Comptar les VPN de lloc FTD actives: quina xifra vols dir?

Abans d’escriure la tasca d’Ansible, respon una pregunta més petita: què s’està comptant? Un parell configurat, una sessió IKE, una associació de seguretat IPsec i un registre d’estat de túnel monitorat són quatre unitats diferents, i la regeneració de claus o diverses xarxes protegides fan que els seus totals divergeixin. Si el tauler i el playbook no coincideixen, normalment compten coses diferents i no pas que un dels dos estigui malament.

Quatre coses que la gent anomena actives

Un parell configurat és un objecte de topologia: existeix perquè algú l’ha definit. Una sessió IKE és una relació del pla de control que pot estar activa mentre no hi circula trànsit. Una SA IPsec és l’associació del pla de dades per a un parell de selectors concret, i un túnel pot portar-ne diverses. Un estat de túnel monitorat és el veredicte operatiu de la pròpia plataforma, que normalment és el més a prop del que un operador vol dir quan diu que el túnel està aixecat.

Només l’últim és una base raonable per a un recompte operatiu. El primer és un inventari de configuració, i informar-lo com a actiu és com un tauler mostra verd per a un parell que està caigut des de dimarts. Decideix quina unitat necessita el consumidor del número i després etiqueta la mètrica amb aquesta unitat en el seu propi nom.

Decisió primera: quin pla de gestió?

Si el dispositiu el gestiona FDM, la superfície rellevant és l’FTD REST API. Si el gestiona FMC, aquesta API no és un substitut intercanviable i els objectes viuen darrere de l’API pròpia de FMC. Confirma-ho abans d’escriure una sola petició, perquè el pla equivocat retorna un error versemblant que sembla un problema de permisos.

Per a una flota, la resposta també decideix on pertany el recompte: per dispositiu mitjançant FDM, o per domini mitjançant FMC. Són àmbits diferents i produeixen números diferents per a la mateixa flota.

Decisió segona: quin recurs hi respon?

Per a un exemple limitat a la versió, la referència d’objectes de l’FMC 7.3 API documenta recursos GET sota el camí health:

/api/fmc_config/v1/domain/{domainUUID}/health/tunnelstatuses
/api/fmc_config/v1/domain/{domainUUID}/health/tunnelsummaries

El recurs d’estat de túnel admet filtres de dispositiu i d’estat, incloent-hi TUNNEL_UP. Això et dona un recurs operatiu real per inspeccionar en aquesta versió, en lloc d’una suposició sobre el nom d’un camp.

Confirma la disponibilitat, els permisos, els paràmetres de la petició i l’esquema de resposta a l’API Explorer del FMC desplegat abans d’implementar cap analitzador. La documentació d’una versió és un punt de partida, no un contracte per a la que executes.

Escriu el contracte del recompte

Enuncia la mètrica en una frase: registres operatius de túnel únics per a un dispositiu i un domini previstos amb estat declarat TUNNEL_UP. Després documenta com es representen els dispositius redundants i els registres múltiples per a un lloc lògic, perquè aquests dos casos decideixen si el teu número coincideix amb el de la reunió.

No canviïs silenciosament la unitat de registre de túnel a lloc remot. Si el negoci vol llocs, assigna explícitament els registres als llocs i publica la correspondència. Un recompte que es redefineix en silenci és pitjor que cap recompte, perquè ningú no pot dir quan va canviar.

Tracta el recurs de resum com una comoditat només després de confirmar què resumeix. Pot agregar exactament el que necessites, o pot respondre una pregunta subtilment diferent. Llegeix-ne l’esquema un cop, anota la diferència i fes servir el recurs d’estat si el resum no es pot explicar. Un resum que no entens és un número que no pots defensar en una revisió.

Fes que el flux de treball preservi la incertesa

Utilitza l’API HTTPS aprovada, valida el certificat, mantén els tokens fora de la sortida de la tasca i obtén l’àmbit amb el filtre i la paginació que admet la versió. Després valida l’esquema abans de calcular res.

fetch intended domain/device runtime records
validate response, completeness and freshness
deduplicate by the documented tunnel identity
count records matching the approved up-state definition
report count with scope, timestamp and metric unit

Això és pseudocodi de flux de treball, no un playbook provat. Agafa els noms reals dels camps de l’API instal·lada en lloc d’inventar una clau JSON anomenada active.

La regla important és el comportament davant del fracàs: un error d’autorització, un recurs no suportat, una mostra obsoleta o un conjunt de pàgines incomplet han de produir unknown o error, mai un zero reeixit. Un zero que vol dir que no he pogut preguntar és el tipus d’error més car.

Valida contra la visió de la pròpia plataforma

Compara el primer resultat amb la visió de monitoratge de VPN de la versió per al mateix dispositiu i moment. Quan difereixin, esbrina quina unitat fa servir cadascun abans de canviar el playbook.

Conserva context no secret per a cada execució: àmbit, marca de temps, unitat de la mètrica i nombre de registres. La referència d’objectes de l’FMC 7.3 API és la font dels camins de recursos anteriors, i l’API Explorer del teu propi desplegament és la font de tota la resta.