Kalkuli aktivajn FTD-ejajn VPN-ojn: kiun nombron vi celas?

Antaŭ ol skribi la Ansible-taskon, respondu pli malgrandan demandon: kio estas kalkulata? Agordita samrangulo, IKE-kunsido, IPsec-sekureca asocio kaj rikordo de observata tunela stato estas kvar malsamaj unuoj, kaj reŝlosado aŭ pluraj protektitaj retoj igas iliajn sumojn malkongrui. Se la panelo kaj la playbook malkonsentas, ili kutime kalkulas malsamajn aferojn, ne ke unu el ili malpravas.

Kvar aferoj, kiujn homoj nomas aktivaj

Agordita samrangulo estas topologia objekto: ĝi ekzistas ĉar iu difinis ĝin. IKE-kunsido estas rilato de la rega ebeno, kiu povas esti supre dum neniun trafikon fluas. IPsec-SA estas la asocio de la data ebeno por difinita paro de selektiloj, kaj unu tunelo povas porti plurajn. Observata tunela stato estas la propra operacia verdikto de la platformo, kiu kutime estas la plej proksima al tio, kion operatoro celas per tio, ke la tunelo estas supre.

Nur la lasta estas racia bazo por operacia kalkulo. La unua estas agorda inventaro, kaj raporti ĝin kiel aktiva estas kiel panelo montras verdan por samrangulo, kiu estas sube ekde mardo. Decidu, kiun unuon la konsumanto de la nombro bezonas, poste nomu la metrikon per tiu unuo en ĝia propra nomo.

Unua decido: kiu administra ebeno?

Se la aparaton administras FDM, la koncerna surfaco estas la FTD REST API. Se ĝin administras FMC, tiu API ne estas interŝanĝebla anstataŭaĵo, kaj la objektoj loĝas malantaŭ la propra API de FMC. Konfirmu tion antaŭ ol skribi eĉ unu peton, ĉar la malĝusta ebeno redonas kredindan eraron, kiu aspektas kiel permesa problemo.

Por floto la respondo ankaŭ decidas, kie la kalkulo apartenas: po aparato per FDM, aŭ po domajno per FMC. Tiuj estas malsamaj ampleksoj kaj ili produktas malsamajn nombrojn por la sama floto.

Dua decido: kiu rimedo respondas?

Por ekzemplo limigita al versio, la objektreferenco de FMC 7.3 API dokumentas GET-rimedojn sub la vojo health:

/api/fmc_config/v1/domain/{domainUUID}/health/tunnelstatuses
/api/fmc_config/v1/domain/{domainUUID}/health/tunnelsummaries

La rimedo pri tunela stato subtenas filtrilojn de aparato kaj stato, inkluzive de TUNNEL_UP. Tio donas al vi realan operacian rimedon por inspekti por tiu versio, anstataŭ konjekto pri kampa nomo.

Konfirmu haveblecon, permesojn, petparametrojn kaj la respondan skemon en la API Explorer de la instalita FMC antaŭ ol implementi analizilon. Dokumentaro por unu versio estas komenca punkto, ne kontrakto por tiu, kiun vi funkciigas.

Skribu la kalkulan kontrakton

Esprimu la metrikon per unu frazo: unikaj operaciaj tunelaj rikordoj por unu celata aparato kaj domajno, kies raportita stato estas TUNNEL_UP. Poste dokumentu, kiel estas reprezentataj redundantaj aparatoj kaj pluraj rikordoj por unu logika ejo, ĉar tiuj du kazoj decidas, ĉu via nombro kongruas kun tiu en la kunveno.

Ne ŝanĝu silente la unuon de tunela rikordo al fora ejo. Se la komerco volas ejojn, eksplicite mapu rikordojn al ejoj kaj publikigu la mapadon. Kalkulo, kiu silente redifinas sin, estas pli malbona ol nenia kalkulo, ĉar neniu povas diri, kiam ĝi ŝanĝiĝis.

Traktu la resuman rimedon kiel oportunon nur post kiam vi konfirmis, kion ĝi resumas. Ĝi povas agregi ĝuste tion, kion vi bezonas, aŭ respondi al subtile malsama demando. Legu ĝian skemon unufoje, notu la diferencon, kaj uzu la statusan rimedon, se la resumo ne estas klarigebla. Resumo, kiun vi ne komprenas, estas nombro, kiun vi ne povas defendi en revizio.

Lasu la laborfluon konservi necerton

Uzu la aprobitan HTTPS API, validigu la atestilon, tenu ĵetonojn ekster la taska eligo, kaj akiru la amplekson per la filtrilo kaj paĝigo subtenataj de la versio. Poste validigu la skemon antaŭ ol kalkuli ion ajn.

fetch intended domain/device runtime records
validate response, completeness and freshness
deduplicate by the documented tunnel identity
count records matching the approved up-state definition
report count with scope, timestamp and metric unit

Tio estas pseŭdokodo de laborfluo, ne testita playbook. Prenu la faktajn kampajn nomojn el la instalita API anstataŭ inventi JSON-ŝlosilon nomatan active.

La grava regulo estas konduto ĉe malsukceso: aŭtoriga eraro, nesubtenata rimedo, kaduka specimeno aŭ nekompleta paĝaro devas produkti unknown aŭ error, neniam sukcesan nulon. Nulo, kiu signifas, ke mi ne povis demandi, estas la plej multekosta speco de malpravo.

Validigu kontraŭ la propra vidmaniero de la platformo

Komparu la unuan rezulton kun la VPN-monitora vidmaniero de la versio por la sama aparato kaj momento. Kiam ili diferencas, eltrovu, kiun unuon ĉiu uzas, antaŭ ol ŝanĝi la playbook.

Konservu ne-sekretan kuntekston por ĉiu rulo: amplekso, tempindiko, metrika unuo kaj nombro de rikordoj. La objektreferenco de FMC 7.3 API estas la fonto por la rimedaj vojoj supre, kaj la API Explorer en via propra disfaldiĝo estas la fonto por ĉio alia.