Aktiivsete FTD-koha VPN-ide loendamine: millist arvu te mõtlete?

Enne Ansible'i ülesande kirjutamist vastake väiksemale küsimusele: mida loendatakse? Konfigureeritud partner, IKE-seanss, IPsec-turvaassotsiatsioon ja jälgitud tunneli oleku kirje on neli erinevat ühikut ning võtme uuendamine või mitu kaitstud võrku panevad nende summad lahku minema. Kui armatuurlaud ja playbook ei nõustu, loendavad nad tavaliselt erinevaid asju, mitte ei ole üks neist vale.

Neli asja, mida inimesed aktiivseks nimetavad

Konfigureeritud partner on topoloogiaobjekt: see on olemas, sest keegi määratles selle. IKE-seanss on juhtimistasandi suhe, mis võib olla üleval, samal ajal kui liiklust ei voola. IPsec SA on andmetasandi assotsiatsioon kindla valijapaari jaoks ja üks tunnel võib kanda mitut. Jälgitud tunneli olek on platvormi enda operatiivne otsus, mis on tavaliselt kõige lähemal sellele, mida operaator mõtleb, kui ütleb, et tunnel on üleval.

Ainult viimane on operatiivse loenduse mõistlik alus. Esimene on konfiguratsiooni inventuur ja selle aktiivsena raporteerimine on viis, kuidas armatuurlaud näitab rohelist partneri puhul, mis on teisest päevast saati maas. Otsustage, millist ühikut arvu tarbija vajab, ja seejärel nimetage mõõdik selle ühikuga selle enda nimes.

Esimene otsus: milline haldustasand?

Kui seadet haldab FDM, on asjakohane pind FTD REST API. Kui seda haldab FMC, ei ole see API vahetatav asendus ja objektid asuvad FMC enda API taga. Kinnitage seda enne ühegi päringu kirjutamist, sest vale tasand tagastab usutava vea, mis näeb välja nagu õiguste probleem.

Laevastiku puhul otsustab vastus ka selle, kuhu loendus kuulub: seadme kaupa FDM-i kaudu või domeeni kaupa FMC kaudu. Need on erinevad ulatused ja need annavad sama laevastiku jaoks erinevad arvud.

Teine otsus: milline ressurss vastab?

Versiooniga seotud näite jaoks dokumenteerib FMC 7.3 API objektiviide GET-ressursse health-tee all:

/api/fmc_config/v1/domain/{domainUUID}/health/tunnelstatuses
/api/fmc_config/v1/domain/{domainUUID}/health/tunnelsummaries

Tunneli oleku ressurss toetab seadme- ja olekufiltreid, sealhulgas TUNNEL_UP. See annab teile selle versiooni jaoks tõelise operatiivse ressursi kontrollimiseks, mitte oletuse välja nime kohta.

Kinnitage kättesaadavus, õigused, päringu parameetrid ja vastuse skeem juurutatud FMC API Exploreris enne parseri rakendamist. Ühe versiooni dokumentatsioon on alguspunkt, mitte leping selle kohta, mida te käitate.

Kirjutage loendusleping

Sõnastage mõõdik ühe lausega: kordumatud operatiivsed tunnelikirjed ühe kavandatud seadme ja domeeni jaoks, mille teatatud olek on TUNNEL_UP. Seejärel dokumenteerige, kuidas on esindatud liiased seadmed ja mitu kirjet ühe loogilise koha kohta, sest need kaks juhtumit otsustavad, kas teie arv ühtib koosolekul olevaga.

Ärge muutke vaikselt ühikut tunnelikirjest kaugkohaks. Kui äri soovib kohti, vastendage kirjed kohtadega selgesõnaliselt ja avaldage vastendus. Loendus, mis end vaikselt ümber määratleb, on hullem kui loenduse puudumine, sest keegi ei saa öelda, millal see muutus.

Käsitlege kokkuvõtte ressurssi mugavusena alles pärast seda, kui olete kinnitanud, mida see kokku võtab. See võib koondada täpselt selle, mida vajate, või vastata peenelt teistsugusele küsimusele. Lugege selle skeemi üks kord, kirjutage erinevus üles ja kasutage olekurssurssi, kui kokkuvõtet ei saa seletada. Kokkuvõte, millest te aru ei saa, on arv, mida te ülevaatusel kaitsta ei saa.

Jätke töövoogu ebakindlus

Kasutage heakskiidetud HTTPS API-t, valideerige sertifikaat, hoidke tokenid ülesande väljundist eemal ja hankige ulatus versiooni toetatud filtri ja leheküljestamisega. Seejärel valideerige skeem enne millegi arvutamist.

fetch intended domain/device runtime records
validate response, completeness and freshness
deduplicate by the documented tunnel identity
count records matching the approved up-state definition
report count with scope, timestamp and metric unit

See on töövoo pseudokood, mitte testitud playbook. Võtke tegelikud väljanimed paigaldatud API-st, selle asemel et leiutada JSON-võti nimega active.

Oluline reegel on käitumine tõrke korral: autoriseerimisviga, toetamata ressurss, aegunud valim või puudulik lehekülgede kogum peavad andma unknown või error, mitte kunagi edukat nulli. Null, mis tähendab, et ma ei saanud küsida, on kalleim vääratüüp.

Valideerige platvormi enda vaate vastu

Võrrelge esimest tulemust versiooni VPN-seire vaatega sama seadme ja hetke jaoks. Kui need erinevad, tehke kindlaks, millist ühikut kumbki kasutab, enne kui playbooki muudate.

Säilitage iga käivituse kohta mitte-salajane kontekst: ulatus, ajatempel, mõõdiku ühik ja kirjete arv. FMC 7.3 API objektiviide on ülaltoodud ressursiteede allikas ja API Explorer teie enda juurutuses on allikas kõige muu jaoks.