Белсенді FTD сайт VPN-терін санау: қай санды айтасыз?

Ansible тапсырмасын жазбас бұрын кішірек сұраққа жауап беріңіз: не саналып жатыр? Конфигурацияланған теңдес, IKE сессиясы, IPsec қауіпсіздік ассоциациясы және бақыланатын туннель күйінің жазбасы — төрт түрлі бірлік, ал кілттерді қайта жасау немесе бірнеше қорғалған желі олардың қосындыларын алшақтатады. Егер тақта мен playbook келіспесе, олар әдетте әртүрлі нәрселерді санайды, біреуі қате емес.

Адамдар белсенді деп атайтын төрт нәрсе

Конфигурацияланған теңдес — топология нысаны: ол біреу анықтағандықтан бар. IKE сессиясы — басқару жазықтығындағы қатынас, ол трафик ақпаса да жоғары тұра алады. IPsec SA — белгілі бір селектор жұбы үшін деректер жазықтығының ассоциациясы, ал бір туннель бірнешеуін тасымалдай алады. Бақыланатын туннель күйі — платформаның өз операциялық үкімі, ол әдетте оператор «туннель жоғары тұр» дегенде меңзеген нәрсеге ең жақын.

Тек соңғысы ғана операциялық санақ үшін негізді негіз. Біріншісі — конфигурация тізімі, оны белсенді деп хабарлау — сейсенбіден бері өшіп тұрған теңдес үшін тақтаның жасыл көрсету тәсілі. Санды тұтынушыға қай бірлік керегін шешіңіз, содан кейін метриканы сол бірлікпен өз атауында белгілеңіз.

Бірінші шешім: қай басқару жазықтығы?

Құрылғыны FDM басқарса, тиісті бет — FTD REST API. Егер оны FMC басқарса, бұл API өзара алмастырылатын балама емес, ал нысандар FMC-тің өз API-інің артында тұрады. Бір сұраныс жазбас бұрын мұны растаңыз, өйткені қате жазықтық рұқсат мәселесіне ұқсайтын сенімді қате қайтарады.

Флот үшін жауап санақтың қайда жататынын да анықтайды: FDM арқылы әр құрылғы бойынша немесе FMC арқылы әр домен бойынша. Бұлар әртүрлі ауқымдар және бірдей флот үшін әртүрлі сандар береді.

Екінші шешім: қай ресурс жауап береді?

Нұсқаға байланған мысал үшін FMC 7.3 API нысандар анықтамалығы health жолының астындағы GET ресурстарын құжаттайды:

/api/fmc_config/v1/domain/{domainUUID}/health/tunnelstatuses
/api/fmc_config/v1/domain/{domainUUID}/health/tunnelsummaries

Туннель күйі ресурсы құрылғы мен күй сүзгілерін қолдайды, соның ішінде TUNNEL_UP. Бұл сол шығарылым үшін тексеруге болатын нақты операциялық ресурс береді, өріс атауы туралы болжам емес.

Парсерді іске асырмас бұрын орнатылған FMC-тің API Explorer-інде қолжетімділікті, рұқсаттарды, сұраныс параметрлерін және жауап схемасын растаңыз. Бір нұсқаның құжаттамасы — бастапқы нүкте, сіз іске қосып отырған нұсқаның келісімі емес.

Санақ шартын жазыңыз

Метриканы бір сөйлеммен тұжырымдаңыз: бір көзделген құрылғы мен домен үшін бірегей операциялық туннель жазбалары, олардың хабарланған күйі TUNNEL_UP. Содан кейін артық құрылғылар мен бір логикалық сайт үшін бірнеше жазбаның қалай көрсетілетінін құжаттаңыз, өйткені осы екі жағдай сіздің саныңыз жиналыстағы санға сәйкес келе ме, соны шешеді.

Бірлікті үнсіз туннель жазбасынан қашықтағы сайтқа өзгертпеңіз. Егер бизнес сайттарды қаласа, жазбаларды сайттарға анық сәйкестендіріп, бұл сәйкестікті жариялаңыз. Өзін үнсіз қайта анықтайтын санақ — санақтың жоқтығынан да нашар, өйткені оның қашан өзгергенін ешкім айта алмайды.

Жиынтық ресурсын оның нені жинақтайтынын растағаннан кейін ғана қолайлылық ретінде қарастырыңыз. Ол дәл сізге қажет нәрсені біріктіруі мүмкін немесе сәл басқа сұраққа жауап беруі мүмкін. Оның схемасын бір рет оқып, айырмашылықты жазып алыңыз, ал жинақты түсіндіру мүмкін болмаса, күй ресурсын пайдаланыңыз. Сіз түсінбейтін жинақ — шолуда қорғай алмайтын сан.

Жұмыс ағыны белгісіздікті сақтасын

Бекітілген HTTPS API-ді пайдаланыңыз, сертификатты тексеріңіз, токендерді тапсырма шығысынан тыс ұстаңыз және ауқымды нұсқа қолдайтын сүзгі мен беттеу арқылы алыңыз. Содан кейін бірдеңе есептемес бұрын схеманы тексеріңіз.

fetch intended domain/device runtime records
validate response, completeness and freshness
deduplicate by the documented tunnel identity
count records matching the approved up-state definition
report count with scope, timestamp and metric unit

Бұл — жұмыс ағынының псевдокоды, тексерілген playbook емес. active деген JSON кілтін ойлап тапудың орнына орнатылған API-ден нақты өріс атауларын алыңыз.

Маңызды ереже — сәтсіздік кезіндегі мінез-құлық: авторизация қатесі, қолдау көрсетілмейтін ресурс, ескірген үлгі немесе толық емес беттер жиынтығы unknown немесе error беруі керек, ешқашан сәтті нөл емес. «Сұрай алмадым» дегенді білдіретін нөл — қатенің ең қымбат түрі.

Платформаның өз көрінісіне қарсы тексеріңіз

Бірінші нәтижені сол құрылғы мен сәт үшін нұсқаның VPN мониторинг көрінісімен салыстырыңыз. Олар ерекшеленсе, playbook-ты өзгертуден бұрын әрқайсысы қай бірлікті қолданатынын анықтаңыз.

Әр іске қосу үшін құпия емес контексті сақтаңыз: ауқым, уақыт белгісі, метрика бірлігі және жазбалар саны. FMC 7.3 API нысандар анықтамалығы жоғарыдағы ресурс жолдарының көзі, ал өз орналастыруыңыздағы API Explorer қалған барлық нәрсенің көзі.