手続きを開始しました。一般的には、開始する準備ができています。完了した作業と、おそらく誰かがあなたの製品を使用するという事実からの軽い幸福感でしたが、これについては何の疑いもありませんでした。そして、停止します。パートナーは、メッセンジャーによる通知なしに市場に参入することは不可能であると述べた。他に多くのものがなくても可能ですが、これがなければ不可能です。いくつかの議論の結果、Telegram との統合が追加されました。これは私たちに適していました。現在のすべてのインスタント メッセンジャーの中で、複雑な承認手続きなしで API へのアクセスを無料で提供しているのはこれだけです。同じ WhatsApp は、サービスの使用に高額な料金を請求するプロバイダーに連絡することを提案していますが、ガスケットなしでアクセスを求める手紙はすべて無視されました。そうですね、Viber... 今誰が使っているのか分かりません。スパムや広告は常軌を逸しています。一連の社内テストと友人間でのテストを経て、12 月末に全員の登録が開始され、ソフトウェアがダウンロードできるようになりました。

配信開始

私たちは最初から、戦闘モードで製品をテストし、最初のフィードバックを提供できるように、システム ユーザーの少数のフローが必要であることを理解していました。 VK で購入したいくつかの投稿が実を結びました。最初の登録が到着しました。

ここで、あなたの会社が有名な名前を持っていないときに市場に参入し、同時にサーバーやワークステーションからアカウントを入力する必要があるエージェントレス監視機能を提供することは非常に困難であると言わなければなりません。これは多くの人を怖がらせます。私たちはこれには問題があることを最初から理解しており、技術的にも精神的にも準備ができていました。 RDP と SSH はデフォルトですでに暗号化されていますが、すべてのリモート接続は、AES 標準を使用して当社のソフトウェアによってさらに暗号化されます。ローカル サーバーからのすべてのデータは、HTTPS 経由でクラウドに転送されます。アカウントは暗号化された形式で保存されます。すべてのサブシステムの暗号化キーは、すべてのクライアントに対して個別です。リモート接続の場合は、通常、セッション暗号化キーが使用されます。

この状況で人々を落ち着かせるために私たちにできることは、できるだけオープンであり、安全に努め、人々の質問に飽きずに答えることだけです。

多くの人にとって、ソフトウェアの利便性と機能性が恐怖を上回り、登録します。 VK で公開された投稿で、このソフトウェアは使用できないと書いた人もいます。これは彼らのパスワードを集めたもので、一般的には無名企業です。複数の人がこのような意見を持っていたと言わざるを得ません。多くの人は、サービスとして実行されるサーバーに他のプロプライエタリなソフトウェアをインストールする場合、そのソフトウェアもシステム内で完全な権限を持ち、違法なことを行うためにアカウントを必要としないことを理解していません (明らかに、サービスを起動したユーザーですが、ここでも任意のアカウントを入力できます)。実際、人々の恐怖は理解できます。サーバーにソフトウェアをインストールするのは一般的なことですが、アカウントの入力は少し怖く、親密な作業です。なぜなら、大多数の人がすべてのサービスで同じパスワードを使用しており、テストのためであっても別のアカウントを作成するのは面倒だからです。しかし現時点では、人々が自分の資格情報などを信頼するサービスが膨大に存在します。そして私たちもその一員になれるよう努力しています。

どこかで盗んだというコメントがたくさんありました。これには少し驚きました。まあ、それは一人の意見ですが、そのようなコメントはさまざまな人々のさまざまな出版物で見つかりました。最初、彼らはこれにどう反応すればよいのかわかりませんでした。ロシアでは誰も自分では何もできず、盗むことしかできないという意見を持っている人がいることを悲しむか、それともこれは盗むことしかできないと考えていることを喜ぶか。

