Aktív FTD-telephely VPN-ek számlálása: melyik számra gondol?

Mielőtt megírja az Ansible-feladatot, válaszoljon egy kisebb kérdésre: mit számolunk? A beállított partner, az IKE-munkamenet, az IPsec biztonsági társítás és a felügyelt alagútállapot-rekord négy különböző egység, és a kulcsújragenerálás vagy több védett hálózat eltéríti az összegeiket. Ha az irányítópult és a playbook nem ért egyet, általában különböző dolgokat számolnak, nem pedig az egyik téved.

Négy dolog, amit az emberek aktívnak neveznek

A beállított partner topológiai objektum: azért létezik, mert valaki definiálta. Az IKE-munkamenet vezérlősík-kapcsolat, amely forgalom nélkül is fennállhat. Az IPsec SA adatsík-társítás egy adott szelektorpárhoz, és egy alagút többet is szállíthat. A felügyelt alagútállapot a platform saját üzemeltetési ítélete, amely általában a legközelebb van ahhoz, amit az üzemeltető azon ért, hogy az alagút fennáll.

Csak az utóbbi ésszerű alapja egy üzemeltetési számlálásnak. Az első konfigurációs leltár, és aktívként való jelentése az a mód, ahogyan az irányítópult zöldet mutat egy olyan partnerhez, amely keddtől leállt. Döntse el, melyik egységre van szüksége a szám felhasználójának, majd nevezze el a metrikát azzal az egységgel a saját nevében.

Első döntés: melyik kezelési sík?

Ha az eszközt FDM kezeli, a releváns felület az FTD REST API. Ha FMC kezeli, az az API nem csereszabatos helyettesítő, és az objektumok az FMC saját API-ja mögött élnek. Erősítse meg ezt, mielőtt egyetlen kérést írna, mert a rossz sík hihető hibát ad vissza, amely engedélyproblémának tűnik.

Egy flotta esetében a válasz azt is eldönti, hová tartozik a számlálás: eszközönként FDM-en keresztül, vagy tartományonként FMC-n keresztül. Ezek különböző hatókörök, és ugyanahhoz a flottához különböző számokat adnak.

Második döntés: melyik erőforrás válaszol?

Verzióhoz kötött példaként az FMC 7.3 API objektum-referencia GET-erőforrásokat dokumentál a health útvonal alatt:

/api/fmc_config/v1/domain/{domainUUID}/health/tunnelstatuses
/api/fmc_config/v1/domain/{domainUUID}/health/tunnelsummaries

Az alagútállapot-erőforrás támogatja az eszköz- és állapotszűrőket, köztük a TUNNEL_UP értéket. Ez valódi üzemeltetési erőforrást ad az adott verzióhoz, nem egy mezőnévvel kapcsolatos találgatást.

A parser megvalósítása előtt erősítse meg az elérhetőséget, az engedélyeket, a kérés paramétereit és a válasz sémáját a telepített FMC API Explorerében. Egy verzió dokumentációja kiindulópont, nem szerződés arra, amelyet futtat.

Írja meg a számlálás szerződését

Fogalmazza meg a metrikát egy mondatban: egyedi üzemeltetési alagútrekordok egy tervezett eszközhöz és tartományhoz, amelyek jelentett állapota TUNNEL_UP. Ezután dokumentálja, hogyan ábrázolódnak a redundáns eszközök és az egy logikai telephelyhez tartozó több rekord, mert ez a két eset dönti el, hogy az Ön száma megegyezik-e az értekezleten szereplővel.

Ne változtassa csendben az egységet alagútrekordról távoli telephelyre. Ha az üzlet telephelyeket akar, rendelje hozzá kifejezetten a rekordokat a telephelyekhez, és tegye közzé a leképezést. A csendben önmagát újradefiniáló számlálás rosszabb, mint a semmilyen számlálás, mert senki nem tudja megmondani, mikor változott.

Az összegző erőforrást csak akkor tekintse kényelmi eszköznek, ha megerősítette, mit összegez. Lehet, hogy pontosan azt összesíti, amire szüksége van, vagy egy finoman eltérő kérdésre válaszol. Olvassa el egyszer a sémáját, írja fel a különbséget, és használja az állapoterőforrást, ha az összegzés nem magyarázható. Az összegzés, amelyet nem ért, olyan szám, amelyet nem tud megvédeni egy felülvizsgálaton.

A munkafolyamat őrizze meg a bizonytalanságot

Használja a jóváhagyott HTTPS API-t, ellenőrizze a tanúsítványt, tartsa a tokeneket a feladat kimenetén kívül, és kérje le a hatókört a verzió által támogatott szűrővel és lapozással. Ezután ellenőrizze a sémát, mielőtt bármit kiszámol.

fetch intended domain/device runtime records
validate response, completeness and freshness
deduplicate by the documented tunnel identity
count records matching the approved up-state definition
report count with scope, timestamp and metric unit

Ez munkafolyamat-pseudokód, nem tesztelt playbook. A tényleges mezőneveket a telepített API-ból vegye, ne találjon ki egy active nevű JSON-kulcsot.

A fontos szabály a hiba viselkedése: az engedélyezési hiba, a nem támogatott erőforrás, az elavult minta vagy a hiányos oldalkészlet unknown vagy error eredményt adjon, soha ne sikeres nullát. A nulla, amely azt jelenti, hogy nem tudtam kérdezni, a legdrágább hibatípus.

Ellenőrizze a platform saját nézetéhez képest

Hasonlítsa össze az első eredményt a verzió VPN-felügyeleti nézetével ugyanahhoz az eszközhöz és pillanathoz. Ha eltérnek, derítse ki, melyik egységet használja mindegyik, mielőtt módosítja a playbookot.

Minden futáshoz őrizzen nem titkos kontextust: hatókör, időbélyeg, a metrika egysége és a rekordok száma. Az FMC 7.3 API objektum-referencia a fenti erőforrásútvonalak forrása, a saját telepítésén lévő API Explorer pedig minden más forrása.