Etkin FTD site VPN’lerini saymak: hangi sayıyı kastediyorsunuz?

Ansible görevini yazmadan önce daha küçük bir soruyu yanıtlayın: ne sayılıyor? Yapılandırılmış bir eş, bir IKE oturumu, bir IPsec güvenlik ilişkisi ve izlenen bir tünel durumu kaydı dört farklı birimdir ve anahtar yenileme veya birden çok korumalı ağ toplamlarının ayrışmasına yol açar. Gösterge paneli ile playbook uyuşmuyorsa, genellikle farklı şeyleri sayıyorlardır, biri yanlış değildir.

İnsanların etkin dediği dört şey

Yapılandırılmış bir eş bir topoloji nesnesidir: biri onu tanımladığı için vardır. Bir IKE oturumu, trafik akmadan da ayakta olabilen bir kontrol düzlemi ilişkisidir. Bir IPsec SA, belirli bir seçici çifti için veri düzlemi ilişkisidir ve bir tünel birden fazlasını taşıyabilir. İzlenen tünel durumu platformun kendi operasyonel hükmüdür ve genellikle operatörün tünel ayakta derken kastettiğine en yakın olanıdır.

Yalnızca sonuncusu operasyonel bir sayım için makul bir temeldir. Birincisi bir yapılandırma envanteridir ve onu etkin olarak bildirmek, salıdan beri kapalı olan bir eş için panelin yeşil gösterme biçimidir. Sayının tüketicisinin hangi birime ihtiyacı olduğuna karar verin, sonra metriği kendi adında o birimle etiketleyin.

Birinci karar: hangi yönetim düzlemi?

Cihaz FDM tarafından yönetiliyorsa ilgili yüzey FTD REST API’dir. FMC tarafından yönetiliyorsa o API değiştirilebilir bir yedek değildir ve nesneler FMC’nin kendi API’sinin arkasında yaşar. Tek bir istek yazmadan önce bunu doğrulayın, çünkü yanlış düzlem izin sorunu gibi görünen inandırıcı bir hata döndürür.

Bir filo için yanıt, sayımın nereye ait olduğunu da belirler: FDM üzerinden cihaz başına mı, FMC üzerinden alan adı başına mı. Bunlar farklı kapsamlardır ve aynı filo için farklı sayılar üretirler.

İkinci karar: hangi kaynak yanıtlıyor?

Sürüme bağlı bir örnek için FMC 7.3 API nesne başvurusu health yolunun altındaki GET kaynaklarını belgeler:

/api/fmc_config/v1/domain/{domainUUID}/health/tunnelstatuses
/api/fmc_config/v1/domain/{domainUUID}/health/tunnelsummaries

Tünel durumu kaynağı cihaz ve durum filtrelerini destekler, bunlar dahil TUNNEL_UP. Bu size o sürüm için inceleyebileceğiniz gerçek bir operasyonel kaynak verir, alan adı hakkında bir tahmin değil.

Bir ayrıştırıcı uygulamadan önce kurulu FMC’nin API Explorer’ında kullanılabilirliği, izinleri, istek parametrelerini ve yanıt şemasını doğrulayın. Bir sürümün belgeleri başlangıç noktasıdır, çalıştırdığınız sürümün sözleşmesi değildir.

Sayım sözleşmesini yazın

Metriği tek bir cümlede ifade edin: tek bir amaçlanan cihaz ve alan adı için, bildirilen durumu TUNNEL_UP olan benzersiz operasyonel tünel kayıtları. Ardından yedek cihazların ve tek bir mantıksal site için birden çok kaydın nasıl temsil edildiğini belgeleyin, çünkü bu iki durum sayınızın toplantıdakiyle eşleşip eşleşmediğini belirler.

Birimi sessizce tünel kaydından uzak siteye değiştirmeyin. İşletme siteler istiyorsa, kayıtları sitelere açıkça eşleyin ve eşlemeyi yayımlayın. Kendini sessizce yeniden tanımlayan bir sayım, hiç sayım olmamasından daha kötüdür, çünkü kimse ne zaman değiştiğini söyleyemez.

Özet kaynağını ancak neyi özetlediğini doğruladıktan sonra bir kolaylık olarak görün. Tam olarak ihtiyacınız olanı toplayabilir veya biraz farklı bir soruyu yanıtlayabilir. Şemasını bir kez okuyun, farkı not edin ve özet açıklanamıyorsa durum kaynağını kullanın. Anlamadığınız bir özet, bir incelemede savunamayacağınız bir sayıdır.

İş akışı belirsizliği korusun

Onaylanmış HTTPS API’yi kullanın, sertifikayı doğrulayın, belirteçleri görev çıktısının dışında tutun ve kapsamı sürümün desteklediği filtre ve sayfalama ile alın. Ardından herhangi bir şeyi hesaplamadan önce şemayı doğrulayın.

fetch intended domain/device runtime records
validate response, completeness and freshness
deduplicate by the documented tunnel identity
count records matching the approved up-state definition
report count with scope, timestamp and metric unit

Bu bir iş akışı sözde kodudur, test edilmiş bir playbook değildir. active adında bir JSON anahtarı uydurmak yerine gerçek alan adlarını kurulu API’den alın.

Önemli kural hata davranışıdır: bir yetkilendirme hatası, desteklenmeyen bir kaynak, eski bir örnek veya eksik bir sayfa kümesi unknown veya error üretmelidir, asla başarılı bir sıfır değil. Soramadım anlamına gelen sıfır, en pahalı hata türüdür.

Platformun kendi görünümüne karşı doğrulayın

İlk sonucu aynı cihaz ve an için sürümün VPN izleme görünümüyle karşılaştırın. Farklı olduklarında, playbook’u değiştirmeden önce her birinin hangi birimi kullandığını bulun.

Her çalıştırma için gizli olmayan bağlamı saklayın: kapsam, zaman damgası, metriğin birimi ve kayıt sayısı. FMC 7.3 API nesne başvurusu yukarıdaki kaynak yollarının kaynağıdır ve kendi dağıtımınızdaki API Explorer diğer her şeyin kaynağıdır.