これでEVコードサイン証明書の取得手続きが完了しました。これを取得するには、一連の検査を通過し、会社に関する大量の書類を送信する必要があり、その一部は弁護士の証明が必要です。パンデミック時の EV コード署名証明書の取得については、記事の別のトピックとして取り上げます。手続きには1ヶ月かかりました。そして、それは1か月も待たされたのではなく、追加の書類の要求が絶え間なく続きました。おそらくパンデミックとは何の関係もなく、手続きに全員にとって非常に時間がかかったのでしょうか？共有。

FSTEC証明書がないから使わないという人もいます。この証明書を取得するには、暗号化が GOST に従っている必要があり、ソフトウェアをロシアだけでなく配布し、AES を使用する予定であるため、取得できないことと取得しないことを説明する必要があります。

これらすべてのコメントは、アカウントの入力を必要とする製品を公に知られることなく宣伝できるのではないかという疑問を投げかけています。これに対して非常に否定的な態度を取る人がいることはわかっていましたが。登録数が1000件を超えたあたりから考えるのをやめました。特にその後、製品を試したことのない人々の否定的な意見に加えて、非常に楽しいレビューが表示され始めました。これらの肯定的なレビューが製品開発の最大の動機であると言わざるを得ません。

従業員向けのリモート アクセス機能の追加

クライアントから最もよく寄せられる要望の一つは、「イヴァンが自宅から自分のコンピューターにアクセスできるようにしてほしい」というものです。そこで、MikrotikにVPNを設定し、ユーザーアカウントを作成しました。しかし、これは大きな問題です。ユーザーは指示に従えず、VPN経由で接続するための手順を一つ一つ実行できません。 WindowsあるWindows環境では問題なく接続できるのに、別の環境では異なるプロトコルが必要になる。そして、これは通常、VPNサーバーとして機能するネットワーク機器の再構成を必要とし、すべての従業員がそれにアクセスできるわけではなかったため、不便だった。

しかし、私たちはすでにサーバーやネットワーク機器へのリモート接続を行っています。既製のトランスポートを使用して、接続するためにユーザーに提供するだけの小さなユーティリティを別個に作成してみてはいかがでしょうか。ユーザーがそこに難解なことを何も入力していないことを確認したかっただけです。ボタンひとつで「接続」。しかし、ボタンが 2 つしかない場合、このユーティリティは接続先をどのように理解するのでしょうか?必要なアプリケーションをオンラインのサーバー上に構築するというアイデアがありました。システム管理者が「ショートカットのダウンロード」ボタンをクリックすると、RDP 経由で目的のサーバー/コンピューターに接続するためのハードワイヤード情報を含む個別のバイナリを構築するコマンドがクラウドに送信されます。一般に、これは実行できます。ただし、これには長い時間がかかります。管理者は、バイナリがコンパイルされてからダウンロードされるまで待機する必要があります。もちろん、構成に XNUMX 番目のファイルを単純に追加することも可能ですが、これはすでに XNUMX つのファイルであるため、わかりやすくするためにユーザーは XNUMX つのファイルを必要とします。 XNUMX つのファイル、XNUMX つのボタン、インストーラーはありません。 Googleで少し読んだ結果、コンパイルされた「.exe」の最後に何らかの情報を追加すれば、（まあ、ほとんど）劣化しないという結論に達しました。少なくともそこに戦争と平和を追加すれば、以前と同じように機能します。これを利用しないのは罪です。これで、外出先でもクライアント自体でアプリケーション (Veliam Connector と呼ばれます) を解凍し、接続に必要な情報をその末尾に追加するだけで済みます。そして、アプリケーション自体がそれをどう処理するかを知っています。なぜもう少し上の括弧内に「ほぼ」と書いたのでしょうか？アプリケーションのデジタル署名が失われるという点で、この利便性に対して料金を支払わなければならないからです。しかし、現段階では、このような利便性の代償としてこれは小さなものであると考えています。

