Contar as VPN de sitio FTD activas: que número quere dicir?

Antes de escribir a tarefa de Ansible, responda unha pregunta máis pequena: que se está contando? Un par configurado, unha sesión IKE, unha asociación de seguridade IPsec e un rexistro de estado de túnel monitorizado son catro unidades distintas, e a rexeneración de claves ou varias redes protexidas fan que os seus totais diverxan. Se o panel e o playbook non coinciden, normalmente están contando cousas distintas e non que un dos dous estea mal.

Catro cousas que a xente chama activas

Un par configurado é un obxecto de topoloxía: existe porque alguén o definiu. Unha sesión IKE é unha relación do plano de control que pode estar activa mentres non flúe tráfico. Unha SA de IPsec é a asociación do plano de datos para un par de selectores concreto, e un túnel pode levar varias. Un estado de túnel monitorizado é o veredicto operativo da propia plataforma, que adoita ser o máis próximo ao que un operador quere dicir cando afirma que o túnel está levantado.

Só o último é unha base razoable para un reconto operativo. O primeiro é un inventario de configuración, e informalo como activo é como un panel mostra verde para un par que está caído desde o martes. Decida que unidade necesita o consumidor do número e despois etiquete a métrica con esa unidade no seu propio nome.

Decisión un: que plano de xestión?

Se o dispositivo o xestiona FDM, a superficie relevante é a FTD REST API. Se o xestiona FMC, esa API non é un substituto intercambiable e os obxectos viven detrás da API propia de FMC. Confírmoo antes de escribir unha soa petición, porque o plano equivocado devolve un erro verosímil que parece un problema de permisos.

Para unha frota, a resposta tamén decide onde pertence o reconto: por dispositivo mediante FDM, ou por dominio mediante FMC. Son ámbitos distintos e producen números distintos para a mesma frota.

Decisión dous: que recurso responde?

Para un exemplo limitado á versión, a referencia de obxectos da FMC 7.3 API documenta recursos GET baixo a ruta health:

/api/fmc_config/v1/domain/{domainUUID}/health/tunnelstatuses
/api/fmc_config/v1/domain/{domainUUID}/health/tunnelsummaries

O recurso de estado de túnel admite filtros de dispositivo e de estado, incluído TUNNEL_UP. Iso dálle un recurso operativo real que inspeccionar para esa versión, en lugar dunha suposición sobre o nome dun campo.

Confirme a dispoñibilidade, os permisos, os parámetros da petición e o esquema de resposta no API Explorer da FMC despregada antes de implementar un analizador. A documentación dunha versión é un punto de partida, non un contrato para a que executa.

Escriba o contrato do reconto

Enuncie a métrica nunha frase: rexistros operativos de túnel únicos para un dispositivo e un dominio previstos cuxo estado declarado sexa TUNNEL_UP. Despois documente como se representan os dispositivos redundantes e os rexistros múltiples para un sitio lóxico, porque eses dous casos deciden se o seu número coincide co da reunión.

Non cambie en silencio a unidade de rexistro de túnel a sitio remoto. Se o negocio quere sitios, asigne explicitamente os rexistros aos sitios e publique a correspondencia. Un reconto que se redefine en silencio é peor que ningún reconto, porque ninguén pode dicir cando cambiou.

Trate o recurso de resumo como unha comodidade só despois de confirmar que resume. Pode agregar exactamente o que necesita, ou pode responder a unha pregunta sutilmente distinta. Lea o seu esquema unha vez, anote a diferenza e use o recurso de estado se o resumo non se pode explicar. Un resumo que non entende é un número que non pode defender nunha revisión.

Faga que o fluxo de traballo preserve a incerteza

Use a API HTTPS aprobada, valide o certificado, manteña os tokens fóra da saída da tarefa e obteña o ámbito co filtro e a paginación que admite a versión. Despois valide o esquema antes de calcular nada.

fetch intended domain/device runtime records
validate response, completeness and freshness
deduplicate by the documented tunnel identity
count records matching the approved up-state definition
report count with scope, timestamp and metric unit

Iso é pseudocódigo de fluxo de traballo, non un playbook probado. Tome os nomes de campo reais da API instalada en lugar de inventar unha clave JSON chamada active.

A regra importante é o comportamento ante fallos: un erro de autorización, un recurso non admitido, unha mostra obsoleta ou un conxunto de páxinas incompleto deben producir unknown ou error, nunca un cero exitoso. Un cero que significa que non puiden preguntar é o tipo de erro máis caro.

Valide contra a propia vista da plataforma

Compare o primeiro resultado coa vista de monitorización de VPN da versión para o mesmo dispositivo e momento. Cando difiran, averigüe que unidade usa cada un antes de cambiar o playbook.

Conserve contexto non secreto para cada execución: ámbito, marca de tempo, unidade da métrica e número de rexistros. A referencia de obxectos da FMC 7.3 API é a fonte das rutas de recursos anteriores, e o API Explorer do seu propio despregamento é a fonte de todo o demais.