Evensoft Blog

          小团队开发测试环境怎么解决 - V2EX

[

](/ "way to explore")

首页 fangxu36 记事本 Planet 设置登出

| [

](/member/fangxu36) | |

[

](/settings/night/toggle?once=18474)

fangxu36

| [6

节点收藏](/my/nodes) | [248

主题收藏](/my/topics) | [0

特别关注](/my/following) |

0 未读提醒

[59

49 ](/balance)

[

](/help/currency)

| [

](/write) | | 创作新主题 |

• 请不要在回答技术问题时复制粘贴 AI 生成的内容

[

](/member/guoguobaba)

V2EX › 程序员

= 小团队开发测试环境怎么解决

guoguobaba · 61 天前(2025-07-24) · 6705 次点击

这是一个创建于 61 天前的主题，其中的信息可能已经有所发展或是发生改变。

小团队，没有专门的 it 人员，分散在各地，测试环境，生产环境都有。生产环境还好，测试环境，各地的开发人员习惯直接把测试数据库端口映射到公网，然后自己对接上去，还有些 ssh 能登录的环境，也都是 root 登录，总之挺混乱的。

现在主要是某些人离职后，想禁止他在访问测试环境，就得把所有密码再改一遍。ssh 这块还好说，基本上都是删除公钥的防止禁止他再访问。但是数据库每次改密码就很麻烦。

有什么好的解决方案吗？

第 1 条附言 · 61 天前

这里有几个问题，说一下：

1 、硬件环境有云服务器和私有的物理服务器，因为用的是共享办公环境，所以私有的物理服务器通过 frpc/frps 在云服务器上暴露端口；云服务器主要担当跳板环境。

2 、软件环境包括 ssh 服务，数据库服务，以及应用服务器，应用服务器主要是些 java 应用，也是可以公网访问的，通过 frpc+k8s+ingress ，使用不同的域名访问不同的应用。测试用户的账号密码我看了一下，很简单，这个也准备收归到内网，然后使用权限管控。

第 2 条附言 · 58 天前

1. 目前的方案，设置一个跳板机，自动从 gitlab 同步用户的 key ，只有添加到 dev 组的用户才可以使用跳板机 ssh 登录，然后访问内部的数据库。

2 、测试的应用系统还没有改造，准备使用 wireguard ，同样，自动从 gitlab 同步用户的 key ，等 wireguard 连接后，手动设置域名访问测试的应用系统。

第 3 条附言 · 39 天前

目前的方案：

网络访问控制（WireGuard VPN）

构建 WireGuard Server，作为统一的内网访问入口。
所有开发人员设备必须配置 WireGuard Client 才能访问测试与内部资源。
WireGuard 配置：
- 私网 IP 段：10.99.0.0/16
- 仅 VPN 内可访问数据库、SSH、应用测试环境。
- 在 WireGuard 服务器上设置 iptables/nftables，限制 VPN 客户端可访问的内网服务范围（最小权限原则）。

GitLab 集成自动化管理

在 GitLab 创建 dev 组。
每个成员建立仓库 <user>/<user>-key，其中存放 wg-key 文件（WireGuard Private Key）。

每人可维护多个 key（最多 5 个），支持多设备。
WireGuard 服务器运行定时任务：
- 定时（如每 5 分钟）调用 GitLab API 拉取 dev 组成员的 key 文件。
- 计算对应的 Public Key。
- 更新 /etc/wireguard/wg0.conf 并自动 wg sync。
禁用成员时：
- GitLab 中移除该成员 → 自动脚本检测不到 key → 从 wg0.conf 删除 → 立即断开连接。

Web 自助服务平台

提供一个基于 FastAPI 的管理页面：
1. 生成 Private Key（调用 wg genkey）。
2. 生成 Public Key（echo <private_key> | wg pubkey）。
3. 提供客户端 wg0.conf 下载（内含服务器公钥、Endpoint、AllowedIPs、DNS 配置）。

用户流程：

内网 DNS 管理（dnsmasq）

WireGuard Server 安装 dnsmasq，维护内网常用服务解析。
/etc/dnsmasq.hosts.d/custom_hosts：

10.99.1.10   db.test.local
10.99.1.11   app1.test.local
10.99.1.12   git.test.local

WireGuard 配置中推送 DNS = 10.99.0.1，确保 VPN 内域名解析正确。

6705 次点击 ∙ 40 人收藏 ∙ 1 人感谢

取消收藏 Tweet 忽略主题

感谢

只看楼主

[

小团队](/tag/小团队)[

测试环境](/tag/测试环境)[

权限管理](/tag/权限管理)

51 条回复 • 2025-07-26 18:40:34 +08:00

| |

网络访问控制（WireGuard VPN） ​

GitLab 集成自动化管理 ​

Web 自助服务平台 ​

内网 DNS 管理（dnsmasq） ​

网络访问控制（WireGuard VPN）

GitLab 集成自动化管理

Web 自助服务平台

内网 DNS 管理（dnsmasq）