Бројање активних FTD ВПН-ова локације: који број мислите?

Пре него што напишете Ansible задатак, одговорите на мање питање: шта се броји? Конфигурисани партнер, IKE сесија, IPsec безбедносна асоцијација и запис надгледаног статуса тунела су четири различите јединице, а поновно генерисање кључева или више заштићених мрежа чини да се њихови збирови разилазе. Ако се контролна табла и playbook не слажу, обично броје различите ствари, а не да је једно од њих погрешно.

Четири ствари које људи називају активним

Конфигурисани партнер је тополошки објекат: постоји јер га је неко дефинисао. IKE сесија је однос на равни управљања који може бити подигнут док саобраћај не тече. IPsec SA је асоцијација на равни података за одређени пар селектора, а један тунел може носити неколико њих. Надгледани статус тунела је сопствена оперативна пресуда платформе и обично је најближа ономе што оператер мисли када каже да је тунел подигнут.

Само последња је разумна основа за оперативно бројање. Прва је инвентар конфигурације, а пријављивање као активне је начин на који табла приказује зелено за партнера који не ради од уторка. Одлучите која је јединица потребна потрошачу броја, а затим означите метрику том јединицом у њеном имену.

Прва одлука: која раван управљања?

Ако уређајем управља FDM, релевантна површина је FTD REST API. Ако њиме управља FMC, тај API није заменљива алтернатива и објекти живе иза сопственог API-ја FMC-а. Потврдите то пре него што напишете и један захтев, јер погрешна раван враћа уверљиву грешку која изгледа као проблем с дозволама.

За флоту одговор такође одлучује где бројање припада: по уређају кроз FDM или по домену кроз FMC. То су различити обухвати и дају различите бројеве за исту флоту.

Друга одлука: који ресурс одговара?

За пример везан за верзију, референца објеката FMC 7.3 API документује GET ресурсе под путањом health:

/api/fmc_config/v1/domain/{domainUUID}/health/tunnelstatuses
/api/fmc_config/v1/domain/{domainUUID}/health/tunnelsummaries

Ресурс статуса тунела подржава филтере уређаја и статуса, укључујући TUNNEL_UP. То вам даје стварни оперативни ресурс за проверу за то издање, а не нагађање о називу поља.

Пре имплементације парсера потврдите доступност, дозволе, параметре захтева и шему одговора у API Explorer-у инсталираног FMC-а. Документација за једно издање је полазна тачка, а не уговор за оно које покрећете.

Напишите уговор о бројању

Формулишите метрику у једној реченици: јединствени оперативни записи тунела за један предвиђени уређај и домен чије је пријављено стање TUNNEL_UP. Затим документујте како су представљени резервни уређаји и више записа за једну логичку локацију, јер та два случаја одлучују да ли се ваш број поклапа са оним са састанка.

Не мењајте тихо јединицу са записа тунела на удаљену локацију. Ако посао жели локације, експлицитно пресликајте записе на локације и објавите то пресликавање. Бројање које се тихо редефинише горе је од никаквог бројања, јер нико не може рећи када се променило.

Третирајте сажети ресурс као погодност тек након што потврдите шта сажема. Може агрегирати тачно оно што вам треба или одговарати на суптилно другачије питање. Прочитајте његову шему једном, запишите разлику и користите ресурс статуса ако се сажетак не може објаснити. Сажетак који не разумете је број који не можете одбранити у прегледу.

Нека ток рада сачува неизвесност

Користите одобрени HTTPS API, проверите сертификат, држите токене изван излаза задатка и дохватите обухват помоћу филтера и страничења које издање подржава. Затим проверите шему пре било каквог израчунавања.

fetch intended domain/device runtime records
validate response, completeness and freshness
deduplicate by the documented tunnel identity
count records matching the approved up-state definition
report count with scope, timestamp and metric unit

Ово је псеудокод тока рада, а не тестирани playbook. Узмите стварне називе поља из инсталираног API-ја уместо да измишљате JSON кључ назван active.

Важно правило је понашање при неуспеху: грешка ауторизације, неподржани ресурс, застарели узорак или непотпун скуп страница морају дати unknown или error, никада успешну нулу. Нула која значи да нисам могао да питам најскупља је врста грешке.

Проверите према сопственом приказу платформе

Упоредите први резултат са приказом VPN надзора тог издања за исти уређај и тренутак. Када се разликују, откријте коју јединицу сваки користи пре него што промените playbook.

Чувајте нетајни контекст за свако покретање: обухват, временску ознаку, јединицу метрике и број записа. Референца објеката FMC 7.3 API је извор путања ресурса изнад, а API Explorer на вашем сопственом распоређивању је извор за све остало.