Contar las VPN de sitio FTD activas: ¿qué número quiere decir?

Antes de escribir la tarea de Ansible, responda una pregunta más pequeña: ¿qué se está contando? Un par configurado, una sesión IKE, una asociación de seguridad IPsec y un registro de estado de túnel monitorizado son cuatro unidades distintas, y la regeneración de claves o varias redes protegidas hacen que sus totales diverjan. Si el panel y el playbook no coinciden, normalmente están contando cosas distintas y no que uno de los dos esté mal.

Cuatro cosas que la gente llama activas

Un par configurado es un objeto de topología: existe porque alguien lo definió. Una sesión IKE es una relación del plano de control que puede estar activa mientras no fluye tráfico. Una SA de IPsec es la asociación del plano de datos para un par de selectores concreto, y un túnel puede llevar varias. Un estado de túnel monitorizado es el veredicto operativo de la propia plataforma, que suele ser lo más cercano a lo que un operador quiere decir cuando afirma que el túnel está levantado.

Solo el último es una base razonable para un recuento operativo. El primero es un inventario de configuración, e informarlo como activo es cómo un panel muestra verde para un par que está caído desde el martes. Decida qué unidad necesita el consumidor del número y luego etiquete la métrica con esa unidad en su propio nombre.

Decisión uno: ¿qué plano de gestión?

Si el dispositivo lo gestiona FDM, la superficie relevante es la FTD REST API. Si lo gestiona FMC, esa API no es un sustituto intercambiable y los objetos viven detrás de la API propia de FMC. Confírmelo antes de escribir una sola petición, porque el plano equivocado devuelve un error verosímil que parece un problema de permisos.

Para una flota, la respuesta también decide dónde pertenece el recuento: por dispositivo mediante FDM, o por dominio mediante FMC. Son ámbitos distintos y producen números distintos para la misma flota.

Decisión dos: ¿qué recurso responde?

Para un ejemplo acotado a la versión, la referencia de objetos de la FMC 7.3 API documenta recursos GET bajo la ruta health:

/api/fmc_config/v1/domain/{domainUUID}/health/tunnelstatuses
/api/fmc_config/v1/domain/{domainUUID}/health/tunnelsummaries

El recurso de estado de túnel admite filtros de dispositivo y de estado, incluido TUNNEL_UP. Eso le da un recurso operativo real que inspeccionar para esa versión, en lugar de una suposición sobre el nombre de un campo.

Confirme la disponibilidad, los permisos, los parámetros de la petición y el esquema de respuesta en el API Explorer de la FMC desplegada antes de implementar un analizador. La documentación de una versión es un punto de partida, no un contrato para la que ejecuta.

Escriba el contrato del recuento

Enuncie la métrica en una frase: registros operativos de túnel únicos para un dispositivo y un dominio previstos cuyo estado declarado sea TUNNEL_UP. Después documente cómo se representan los dispositivos redundantes y los registros múltiples para un sitio lógico, porque esos dos casos deciden si su número coincide con el de la reunión.

No cambie en silencio la unidad de registro de túnel a sitio remoto. Si el negocio quiere sitios, asigne explícitamente los registros a los sitios y publique la correspondencia. Un recuento que se redefine en silencio es peor que ningún recuento, porque nadie puede decir cuándo cambió.

Trate el recurso de resumen como una comodidad solo después de confirmar qué resume. Puede agregar exactamente lo que necesita, o puede responder a una pregunta sutilmente distinta. Lea su esquema una vez, anote la diferencia y use el recurso de estado si el resumen no se puede explicar. Un resumen que no entiende es un número que no puede defender en una revisión.

Haga que el flujo de trabajo preserve la incertidumbre

Use la API HTTPS aprobada, valide el certificado, mantenga los tokens fuera de la salida de la tarea y obtenga el ámbito con el filtro y la paginación que admite la versión. Después valide el esquema antes de calcular nada.

fetch intended domain/device runtime records
validate response, completeness and freshness
deduplicate by the documented tunnel identity
count records matching the approved up-state definition
report count with scope, timestamp and metric unit

Eso es pseudocódigo de flujo de trabajo, no un playbook probado. Tome los nombres de campo reales de la API instalada en lugar de inventar una clave JSON llamada active.

La regla importante es el comportamiento ante fallos: un error de autorización, un recurso no admitido, una muestra obsoleta o un conjunto de páginas incompleto deben producir unknown o error, nunca un cero exitoso. Un cero que significa que no pude preguntar es el tipo de error más caro.

Valide contra la propia vista de la plataforma

Compare el primer resultado con la vista de monitorización de VPN de la versión para el mismo dispositivo y momento. Cuando difieran, averigüe qué unidad usa cada uno antes de cambiar el playbook.

Conserve contexto no secreto para cada ejecución: ámbito, marca de tiempo, unidad de la métrica y número de registros. La referencia de objetos de la FMC 7.3 API es la fuente de las rutas de recursos anteriores, y el API Explorer de su propio despliegue es la fuente de todo lo demás.