Štetje aktivnih VPN lokacij FTD: katero število imate v mislih?

Preden napišete opravilo Ansible, odgovorite na manjše vprašanje: kaj se šteje? Konfigurirani partner, seja IKE, varnostna asociacija IPsec in zapis nadzorovanega stanja tunela so štiri različne enote, ponovno ustvarjanje ključev ali več zaščitenih omrežij pa povzroči, da se njihove vsote razhajajo. Če se nadzorna plošča in playbook ne strinjata, običajno štejeta različne stvari, ne pa da se eden od njiju moti.

Štiri stvari, ki jih ljudje imenujejo aktivne

Konfigurirani partner je topološki objekt: obstaja, ker ga je nekdo definiral. Seja IKE je razmerje na ravnini upravljanja, ki je lahko vzpostavljeno, medtem ko promet ne teče. SA IPsec je asociacija na ravnini podatkov za določen par selektorjev in en tunel jih lahko nosi več. Nadzorovano stanje tunela je lastna operativna presoja platforme in je običajno najbližje temu, kar ima operater v mislih, ko reče, da je tunel vzpostavljen.

Samo zadnje je razumna podlaga za operativno štetje. Prvo je popis konfiguracije in poročanje o njem kot aktivnem je način, kako plošča prikaže zeleno za partnerja, ki ne deluje od torka. Odločite se, katero enoto potrebuje uporabnik števila, nato pa označite metriko s to enoto v njenem imenu.

Prva odločitev: katera ravnina upravljanja?

Če napravo upravlja FDM, je ustrezna površina FTD REST API. Če jo upravlja FMC, ta API ni zamenljiv nadomestek in objekti živijo za lastnim API-jem FMC. To potrdite, preden napišete eno samo zahtevo, ker napačna ravnina vrne verjetno napako, ki je videti kot težava z dovoljenji.

Pri floti odgovor določi tudi, kam spada štetje: na napravo prek FDM ali na domeno prek FMC. To sta različna obsega in dajeta različna števila za isto floto.

Druga odločitev: kateri vir odgovarja?

Za primer, vezan na različico, referenca objektov FMC 7.3 API dokumentira vire GET pod potjo health:

/api/fmc_config/v1/domain/{domainUUID}/health/tunnelstatuses
/api/fmc_config/v1/domain/{domainUUID}/health/tunnelsummaries

Vir stanja tunela podpira filtre naprave in stanja, vključno z TUNNEL_UP. To vam daje resničen operativni vir za pregled za tisto različico, namesto ugibanja o imenu polja.

Preden uvedete razčlenjevalnik, potrdite razpoložljivost, dovoljenja, parametre zahteve in shemo odgovora v API Explorerju nameščenega FMC. Dokumentacija ene različice je izhodišče, ne pogodba za tisto, ki jo izvajate.

Napišite pogodbo o štetju

Metriko izrazite v enem stavku: edinstveni operativni zapisi tunelov za eno predvideno napravo in domeno, katerih sporočeno stanje je TUNNEL_UP. Nato dokumentirajte, kako so predstavljene redundantne naprave in več zapisov za eno logično lokacijo, ker ta dva primera odločita, ali se vaše število ujema s tistim na sestanku.

Enote ne spreminjajte tiho iz zapisa tunela v oddaljeno lokacijo. Če posel želi lokacije, zapise izrecno preslikajte na lokacije in preslikavo objavite. Štetje, ki se tiho na novo opredeli, je slabše od nobenega štetja, ker nihče ne more reči, kdaj se je spremenilo.

Do povzetnega vira se vedite kot do priročnosti šele potem, ko potrdite, kaj povzema. Lahko združuje točno to, kar potrebujete, ali pa odgovarja na rahlo drugačno vprašanje. Preberite njegovo shemo enkrat, zapišite razliko in uporabite vir stanja, če povzetka ni mogoče pojasniti. Povzetek, ki ga ne razumete, je število, ki ga na pregledu ne morete zagovarjati.

Naj delovni tok ohrani negotovost

Uporabite odobreni HTTPS API, preverite potrdilo, hranite žetone izven izhoda opravila in pridobite obseg s filtrom in oštevilčenjem strani, ki jih različica podpira. Nato preverite shemo, preden karkoli izračunate.

fetch intended domain/device runtime records
validate response, completeness and freshness
deduplicate by the documented tunnel identity
count records matching the approved up-state definition
report count with scope, timestamp and metric unit

To je psevdokoda delovnega toka, ne preizkušen playbook. Vzemite dejanska imena polj iz nameščenega API-ja, namesto da bi si izmislili ključ JSON z imenom active.

Pomembno pravilo je vedenje ob napaki: napaka avtorizacije, nepodprt vir, zastarel vzorec ali nepopoln nabor strani morajo dati unknown ali error, nikoli uspešne ničle. Ničla, ki pomeni, da nisem mogel vprašati, je najdražja vrsta napake.

Preverite glede na lasten pogled platforme

Primerjajte prvi rezultat s pogledom nadzora VPN te različice za isto napravo in trenutek. Ko se razlikujeta, ugotovite, katero enoto uporablja vsak, preden spremenite playbook.

Ohranite nejaven kontekst za vsak zagon: obseg, časovni žig, enoto metrike in število zapisov. referenca objektov FMC 7.3 API je vir poti do virov zgoraj, API Explorer v vaši lastni namestitvi pa je vir za vse ostalo.