Aktiv FTD-Site-VPNen zielen: wéi eng Zuel mengt Dir?

Ier Dir d’Ansible-Aufgab schreift, beäntwert eng méi kleng Fro: wat gëtt gezielt? E konfiguréierte Peer, eng IKE-Sessioun, eng IPsec-Sécherheetsassociatioun an e iwwerwaachten Tunnelstatus-Datensaz sinn véier verschidden Eenheeten, a Schlësselerneierung oder méi geschützt Netzwierker maachen hir Summen ausernee lafen. Wann den Dashboard an d’Playbook net eens sinn, zielen se meeschtens verschidden Saachen, an net datt ee vun deenen zwee falsch ass.

Véier Saachen, déi d’Leit aktiv nennen

E konfiguréierte Peer ass en Topologieobjekt: et existéiert, well een et definéiert huet. Eng IKE-Sessioun ass eng Bezéiung op der Steierungsebene, déi ugeet, während keen Traffic fléisst. Eng IPsec-SA ass d’Associatioun op der Datenehene fir e bestëmmte Selektorpuer, an een Tunnel kann der méi droen. En iwwerwaachten Tunnelstatus ass dee eegene Betribsurteel vun der Plattform, dee meeschtens am noosten dozou ass, wat en Operateur mengt, wann hie seet, den Tunnel ass uewen.

Nëmmen déi lescht ass eng raisonnabel Basis fir eng betriblech Zuel. Déi éischt ass e Konfiguratiounsinventar, an se als aktiv ze mellen ass de Wee, wéi en Dashboard gréng weist fir e Peer, dee säit Dënschdeg erof ass. Entscheet, wéi eng Eenheet de Konsument vun der Zuel brauch, an da beschrëft d’Metrik mat där Eenheet an hirem eegene Numm.

Éischten Entsched: wéi eng Managementfläch?

Wann d’Apparat vum FDM geréiert gëtt, ass den FTD REST API déi relevant Fläch. Wann et vum FMC geréiert gëtt, ass deen API keen austauschbaren Ersatz, an d’Objete liewen hannert der FMC hirer eegener API. Bestätegt dat, ier Dir eng eenzeg Demande schreift, well déi falsch Fläch eng glafwierdeg Feeler zréckgëtt, déi wéi e Berechtegungsproblem ausgesäit.

Fir eng Flott entscheet d’Äntwert och, wou d’Zuel gehéiert: pro Apparat iwwer FDM, oder pro Domain iwwer FMC. Dat sinn ënnerschiddlech Ëmfäng an se ginn ënnerschiddlech Zuelen fir déiselwecht Flott.

Zweeten Entsched: wéi eng Ressource äntwert?

Fir e Versiounsgebonne Beispill dokumentéiert d’FMC 7.3 API-Objektreferenz GET-Ressourcen ënner dem health-Pad:

/api/fmc_config/v1/domain/{domainUUID}/health/tunnelstatuses
/api/fmc_config/v1/domain/{domainUUID}/health/tunnelsummaries

D’Tunnelstatus-Ressource ënnerstëtzt Apparat- a Statusfilteren, dorënner TUNNEL_UP. Dat gëtt Iech eng richteg betriblech Ressource fir déi Versioun ze kontrolléieren, amplaz eng Vermutung iwwer en Feldnumm.

Bestätegt d’Disponibilitéit, d’Berechtegungen, d’Demandesparameter an den Äntwert-Schema am API Explorer vum installéierte FMC, ier Dir e Parser implementéiert. D’Dokumentatioun vun enger Versioun ass en Ausgangspunkt, keen Contrat fir déi, déi Dir bedreift.

Schreift den Zuelkontrakt

Formuléiert d’Metrik an engem Saz: eenzegaarteg betriblech Tunnel-Datensätz fir ee virgesinn Apparat an eng Domain, deenen hire gemellten Zoustand TUNNEL_UP ass. Dokumentéiert duerno, wéi redundant Apparater a méi Datensätz fir eng logesch Plaz duergestallt ginn, well déi zwee Fäll entscheeden, ob Är Zuel mat där an der Sëtzung iwwereneestëmmt.

Ännert d’Eenheet net stielfräissend vum Tunnel-Datensaz op eng wäit Plaz. Wann d’Geschäft Plazen wëll, kartéiert d’Datensätz ausdrécklech op Plazen a verëffentlecht d’Kartéierung. Eng Zuel, déi sech stielfräissend nei definéiert, ass schlëmmer wéi keng Zuel, well keen soe kann, wéini se sech geännert huet.

Behandelt d’Zesummefaassungs-Ressource als Komfort nëmmen nodeems Dir bestätegt hutt, wat se zesummefasst. Si kann genau dat aggregéieren, wat Dir braucht, oder eng subtil aner Fro beäntwerten. Liest hire Schema eemol, schreift den Ënnerscheed op, a benotzt d’Statusressource, wann d’Zesummefaassung net erkläert ka ginn. Eng Zesummefaassung, déi Dir net verstitt, ass eng Zuel, déi Dir an enger Iwwerpréiwung net verdeedegen kënnt.

Loosst de Workflow d’Onsécherheet erhalen

Benotzt den approuvéierten HTTPS API, validéiert d’Zertifikat, haalt Tokens aus dem Aufgabenaausgang eraus, a sicht den Ëmfang mat dem Filter an der Paginatioun, déi d’Versioun ënnerstëtzt. Validéiert duerno de Schema, ier Dir eppes berechent.

fetch intended domain/device runtime records
validate response, completeness and freshness
deduplicate by the documented tunnel identity
count records matching the approved up-state definition
report count with scope, timestamp and metric unit

Dat ass Workflow-Pseudocode, keen getestene Playbook. Huelt déi tatsächlech Feldnimm aus dem installéierten API, amplaz eng JSON-Schlëssel mam Numm active ze erfaën.

Déi wichteg Regel ass d’Verhalen bei Feeler: eng Autorisatiounsfeeler, eng net ënnerstëtzt Ressource, eng veral Stéchprooch oder en onvollstännege Säiteset mussen unknown oder error ginn, nieng eng erfollegräich Null. Eng Null, déi heescht, ech konnt net froen, ass déi deierst Aart vu falsch.

Validéiert géint dem Plattform seng eege Vue

Vergläicht dat éischt Resultat mat der VPN-Iwwerwaachungsvue vun der Versioun fir deeselwechten Apparat an deeselwechte Moment. Wa se sech ënnerscheeden, fannt eraus, wéi eng Eenheet jiddwerengen benotzt, ier Dir d’Playbook ännert.

Behaalt net-geheimen Kontext fir all Laf: Ëmfang, Zäitstempel, Eenheet vun der Metrik an Zuel vun den Datensätz. D’FMC 7.3 API-Objektreferenz ass d’Quell fir d’Ressourceweeër uewen, an den API Explorer op Ärer eegener Installatioun ass d’Quell fir alles anescht.