Numërimi i VPN-ve aktive të faqes FTD: cilin numër keni parasysh?

Përpara se të shkruani detyrën Ansible, përgjigjuni një pyetjeje më të vogël: çfarë po numërohet? Një palë e konfiguruar, një sesion IKE, një shoqatë sigurie IPsec dhe një regjistrim i gjendjes së tunelit të monitoruar janë katër njësi të ndryshme, dhe rigjenerimi i çelësave ose disa rrjeta të mbrojtura i bëjnë totalet e tyre të ndryshojnë. Nëse paneli dhe playbook-u nuk bien dakord, zakonisht po numërojnë gjëra të ndryshme dhe jo se njëri prej tyre gabon.

Katër gjëra që njerëzit i quajnë aktive

Një palë e konfiguruar është objekt topologjie: ekziston sepse dikush e përcaktoi. Një sesion IKE është një marrëdhënie e planit të kontrollit që mund të jetë lart ndërsa nuk rrjedh trafik. Një SA IPsec është shoqata e planit të të dhënave për një çift të caktuar përzgjedhësish, dhe një tunel mund të mbajë disa. Një gjendje e tunelit të monitoruar është verdikti operativ i vetë platformës, zakonisht më i afërti me atë që operatori ka parasysh kur thotë se tuneli është lart.

Vetëm i fundit është bazë e arsyeshme për një numërim operativ. I pari është inventar konfigurimi, dhe raportimi i tij si aktiv është mënyra se si një panel tregon të gjelbër për një palë që ka qenë jashtë që prej të martës. Vendosni cila njësi i nevojitet konsumatorit të numrit, pastaj etiketoni metrikën me atë njësi në emrin e saj.

Vendimi i parë: cili plan menaxhimi?

Nëse pajisja menaxhohet nga FDM, sipërfaqja përkatëse është FTD REST API. Nëse menaxhohet nga FMC, ai API nuk është zëvendësim i këmbyeshëm, dhe objektet jetojnë pas API-së së vetë FMC-së. Konfirmoni këtë përpara se të shkruani një kërkesë të vetme, sepse plani i gabuar kthen një gabim të besueshëm që duket si problem leje.

Për një flotë, përgjigjja vendos gjithashtu ku i takon numërimi: për pajisje përmes FDM, ose për domen përmes FMC. Këto janë shtrirje të ndryshme dhe prodhojnë numra të ndryshëm për të njëjtën flotë.

Vendimi i dytë: cili burim përgjigjet?

Për një shembull të kufizuar nga versioni, referenca e objekteve të FMC 7.3 API dokumenton burime GET nën shtegun health:

/api/fmc_config/v1/domain/{domainUUID}/health/tunnelstatuses
/api/fmc_config/v1/domain/{domainUUID}/health/tunnelsummaries

Burimi i gjendjes së tunelit mbështet filtra pajisjeje dhe gjendjeje, duke përfshirë TUNNEL_UP. Kjo ju jep një burim real operativ për të inspektuar për atë version, në vend të një hamendjeje për emrin e një fushe.

Konfirmoni disponueshmërinë, lejet, parametrat e kërkesës dhe skemën e përgjigjes në API Explorer të FMC-së të vendosur përpara se të zbatoni një analizues. Dokumentacioni i një versioni është pikënisje, jo kontratë për atë që po ekzekutoni.

Shkruani kontratën e numërimit

Shprehni metrikën në një fjali: regjistrime operativë tuneli unikë për një pajisje dhe domen të synuar, gjendja e raportuar e të cilëve është TUNNEL_UP. Më pas dokumentoni se si përfaqësohen pajisjet e tepërta dhe regjistrimet e shumëfishta për një faqe logjike, sepse këto dy raste vendosin nëse numri juaj përputhet me atë të mbledhjes.

Mos e ndryshoni në heshtje njësinë nga regjistrim tuneli në faqe të largët. Nëse biznesi dëshiron faqe, hartëzoni regjistrimet në faqe në mënyrë eksplicite dhe publikoni hartëzimin. Një numërim që e ripërcakton veten në heshtje është më keq se asnjë numërim, sepse askush nuk mund të thotë kur ndryshoi.

Trajtojeni burimin përmbledhës si lehtësi vetëm pasi të keni konfirmuar çfarë përmbledh. Ai mund të grumbullojë saktësisht atë që ju nevojitet, ose mund t’i përgjigjet një pyetjeje paksa të ndryshme. Lexoni skemën e tij një herë, shkruani ndryshimin dhe përdorni burimin e gjendjes nëse përmbledhja nuk mund të shpjegohet. Një përmbledhje që nuk e kuptoni është një numër që nuk mund ta mbroni në një rishikim.

Lëreni rrjedhën e punës të ruajë pasigurinë

Përdorni API-në HTTPS të miratuar, validoni certifikatën, mbani shenjat jashtë daljes së detyrës dhe merrni shtrirjen me filtrin dhe faqosjen që mbështet versioni. Më pas validoni skemën përpara se të llogaritni çdo gjë.

fetch intended domain/device runtime records
validate response, completeness and freshness
deduplicate by the documented tunnel identity
count records matching the approved up-state definition
report count with scope, timestamp and metric unit

Ky është pseudokod i rrjedhës së punës, jo një playbook i testuar. Merrni emrat realë të fushave nga API-ja e instaluar në vend që të shpikni një çelës JSON të quajtur active.

Rregulli i rëndësishëm është sjellja në dështim: një gabim autorizimi, një burim i pambështetur, një mostër e vjetëruar ose një grup faqesh i paplotë duhet të prodhojë unknown ose error, kurrë një zero të suksesshme. Një zero që do të thotë se nuk munda të pyesja është lloji më i kushtueshëm i gabimit.

Validoni kundrejt pamjes së vetë platformës

Krahasoni rezultatin e parë me pamjen e monitorimit të VPN-së të versionit për të njëjtën pajisje dhe moment. Kur ndryshojnë, zbuloni cilën njësi përdor secili përpara se të ndryshoni playbook-un.

Ruani kontekst jo të fshehtë për çdo ekzekutim: shtrirje, vulë kohore, njësi e metrikës dhe numër regjistrimesh. referenca e objekteve të FMC 7.3 API është burimi i shtigjeve të burimeve më sipër, dhe API Explorer në vendosjen tuaj është burimi për gjithçka tjetër.