Počítanie aktívnych VPN lokalít FTD: ktoré číslo máte na mysli?

Skôr než napíšete úlohu Ansible, odpovedzte na menšiu otázku: čo sa počíta? Nakonfigurovaný partner, relácia IKE, bezpečnostná asociácia IPsec a záznam sledovaného stavu tunela sú štyri rôzne jednotky a obnovenie kľúčov alebo viac chránených sietí spôsobuje, že sa ich súčty rozchádzajú. Keď sa panel a playbook rozchádzajú, zvyčajne počítajú rôzne veci, nie že by jeden z nich bol nesprávny.

Štyri veci, ktoré ľudia nazývajú aktívne

Nakonfigurovaný partner je topologický objekt: existuje, pretože ho niekto definoval. Relácia IKE je vzťah na rovine riadenia, ktorý môže byť hore, aj keď nepreteká žiadna prevádzka. SA IPsec je asociácia na rovine údajov pre konkrétnu dvojicu selektorov a jeden tunel ich môže niesť niekoľko. Sledovaný stav tunela je vlastný prevádzkový verdikt platformy a zvyčajne je najbližšie tomu, čo operátor myslí tým, že tunel je hore.

Len posledná je rozumným základom pre prevádzkový počet. Prvá je inventár konfigurácie a vykazovať ju ako aktívnu je spôsob, akým panel zobrazuje zelenú pre partnera, ktorý je od utorka dole. Rozhodnite, ktorú jednotku spotrebiteľ čísla potrebuje, a potom pomenujte metriku s touto jednotkou v jej názve.

Prvé rozhodnutie: ktorá rovina správy?

Ak zariadenie spravuje FDM, príslušným rozhraním je FTD REST API. Ak ho spravuje FMC, toto API nie je zameniteľnou náhradou a objekty žijú za vlastným API FMC. Potvrďte to skôr, než napíšete jedinú požiadavku, pretože nesprávna rovina vracia vierohodnú chybu, ktorá vyzerá ako problém s oprávneniami.

Pri flotile odpoveď tiež určuje, kam počet patrí: na zariadenie cez FDM alebo na doménu cez FMC. To sú rôzne rozsahy a dávajú rôzne čísla pre tú istú flotilu.

Druhé rozhodnutie: ktorý prostriedok odpovedá?

Pre príklad viazaný na verziu dokumentuje referenčná príručka objektov FMC 7.3 API prostriedky GET pod cestou health:

/api/fmc_config/v1/domain/{domainUUID}/health/tunnelstatuses
/api/fmc_config/v1/domain/{domainUUID}/health/tunnelsummaries

Prostriedok stavu tunela podporuje filtre zariadenia a stavu, vrátane TUNNEL_UP. To vám dáva skutočný prevádzkový prostriedok na preskúmanie pre danú verziu, nie odhad názvu poľa.

Pred implementáciou parsera potvrďte dostupnosť, oprávnenia, parametre požiadavky a schému odpovede v API Exploreri nasadeného FMC. Dokumentácia jednej verzie je východiskový bod, nie zmluva pre tú, ktorú prevádzkujete.

Napíšte zmluvu o počítaní

Vyjadrite metriku jednou vetou: jedinečné prevádzkové záznamy tunelov pre jedno zamýšľané zariadenie a doménu, ktorých hlásený stav je TUNNEL_UP. Potom zdokumentujte, ako sú zastúpené redundantné zariadenia a viac záznamov pre jednu logickú lokalitu, pretože tieto dva prípady rozhodujú, či vaše číslo zodpovedá tomu na porade.

Nemeňte ticho jednotku zo záznamu tunela na vzdialenú lokalitu. Ak business chce lokality, namapujte záznamy na lokality explicitne a mapovanie zverejnite. Počet, ktorý sa ticho predefinuje, je horší ako žiadny počet, pretože nikto nevie povedať, kedy sa zmenil.

K súhrnnému prostriedku pristupujte ako k pohodliu až po tom, čo potvrdíte, čo sumarizuje. Môže agregovať presne to, čo potrebujete, alebo odpovedať na jemne odlišnú otázku. Prečítajte si jeho schému raz, zapíšte rozdiel a použite prostriedok stavu, ak sa súhrn nedá vysvetliť. Súhrnu, ktorému nerozumiete, je číslo, ktoré v recenzii neobhájite.

Nech pracovný postup zachová neistotu

Použite schválené HTTPS API, overte certifikát, držte tokeny mimo výstupu úlohy a načítajte rozsah pomocou filtra a stránkovania, ktoré verzia podporuje. Potom overte schému, skôr než čokoľvek vypočítate.

fetch intended domain/device runtime records
validate response, completeness and freshness
deduplicate by the documented tunnel identity
count records matching the approved up-state definition
report count with scope, timestamp and metric unit

Toto je pseudokód pracovného postupu, nie testovaný playbook. Vezmite skutočné názvy polí z nainštalovaného API namiesto vymýšľania JSON kľúča s názvom active.

Dôležité pravidlo je správanie pri zlyhaní: chyba autorizácie, nepodporovaný prostriedok, zastaraná vzorka alebo neúplná sada stránok musia dať unknown alebo error, nikdy úspešnú nulu. Nula, ktorá znamená, že som sa nemohol opýtať, je najdrahší druh chyby.

Overte voči vlastnému pohľadu platformy

Porovnajte prvý výsledok s pohľadom monitorovania VPN danej verzie pre to isté zariadenie a okamih. Keď sa líšia, zistite, ktorú jednotku používa každý, skôr než zmeníte playbook.

Uchovávajte neutajovaný kontext pre každé spustenie: rozsah, časovú pečiatku, jednotku metriky a počet záznamov. Referenčná príručka objektov FMC 7.3 API je zdrojom ciest k prostriedkom vyššie a API Explorer vo vašom vlastnom nasadení je zdrojom všetkého ostatného.