サードパーティモジュールのライセンス

私自身の使用だけでなく、製品を一般公開することが決定した後、私たちは製品に含めることができなかったいくつかのモジュールの代替品を懸命に探しなければならなかったと、上ですでに書きました。しかし、リリース後、非常に不快なことが偶然発見されました。クライアント側にある Veliam Server には、MariaDB DBMS が含まれていました。そしてGPLライセンスを受けています。 GPL ライセンスは、ソフトウェアがオープンソースである必要があることを意味しており、当社の製品にこのライセンスを持つ MariaDB が含まれている場合、当社の製品はこのライセンスの下にある必要があります。しかし幸いなことに、このライセンスの目的はオープンソースであり、法廷で誤って間違いを犯した人を罰するものではありません。著作権者が申し立てを行った場合、違反者に書面で通知し、30 日以内に違反を排除しなければなりません。私たちは自分たちの間違いに自分たちで気づきましたが、何の手紙も受け取らず、すぐに問題を解決する方法についての選択肢を検討し始めました。解決策は明白で、SQLite に切り替えることです。このデータベースにはライセンス制限はありません。最新のブラウザのほとんどは SQLite やその他の多くのプログラムを使用しています。 SQLite がブラウザのおかげで、世界で最も普及している DBMS であると考えられているという情報をインターネットで見つけましたが、証拠を探していなかったので、これは不正確な情報です。私は SQLite に切り替えることの危険性について研究し始めました。

クライアントに MariaDB とそのデータがインストールされた数百のサーバーがある場合、これは簡単なタスクではなくなります。 MariaDB の一部の機能は SQLite では使用できません。たとえば、コードでは次のようなクエリを使用しました。

Select * FROM `table` WHERE `id`>1000 FOR UPDATE

この構造では、テーブルから選択を行うだけでなく、行データもロックされます。さらにいくつかのデザインも書き直す必要がありました。しかし、多くのクエリを書き直す必要があるという事実に加えて、クライアントの Veliam Server を更新するときにすべてのデータを新しい DBMS に移植し、古い DBMS を削除するメカニズムを考え出す必要もありました。また、SQLite でのトランザクションも機能せず、これは大きな問題でした。しかし、World Wide Web の広大さを読んだ後、接続時に簡単なコマンドを渡すだけで SQLite のトランザクションを問題なく有効にできることがわかりました。

PRAGMA journal_mode=WAL;

その結果、タスクは完了し、クライアントのサーバー部分が SQLite 上で実行されるようになりました。システムの動作に変化は見られませんでした。

新しいヘルプデスク

ヘルプデスク システムを社内バージョンから SaaS バージョンに移植する必要がありましたが、いくつかの変更が必要でした。私が最初にやりたかったのは、システム内の透過的なユーザー認証の観点からクライアントのドメインと統合することでした。ここで、ヘルプデスクにログインしてシステムにリクエストを残すには、ユーザーはデスクトップ上のショートカットをクリックするだけでブラウザが開きます。ユーザーは資格情報を入力しません。 Veliam Server の一部である Apache SSPI のモジュールは、ドメイン アカウントでユーザーを自動的に認証します。ユーザーが企業ネットワークの外にいるときにシステムにリクエストを残すには、ボタンをクリックすると、電子メールにリンクが受信され、パスワードなしでヘルプデスク システムにログインできます。ドメイン内でユーザーが無効になったり削除されたりすると、ヘルプデスク アカウントも機能しなくなります。したがって、システム管理者はドメインとヘルプデスク自身の両方のアカウントを監視する必要がありません。従業員が辞める - ドメイン内のアカウントを切断すると、それだけです。企業ネットワークやリンク経由ではなく、システムにログインすることはありません。この統合が機能するには、システム管理者は 1 つの GPO を作成する必要があります。 内部サイトをイントラネット ゾーンに追加します и デスクトップ上のすべてのユーザーにショートカットを配布します.

