Активдүү FTD сайт VPN'дерин эсептөө: кайсы санды айтасыз?

Конфигурацияланган өнөктөштөр, IKE сессиялары, коопсуздук ассоциациялары жана көзөмөлдөнгөн тоннелдер — төрт түрдүү эсеп. Код жазуудан мурун өлчөм бирдигин жана башкаруу тегиздигин тандаңыз.

Ansible тапшырмасын жазганга чейин кичине суроого жооп бериңиз: эмне эсептелип жатат? Конфигурацияланган өнөктөш, IKE сессиясы, IPsec коопсуздук ассоциациясы жана көзөмөлдөнгөн тоннел абалынын жазуусу — төрт түрдүү бирдик, ал эми ачкычтарды кайра жаратуу же бир нече корголгон тармак алардын суммаларын ажыратат. Эгер такта менен playbook макул болбосо, алар адатта башка нерселерди эсептешет, бири ката эмес.

Адамдар активдүү деп атаган төрт нерсе

Конфигурацияланган өнөктөш — топология объектиси: ал кимдир бирөө аныктагандыктан бар. IKE сессиясы — башкаруу тегиздигиндеги мамиле, ал трафик агып турбаса да жогору тура алат. IPsec SA — белгилүү бир селектор жуп үчүн маалымат тегиздигинин ассоциациясы, ал эми бир тоннел бир нечени ташышы мүмкүн. Көзөмөлдөнгөн тоннел абалы — платформанын өзүнүн операциялык өкүмү, ал адатта оператор «тоннел жогору турат» дегенде эмнени билдирсе, ошого эң жакын.

Операциялык эсеп үчүн акыркысы гана негиздүү негиз. Биринчиси — конфигурация тизмеси, аны активдүү деп билдирүү шейшембиден бери өчүп турган өнөктөш үчүн тактанын жашыл көрсөтүү ыкмасы. Санды керектөөчүгө кайсы бирдик керек экенин чечиңиз, анан метриканы ошол бирдик менен өз атында белгилеңиз.

Биринчи чечим: кайсы башкаруу тегиздиги?

Эгер түзмөктү FDM башкарса, тиешелүү бети — FTD REST API. Эгер аны FMC башкарса, бул API өз ара алмаштыруучу балама эмес, ал эми объектилер FMC'нин өз API'синин артында турат. Бир суроо-талап жазганга чейин муну ырастаңыз, анткени туура эмес тегиздик укук маселесине окшош ишенимдүү катаны кайтарат.

Флот үчүн жооп эсептин кайда жатканын да аныктайт: FDM аркылуу ар бир түзмөк боюнча же FMC аркылуу ар бир домен боюнча. Булар ар башка масштабдар жана бирдей флот үчүн ар башка сандарды берет.

Экинчи чечим: кайсы ресурс жооп берет?

Версияга байланган мисал үчүн FMC 7.3 API объектилердин маалымдамасы health жолунун астындагы GET ресурстарын документтештирет:

/api/fmc_config/v1/domain/{domainUUID}/health/tunnelstatuses
/api/fmc_config/v1/domain/{domainUUID}/health/tunnelsummaries

Тоннел абалынын ресурсу түзмөк жана абал фильтрлерин колдойт, анын ичинде TUNNEL_UP. Бул ошол чыгарылыш үчүн текшерүүгө боло турган реалдуу операциялык ресурсту берет, талаа аты боюнча божомол эмес.

Парсерди ишке ашырганга чейин орнотулган FMC'нин API Explorer'инде жеткиликтүүлүктү, укуктарды, суроо параметрлерин жана жооп схемасын ырастаңыз. Бир версиянын документтештирүүсү — баштапкы чекит, сиз иштетип жаткан версиянын келишими эмес.

Эсептин келишимин жазыңыз

Метриканы бир сүйлөм менен айтыңыз: бир көздөлгөн түзмөк жана домен үчүн уникалдуу операциялык тоннел жазуулары, алардын билдирилген абалы TUNNEL_UP. Андан кийин ашыкча түзмөктөр жана бир логикалык сайт үчүн бир нече жазуу кантип көрсөтүлөрүн документтештириңиз, анткени бул эки учур сиздин саныңыз жыйындагы санга дал келерин чечет.

Бирдикти үнсүз тоннел жазуусунан алыскы сайтка өзгөртпөңүз. Эгер бизнес сайттарды кааласа, жазууларды сайттарга ачык байланыштырып, бул байланышты жарыялаңыз. Өзүн үнсүз кайра аныктаган эсеп — эсептин жоктугунан да жаман, анткени анын качан өзгөргөнүн эч ким айта албайт.

Жыйынтык ресурсун анын эмнени жыйынтыктаарын ырастагандан кийин гана ыңгайлуулук катары караңыз. Ал так сизге керек нерсени топтой алат же бир аз башка суроого жооп берет. Анын схемасын бир жолу окуп, айырманы жазып коюңуз, ал эми жыйынтыкты түшүндүрүү мүмкүн болбосо, абал ресурсун колдонуңуз. Сиз түшүнбөгөн жыйынтык — сын-пикирде коргой албаган сан.

Жумуш агымы белгисиздикти сактасын

Бекитилген HTTPS API'ни колдонуңуз, сертификатты текшериңиз, токендерди тапшырманын чыгарылышынан тышкары кармаңыз жана масштабды версия колдогон фильтр менен барактоо аркылуу алыңыз. Анан бир нерсени эсептегенге чейин схеманы текшериңиз.

fetch intended domain/device runtime records
validate response, completeness and freshness
deduplicate by the documented tunnel identity
count records matching the approved up-state definition
report count with scope, timestamp and metric unit

Бул — жумуш агымынын псевдокоду, текшерилген playbook эмес. active деген JSON ачкычын ойлоп табуунун ордуна орнотулган API'ден реалдуу талаа аттарын алыңыз.

Маанилүү эреже — ийгиликсиздиктеги жүрүм-турум: авторизация катасы, колдоого алынбаган ресурс, эскирген үлгү же толук эмес барактар топтому unknown же error бериши керек, эч качан ийгиликтүү нөл эмес. «Сурай албадым» дегенди билдирген нөл — катанын эң кымбат түрү.

Платформанын өз көрүнүшүнө каршы текшериңиз

Биринчи натыйжаны ошол эле түзмөк жана учур үчүн версиянын VPN көзөмөл көрүнүшү менен салыштырыңыз. Алар айырмаланса, playbook'ту өзгөртүүдөн мурун ар бири кайсы бирдикти колдонорун аныктаңыз.

Ар бир иштетүү үчүн купуя эмес контекстти сактаңыз: масштаб, убакыт белгиси, метриканын бирдиги жана жазуулардын саны. FMC 7.3 API объектилердин маалымдамасы жогорудагы ресурс жолдорунун булагы, ал эми өзүңүздүн жайгаштырууңуздагы API Explorer калган бардык нерсенин булагы.

Тектеш макалалар