Brojanje aktivnih FTD VPN-ova lokacije: koji broj imate na umu?

Prije nego napišete Ansible zadatak, odgovorite na manje pitanje: što se broji? Konfigurirani partner, IKE sesija, IPsec sigurnosna asocijacija i zapis nadziranog statusa tunela četiri su različite jedinice, a ponovno generiranje ključeva ili više zaštićenih mreža čini da se njihovi zbrojevi razilaze. Ako se nadzorna ploča i playbook ne slažu, obično broje različite stvari, a ne da je jedno od njih pogrešno.

Četiri stvari koje ljudi nazivaju aktivnima

Konfigurirani partner je topološki objekt: postoji jer ga je netko definirao. IKE sesija je odnos na razini upravljanja koji može biti podignut dok promet ne teče. IPsec SA je asocijacija na razini podataka za određeni par selektora, a jedan tunel može nositi nekoliko njih. Nadzirani status tunela vlastita je operativna presuda platforme i obično je najbliža onome što operater misli kad kaže da je tunel podignut.

Samo je posljednja razumna osnova za operativno brojanje. Prva je inventar konfiguracije, a prijavljivanje kao aktivne način je na koji ploča prikazuje zeleno za partnera koji ne radi od utorka. Odlučite koja je jedinica potrebna korisniku broja, a zatim označite metriku tom jedinicom u njezinu imenu.

Prva odluka: koja razina upravljanja?

Ako uređajem upravlja FDM, relevantna površina je FTD REST API. Ako njime upravlja FMC, taj API nije zamjenjiva alternativa i objekti žive iza vlastitog API-ja FMC-a. Potvrdite to prije nego napišete i jedan zahtjev, jer pogrešna razina vraća uvjerljivu grešku koja izgleda kao problem s dopuštenjima.

Za flotu odgovor također odlučuje gdje brojanje pripada: po uređaju kroz FDM ili po domeni kroz FMC. To su različiti obuhvati i daju različite brojeve za istu flotu.

Druga odluka: koji resurs odgovara?

Za primjer vezan uz verziju, referenca objekata FMC 7.3 API dokumentira GET resurse pod putanjom health:

/api/fmc_config/v1/domain/{domainUUID}/health/tunnelstatuses
/api/fmc_config/v1/domain/{domainUUID}/health/tunnelsummaries

Resurs statusa tunela podržava filtre uređaja i statusa, uključujući TUNNEL_UP. To vam daje stvarni operativni resurs za provjeru za to izdanje, a ne nagađanje o nazivu polja.

Potvrdite dostupnost, dopuštenja, parametre zahtjeva i shemu odgovora u API Exploreru instaliranog FMC-a prije implementacije parsera. Dokumentacija za jedno izdanje početna je točka, a ne ugovor za ono koje pokrećete.

Napišite ugovor o brojanju

Formulirajte metriku u jednoj rečenici: jedinstveni operativni zapisi tunela za jedan predviđeni uređaj i domenu čije je prijavljeno stanje TUNNEL_UP. Zatim dokumentirajte kako su predstavljeni redundantni uređaji i više zapisa za jednu logičku lokaciju, jer ta dva slučaja odlučuju slaže li se vaš broj s onim sa sastanka.

Ne mijenjajte tiho jedinicu sa zapisa tunela na udaljenu lokaciju. Ako posao želi lokacije, eksplicitno preslikajte zapise na lokacije i objavite to preslikavanje. Brojanje koje se tiho redefinira gore je od nikakvog brojanja, jer nitko ne može reći kada se promijenilo.

Tretirajte sažeti resurs kao pogodnost tek nakon što potvrdite što sažima. Može agregirati točno ono što trebate ili odgovarati na suptilno drugačije pitanje. Pročitajte njegovu shemu jednom, zapišite razliku i koristite resurs statusa ako se sažetak ne može objasniti. Sažetak koji ne razumijete broj je koji ne možete obraniti u pregledu.

Neka tijek rada sačuva nesigurnost

Koristite odobreni HTTPS API, provjerite certifikat, držite tokene izvan izlaza zadatka i dohvatite obuhvat pomoću filtra i paginacije koje izdanje podržava. Zatim provjerite shemu prije bilo kakva izračuna.

fetch intended domain/device runtime records
validate response, completeness and freshness
deduplicate by the documented tunnel identity
count records matching the approved up-state definition
report count with scope, timestamp and metric unit

Ovo je pseudokod tijeka rada, a ne testirani playbook. Uzmite stvarne nazive polja iz instaliranog API-ja umjesto da izmišljate JSON ključ nazvan active.

Važno je pravilo ponašanje pri neuspjehu: greška autorizacije, nepodržani resurs, zastario uzorak ili nepotpun skup stranica moraju proizvesti unknown ili error, nikad uspješnu nulu. Nula koja znači da nisam mogao pitati najskuplja je vrsta greške.

Provjerite prema vlastitom prikazu platforme

Usporedite prvi rezultat s prikazom VPN nadzora tog izdanja za isti uređaj i trenutak. Kada se razlikuju, otkrijte koju jedinicu svaki koristi prije nego promijenite playbook.

Čuvajte netajni kontekst za svako pokretanje: obuhvat, vremensku oznaku, jedinicu metrike i broj zapisa. Referenca objekata FMC 7.3 API izvor je putanja resursa iznad, a API Explorer na vašem vlastitom postavljanju izvor je za sve ostalo.