Идэвхтэй FTD сайтын VPN-ийг тоолох нь: аль тоог хэлж байна вэ?

Ansible даалгаврыг бичихээс өмнө бага асуултад хариулна уу: юу тоологдож байна вэ? Тохируулсан пэр, IKE сесс, IPsec аюулгүй байдлын холбоо, хянагдаж буй туннелийн төлөвийн бичлэг нь дөрвөн өөр нэгж бөгөөд түлхүүр дахин үүсгэх эсвэл олон хамгаалагдсан сүлжээ тэдгээрийн нийлбэрийг зөрүүлдэг. Хэрэв хяналтын самбар ба playbook санал нийлэхгүй бол тэд ихэвчлэн өөр зүйлийг тоолж байгаа бөгөөд аль нэг нь буруу биш юм.

Хүмүүс идэвхтэй гэж нэрлэдэг дөрвөн зүйл

Тохируулсан пэр нь топологийн объект: хэн нэгэн үүнийг тодорхойлсон учраас оршин байна. IKE сесс нь удирдлагын хавтгайн харилцаа бөгөөд трафик урсахгүй байхад ч дээшээ байж болно. IPsec SA нь тодорхой сонгогч хосын өгөгдлийн хавтгайн холбоо бөгөөд нэг туннель хэдийг ч зөөж болно. Хянагдаж буй туннелийн төлөв нь платформын өөрийн үйл ажиллагааны дүгнэлт бөгөөд ихэвчлэн оператор «туннель дээшээ байна» гэж хэлэхэд түүний санаж буй зүйлд хамгийн ойр байдаг.

Зөвхөн сүүлчийнх нь үйл ажиллагааны тооллогын үндэслэлтэй суурь юм. Эхнийх нь тохиргооны жагсаалт бөгөөд түүнийг идэвхтэй гэж мэдээлэх нь мягмар гарагаас хойш унтарсан пэрт хяналтын самбар ногоон харуулах арга юм. Тооны хэрэглэгчид аль нэгж хэрэгтэйг шийдэж, дараа нь хэмжигдэхүүнийг тухайн нэгжээр өөрийн нэрэнд нь тэмдэглэнэ үү.

Нэгдүгээр шийдвэр: аль удирдлагын хавтгай?

Хэрэв төхөөрөмжийг FDM удирддаг бол холбогдох гадаргуу нь FTD REST API юм. Хэрэв үүнийг FMC удирддаг бол тэр API нь харилцан солигдох орлуулагч биш бөгөөд объектууд FMC-ийн өөрийн API-ийн цаана амьдардаг. Нэг ч хүсэлт бичихээс өмнө үүнийг баталгаажуулна уу, учир нь буруу хавтгай зөвшөөрлийн асуудал мэт харагдах үнэмшилтэй алдаа буцаадаг.

Флотын хувьд хариулт нь тооллого хаана хамаарахыг ч тодорхойлно: FDM-ээр төхөөрөмж тус бүрээр эсвэл FMC-ээр домэйн тус бүрээр. Эдгээр нь өөр хүрээ бөгөөд нэг флотод өөр тоо өгдөг.

Хоёрдугаар шийдвэр: аль нөөц хариулах вэ?

Хувилбарт хязгаарлагдсан жишээний хувьд FMC 7.3 API объектын лавлах health замын доорх GET нөөцүүдийг баримтжуулдаг:

/api/fmc_config/v1/domain/{domainUUID}/health/tunnelstatuses
/api/fmc_config/v1/domain/{domainUUID}/health/tunnelsummaries

Туннелийн төлөвийн нөөц нь төхөөрөмж ба төлөвийн шүүлтүүрийг дэмждэг, түүний дотор TUNNEL_UP. Энэ нь тухайн хувилбарт шалгах бодит үйл ажиллагааны нөөцийг өгдөг, талбарын нэрийн талаарх таамаг биш.

