Aktiivisten FTD-sivuston VPN-yhteyksien laskenta: mitä lukua tarkoitat?

Ennen kuin kirjoitat Ansible-tehtävän, vastaa pienempään kysymykseen: mitä lasketaan? Määritetty vertainen, IKE-istunto, IPsec-suojausassosiaatio ja valvotun tunnelin tilatietue ovat neljä eri yksikköä, ja avainten uusinta tai useat suojatut verkot saavat niiden summat poikkeamaan toisistaan. Jos kojelauta ja playbook ovat eri mieltä, ne yleensä laskevat eri asioita eivätkä niin, että toinen olisi väärässä.

Neljä asiaa, joita ihmiset kutsuvat aktiivisiksi

Määritetty vertainen on topologiaobjekti: se on olemassa, koska joku määritteli sen. IKE-istunto on ohjaustason suhde, joka voi olla pystyssä, vaikka liikennettä ei kulje. IPsec-SA on datatason assosiaatio tietylle valitsinparille, ja yksi tunneli voi kuljettaa useita. Valvottu tunnelin tila on alustan oma operatiivinen päätelmä, joka on yleensä lähimpänä sitä, mitä operaattori tarkoittaa sanoessaan, että tunneli on pystyssä.

Vain viimeinen on järkevä perusta operatiiviselle laskennalle. Ensimmäinen on kokoonpanoluettelo, ja sen raportoiminen aktiivisena on tapa, jolla kojelauta näyttää vihreää vertaiselle, joka on ollut alhaalla tiistaista lähtien. Päätä, mitä yksikköä luvun kuluttaja tarvitsee, ja nimeä sitten mittari kyseisellä yksiköllä sen omassa nimessä.

Päätös yksi: mikä hallintataso?

Jos laitetta hallitaan FDM:llä, merkityksellinen pinta on FTD REST API. Jos sitä hallitaan FMC:llä, kyseinen API ei ole vaihdettava korvike, ja objektit ovat FMC:n oman API:n takana. Vahvista tämä ennen kuin kirjoitat yhtäkään pyyntöä, koska väärä taso palauttaa uskottavan virheen, joka näyttää käyttöoikeusongelmalta.

Laivueen kohdalla vastaus ratkaisee myös, mihin laskenta kuuluu: laitekohtaisesti FDM:n kautta tai toimialuekohtaisesti FMC:n kautta. Nämä ovat eri laajuuksia, ja ne tuottavat eri lukuja samalle laivueelle.

Päätös kaksi: mikä resurssi vastaa?

Versioon sidotussa esimerkissä FMC 7.3 API -objektiviite dokumentoi GET-resurssit health-polun alla:

/api/fmc_config/v1/domain/{domainUUID}/health/tunnelstatuses
/api/fmc_config/v1/domain/{domainUUID}/health/tunnelsummaries

Tunnelitilan resurssi tukee laite- ja tilasuodattimia, mukaan lukien TUNNEL_UP. Se antaa sinulle todellisen operatiivisen resurssin tarkasteltavaksi kyseiselle versiolle kenttänimen arvailun sijaan.

Vahvista saatavuus, käyttöoikeudet, pyyntöparametrit ja vastauskaava käyttöön otetun FMC:n API Explorerissa ennen jäsentimen toteuttamista. Yhden version dokumentaatio on lähtökohta, ei sopimus siitä, mitä itse ajat.

Kirjoita laskennan sopimus

Esitä mittari yhdellä lauseella: yksilölliset operatiiviset tunnelitietueet yhdelle aiottuun laitteeseen ja toimialueeseen, joiden raportoitu tila on TUNNEL_UP. Dokumentoi sitten, miten redundantit laitteet ja useat tietueet yhtä loogista sivustoa kohden esitetään, koska nämä kaksi tapausta ratkaisevat, vastaako lukusi kokouksessa olevaa.

Älä vaihda yksikköä hiljaa tunnelitietueesta etäsivustoon. Jos liiketoiminta haluaa sivustoja, kartoita tietueet sivustoihin selkeästi ja julkaise kartoitus. Laskenta, joka hiljaa määrittelee itsensä uudelleen, on huonompi kuin ei laskentaa, koska kukaan ei voi sanoa, milloin se muuttui.

Kohtele yhteenvetoresurssia mukavuutena vasta kun olet vahvistanut, mitä se tiivistää. Se voi aggregoida täsmälleen tarvitsemasi tai vastata hienovaraisesti eri kysymykseen. Lue sen kaava kerran, kirjoita ero muistiin ja käytä tilaresurssia, jos yhteenvetoa ei voi selittää. Yhteenveto, jota et ymmärrä, on luku, jota et voi puolustaa katselmoinnissa.

Anna työnkulun säilyttää epävarmuus

Käytä hyväksyttyä HTTPS API:a, validoi varmente, pidä tokenit tehtävän tulosteen ulkopuolella ja hae laajuus version tukemalla suodattimella ja sivutuksella. Validoi sitten kaava ennen minkään laskemista.

fetch intended domain/device runtime records
validate response, completeness and freshness
deduplicate by the documented tunnel identity
count records matching the approved up-state definition
report count with scope, timestamp and metric unit

Tämä on työnkulun pseudokoodia, ei testattu playbook. Ota todelliset kenttänimet asennetusta API:sta sen sijaan, että keksisit active-nimisen JSON-avaimen.

Tärkeä sääntö on epäonnistumiskäyttäytyminen: valtuutusvirheen, tukemattoman resurssin, vanhentuneen otoksen tai puutteellisen sivujoukon on tuotettava unknown tai error, ei koskaan onnistunutta nollaa. Nolla, joka tarkoittaa, etten voinut kysyä, on kallein virhetyyppi.

Validoi alustan omaa näkymää vastaan

Vertaa ensimmäistä tulosta version VPN-valvontanäkymään samalle laitteelle ja hetkelle. Kun ne eroavat, selvitä, mitä yksikköä kumpikin käyttää, ennen kuin muutat playbookia.

Säilytä ei-salainen konteksti jokaista ajoa varten: laajuus, aikaleima, mittarin yksikkö ja tietueiden määrä. FMC 7.3 API -objektiviite on lähde yllä oleville resurssipoluille, ja oman käyttöönoton API Explorer on lähde kaikelle muulle.