私たちがヘルプデスク システムにとって非常に必要であると考える 2 番目のことは、少なくとも私たちにとっては、ワンクリックでアプリケーションから申請者に直接接続できることです。さらに、システム管理者が別のネットワーク上にいる場合は、接続を通過する必要があります。アウトソーシングの場合、これは必須であり、フルタイムのシステム管理者の場合も非常に必要となることがよくあります。リモート接続に優れた機能を備えた製品がすでにいくつかあります。そして私たちはそれらを統合することにしました。現在、VNC 用に統合されており、将来的には Radmin と TeamViewer を追加する予定です。リモート インフラストラクチャ接続にネットワーク トランスポートを使用して、VNC を NAT の背後でリモート ワークステーションに接続できるようにしました。ラドミンでも同じことが起こります。ユーザーに接続するには、アプリケーション自体の「申請者に接続」ボタンをクリックするだけです。同じネットワーク上にいるか、自宅でスリッパを履いて座っているかに関係なく、VNC クライアントが開き、申請者に接続します。まず、システム管理者は GPO を使用して、全員のワークステーションに VNC サーバーをインストールする必要があります。

現在、私たち自身も新しいヘルプデスクに切り替え、ドメインと VNC との統合を使用しています。これは私たちにとってとても便利です。これで、サポート サービスを実行するために 3 年以上使用してきた TeamViewer の料金を支払う必要がなくなります。

次に何をする予定ですか?

製品リリース時には有料料金は設定せず、無料料金を監視対象50件に限定した。 XNUMX 台のネットワーク デバイスとサーバーがあれば、誰にとっても十分であると私たちは考えました。そして、制限を引き上げたいという要望が届き始めました。私たちは少しショックを受けたと言うのは何も言うことはありません。これほど多くのサーバーを持っている企業は、本当に当社のソフトウェアに興味を持っているのでしょうか?ご要望をいただいた方には無料で制限を延長させていただきました。彼らの要望に応えて、なぜそんなにたくさんのサーバーやネットワーク機器が必要なのか、本当にたくさんのサーバーやネットワーク機器があるのか​​、という質問をしてみました。そして、システム管理者が私たちがまったく計画していなかった方法でシステムを使い始めたことが判明しました。すべてが単純であることが判明しました - 私たちのソフトウェアはサーバーだけでなくワークステーションも監視し始めました。そのため、制限を拡大してほしいという要望が多く寄せられています。現在、すでに有料料金を導入しており、制限を独自に拡大することができます。

サーバーはほとんどの場合、ストレージ システムまたは RAID アレイ内のローカル ディスクのいずれかを操作します。そして最初は彼らのために製品を作りました。そして、SMART モニタリングはこのタスクには興味がありませんでした。しかし、人々がワークステーションを監視するためにソフトウェアを適応させてきたという事実を考慮すると、SMART 監視の実装に対する要望が現れています。すぐに実装します。

Veliam Connectorの登場により、企業ネットワーク上にVPNサーバーをデプロイしたり、RDGWを作成したり、RDP接続に必要なマシンにポートを転送したりする必要はなくなりました。多くのユーザーが、これらのリモート接続のためだけに当社のシステムを使用しています。Veliam Connectorは以下の環境でのみ利用可能です。 Windowsまた、一部の企業ユーザーは、自宅のMacOS搭載ノートパソコンから社内ネットワーク上のワークステーションや端末に接続しています。そのため、システム管理者は複数のユーザーに対応するため、転送やVPNの設定について再検討する必要が生じています。そこで、現在Veliam ConnectorのMacOS版の開発を最終段階まで進めています。お気に入りのAppleデバイスを使用しているユーザーも、ワンクリックで社内インフラに接続できるようになります。

多数のシステム ユーザーがいると、人々が何を必要としているのか、何がより便利になるのかについて頭を悩ませる必要がないという事実がとても気に入っています。彼ら自身が希望を書いているので、近い将来の開発計画もたくさんあります。

並行してシステムの英語化や海外展開も計画中です。製品を国外にどのように流通させるかはまだわかりませんが、選択肢を探しています。おそらくこれについては後で別の記事が作成されるでしょう。おそらく、この記事を読んだ誰かが必要なベクトルを提案できるか、彼自身がその方法を知っており、サービスを提供するでしょう。よろしくお願いいたします。

出所： habr.com