Парсер хэрэгжүүлэхийн өмнө суулгасан FMC-ийн API Explorer-т боломж, зөвшөөрөл, хүсэлтийн параметр, хариултын схемийг баталгаажуулна уу. Нэг хувилбарын баримт бичиг нь эхлэх цэг бөгөөд таны ажиллуулж буй хувилбарын гэрээ биш юм.

Тооллогын гэрээг бичнэ үү

Хэмжигдэхүүнийг нэг өгүүлбэрээр хэлнэ үү: нэг зориулалтын төхөөрөмж ба домэйнд зориулсан өвөрмөц үйл ажиллагааны туннелийн бичлэгүүд, тэдгээрийн мэдээлсэн төлөв TUNNEL_UP. Дараа нь илүүдэл төхөөрөмж ба нэг логик сайтын олон бичлэг хэрхэн дүрслэгдэхийг баримтжуулна уу, учир нь эдгээр хоёр тохиолдол таны тоо хурал дээрх тоотой таарах эсэхийг шийддэг.

Нэгжийг чимээгүйгээр туннелийн бичлэгээс алслагдсан сайт руу бүү соль. Хэрэв бизнес сайтуудыг хүсвэл бичлэгүүдийг сайтуудтай тодорхой харгалзуулж, энэ харгалзуулгыг нийтэл. Өөрийгөө чимээгүйгээр дахин тодорхойлдог тооллого нь тооллого огт байхгүйгээс ч дор, учир нь хэн ч хэзээ өөрчлөгдсөнийг хэлж чадахгүй.

Дүгнэлт нөөцийг юуг дүгнэж байгааг баталгаажуулсны дараа л тав тух гэж үзээрэй. Энэ нь танд хэрэгтэй зүйлийг яг нэгтгэж болно, эсвэл бага зэрэг өөр асуултад хариулж болно. Схемийг нь нэг удаа уншиж, ялгааг бичиж аваад, дүгнэлтийг тайлбарлах боломжгүй бол төлөвийн нөөцийг ашиглаарай. Таны ойлгохгүй байгаа дүгнэлт бол хяналтад хамгаалж чадахгүй тоо юм.

Ажлын урсгал тодорхойгүй байдлыг хадгалъя

Зөвшөөрөгдсөн HTTPS API-г ашиглаж, сертификатыг баталгаажуулж, токенуудыг даалгаврын гаралтаас гадуур байлгаж, хувилбарын дэмждэг шүүлтүүр ба хуудаслалтаар хүрээг авна уу. Дараа нь ямар нэгэн зүйлийг тооцоолохын өмнө схеминг баталгаажуулна уу.

fetch intended domain/device runtime records
validate response, completeness and freshness
deduplicate by the documented tunnel identity
count records matching the approved up-state definition
report count with scope, timestamp and metric unit

Энэ бол ажлын урсгалын псевдокод, шалгасан playbook биш. active нэртэй JSON түлхүүр зохиохын оронд суулгасан API-аас бодит талбарын нэрсийг авна уу.

Чухал дүрэм бол бүтэлгүйтэлтийн зан төлөв: зөвшөөрлийн алдаа, дэмжигдээгүй нөөц, хуучирсан дээж эсвэл бүрэн бус хуудасны багц нь unknown эсвэл error өгөх ёстой, хэзээ ч амжилттай тэг биш. «Асууж чадсангүй» гэсэн утгатай тэг бол алдааны хамгийн үнэтэй төрөл юм.

Платформын өөрийн харагдацтай харьцуулан баталгаажуулна уу

Эхний үр дүнг ижил төхөөрөмж ба мөчид зориулсан хувилбарын VPN хяналтын харагдацтай харьцуулна уу. Тэд ялгаатай үед playbook-ийг өөрчлөхөөс өмнө аль нь ямар нэгж ашиглаж байгааг олж мэдээрэй.

Гүйлт бүрт нууц бус контекстийг хадгална уу: хүрээ, цагийн тэмдэг, хэмжигдэхүүний нэгж, бичлэгийн тоо. FMC 7.3 API объектын лавлах нь дээрх нөөцийн замуудын эх сурвалж бөгөөд өөрийн байршуулалтын API Explorer нь бусад бүхний эх сурвалж юм.