Contare le VPN di sito FTD attive: quale numero intendi?

Prima di scrivere l’attività Ansible, rispondi a una domanda più piccola: che cosa viene contato? Un peer configurato, una sessione IKE, un’associazione di sicurezza IPsec e un record di stato del tunnel monitorato sono quattro unità diverse, e la rigenerazione delle chiavi o più reti protette fanno divergere i loro totali. Se la dashboard e il playbook non concordano, di solito stanno contando cose diverse e non che uno dei due sia sbagliato.

Quattro cose che le persone chiamano attive

Un peer configurato è un oggetto di topologia: esiste perché qualcuno lo ha definito. Una sessione IKE è una relazione del piano di controllo che può essere attiva mentre non scorre traffico. Una SA IPsec è l’associazione del piano dati per una determinata coppia di selettori, e un tunnel può portarne diverse. Uno stato del tunnel monitorato è il verdetto operativo della piattaforma stessa, di solito la cosa più vicina a ciò che un operatore intende quando dice che il tunnel è attivo.

Solo l’ultimo è una base ragionevole per un conteggio operativo. Il primo è un inventario di configurazione, e segnalarlo come attivo è il modo in cui una dashboard mostra verde per un peer che è a terra da martedì. Decidi quale unità serve al consumatore del numero, poi etichetta la metrica con quell’unità nel suo stesso nome.

Decisione uno: quale piano di gestione?

Se il dispositivo è gestito da FDM, la superficie rilevante è l’FTD REST API. Se è gestito da FMC, quell’API non è un sostituto intercambiabile, e gli oggetti vivono dietro l’API propria di FMC. Confermalo prima di scrivere una sola richiesta, perché il piano sbagliato restituisce un errore plausibile che sembra un problema di permessi.

Per una flotta, la risposta decide anche dove appartiene il conteggio: per dispositivo tramite FDM, o per dominio tramite FMC. Sono ambiti diversi e producono numeri diversi per la stessa flotta.

Decisione due: quale risorsa risponde?

Per un esempio limitato alla versione, il riferimento agli oggetti dell’FMC 7.3 API documenta risorse GET sotto il percorso health:

/api/fmc_config/v1/domain/{domainUUID}/health/tunnelstatuses
/api/fmc_config/v1/domain/{domainUUID}/health/tunnelsummaries

La risorsa di stato del tunnel supporta filtri per dispositivo e stato, inclusa TUNNEL_UP. Questo ti dà una risorsa operativa reale da ispezionare per quella versione, invece di un’ipotesi sul nome di un campo.

Conferma disponibilità, permessi, parametri della richiesta e schema della risposta nell’API Explorer dell’FMC distribuito prima di implementare un parser. La documentazione di una versione è un punto di partenza, non un contratto per quella che esegui.

Scrivi il contratto del conteggio

Enuncia la metrica in una frase: record operativi del tunnel univoci per un dispositivo e un dominio previsti il cui stato dichiarato è TUNNEL_UP. Poi documenta come sono rappresentati i dispositivi ridondanti e i record multipli per un sito logico, perché questi due casi decidono se il tuo numero corrisponde a quello della riunione.

Non cambiare silenziosamente l’unità da record del tunnel a sito remoto. Se il business vuole siti, mappa esplicitamente i record ai siti e pubblica la mappatura. Un conteggio che si ridefinisce in silenzio è peggio di nessun conteggio, perché nessuno può dire quando è cambiato.

Tratta la risorsa di riepilogo come una comodità solo dopo aver confermato che cosa riepiloga. Può aggregare esattamente ciò che ti serve, oppure rispondere a una domanda sottilmente diversa. Leggi il suo schema una volta, annota la differenza, e usa la risorsa di stato se il riepilogo non può essere spiegato. Un riepilogo che non capisci è un numero che non puoi difendere in una revisione.

Fai in modo che il flusso di lavoro preservi l’incertezza

Usa l’API HTTPS approvata, convalida il certificato, tieni i token fuori dall’output dell’attività e recupera l’ambito con il filtro e la paginazione supportati dalla versione. Poi convalida lo schema prima di calcolare qualsiasi cosa.

fetch intended domain/device runtime records
validate response, completeness and freshness
deduplicate by the documented tunnel identity
count records matching the approved up-state definition
report count with scope, timestamp and metric unit

Questo è pseudocodice di flusso di lavoro, non un playbook testato. Prendi i nomi dei campi reali dall’API installata invece di inventare una chiave JSON chiamata active.

La regola importante è il comportamento in caso di errore: un errore di autorizzazione, una risorsa non supportata, un campione obsoleto o un insieme di pagine incompleto devono produrre unknown o error, mai uno zero riuscito. Uno zero che significa che non ho potuto chiedere è il tipo di errore più costoso.

Convalida rispetto alla vista della piattaforma stessa

Confronta il primo risultato con la vista di monitoraggio VPN della versione per lo stesso dispositivo e lo stesso momento. Quando differiscono, scopri quale unità usa ciascuno prima di modificare il playbook.

Conserva contesto non segreto per ogni esecuzione: ambito, marca temporale, unità della metrica e numero di record. Il riferimento agli oggetti dell’FMC 7.3 API è la fonte dei percorsi delle risorse sopra, e l’API Explorer della tua distribuzione è la fonte di tutto il resto.