🥇 ການສ້າງ ແລະ ອັບໂຫຼດອັດຕະໂນມັດຂອງອົງປະກອບການຕັ້ງຄ່າອຸປະກອນເຄືອຂ່າຍໂດຍໃຊ້ Nornir

Hey Habr!

ບໍ່ດົນມານີ້, ບົດຄວາມໄດ້ປາກົດຢູ່ນີ້ Mikrotik ແລະ Linux. ປົກກະຕິແລະອັດຕະໂນມັດ ບ່ອນທີ່ບັນຫາທີ່ຄ້າຍຄືກັນໄດ້ຖືກແກ້ໄຂໂດຍໃຊ້ວິທີການຟອດຊິວທໍາ. ແລະເຖິງແມ່ນວ່າວຽກງານແມ່ນປົກກະຕິຢ່າງສົມບູນ, ບໍ່ມີຫຍັງຄ້າຍຄືກັນກ່ຽວກັບມັນຢູ່ໃນHabre. ຂ້ອຍກ້າສະເໜີລົດຖີບຂອງຂ້ອຍໃຫ້ກັບຊຸມຊົນໄອທີທີ່ເຄົາລົບ.

ນີ້ບໍ່ແມ່ນລົດຖີບທໍາອິດສໍາລັບວຽກງານດັ່ງກ່າວ. ທາງເລືອກທໍາອິດໄດ້ຖືກປະຕິບັດຫຼາຍປີກ່ອນຫນ້ານີ້ກັບຄືນໄປບ່ອນໃນ ຕອບຮັບໄດ້ ລຸ້ນ 1.x.x. ລົດຖີບບໍ່ຄ່ອຍໄດ້ນຳໃຊ້ ແລະເພາະສະນັ້ນຈຶ່ງເກີດ rusted ຢູ່ສະເໝີ. ໃນຄວາມຮູ້ສຶກວ່າວຽກງານຕົວມັນເອງບໍ່ເກີດຂື້ນເລື້ອຍໆເທົ່າທີ່ສະບັບປັບປຸງ ຕອບຮັບໄດ້. ແລະທຸກຄັ້ງທີ່ເຈົ້າຕ້ອງການຂັບລົດ, ລະບົບຕ່ອງໂສ້ຕົກຫຼືລໍ້ຫຼຸດລົງ. ຢ່າງໃດກໍຕາມ, ພາກສ່ວນທໍາອິດ, ການສ້າງ configs, ສະເຫມີເຮັດວຽກຢ່າງຊັດເຈນຫຼາຍ, ໂຊກດີ jinja2 ເຄື່ອງຈັກໄດ້ຖືກສ້າງຕັ້ງຂຶ້ນດົນນານ. ແຕ່ພາກສ່ວນທີສອງ - rolling out configs - ປົກກະຕິແລ້ວໄດ້ນໍາເອົາຄວາມແປກໃຈ. ແລະນັບຕັ້ງແຕ່ຂ້ອຍຕ້ອງມ້ວນ config ຫ່າງໄກສອກຫຼີກເຖິງເຄິ່ງຫນຶ່ງຮ້ອຍອຸປະກອນ, ບາງບ່ອນຢູ່ໄກຫລາຍພັນກິໂລແມັດ, ການນໍາໃຊ້ເຄື່ອງມືນີ້ແມ່ນຫນ້າເບື່ອເລັກນ້ອຍ.

ໃນທີ່ນີ້ຂ້ອຍຕ້ອງຍອມຮັບວ່າຄວາມບໍ່ແນ່ນອນຂອງຂ້ອຍມັກຈະຢູ່ໃນການຂາດຄວາມຄຸ້ນເຄີຍຂອງຂ້ອຍ ຕອບຮັບໄດ້ກ່ວາຢູ່ໃນຂໍ້ບົກຜ່ອງຂອງມັນ. ແລະນີ້, ໂດຍວິທີທາງການ, ເປັນຈຸດສໍາຄັນ. ຕອບຮັບໄດ້ ແມ່ນແຍກຕ່າງຫາກຢ່າງສົມບູນ, ພື້ນທີ່ຄວາມຮູ້ຂອງຕົນເອງກັບ DSL (ພາສາສະເພາະຂອງໂດເມນ), ເຊິ່ງຕ້ອງໄດ້ຮັບການຮັກສາໄວ້ໃນລະດັບຄວາມຫມັ້ນໃຈ. ແລ້ວ, ເວລານັ້ນ ຕອບຮັບໄດ້ ມັນກໍາລັງພັດທະນາຢ່າງໄວວາ, ແລະໂດຍບໍ່ມີການພິຈາລະນາພິເສດສໍາລັບການເຂົ້າກັນໄດ້ໃນດ້ານຫລັງ, ມັນບໍ່ໄດ້ເພີ່ມຄວາມຫມັ້ນໃຈ.

ດັ່ງນັ້ນ, ບໍ່ດົນກ່ອນຫນ້ານີ້, ລົດຖີບຮຸ່ນທີສອງໄດ້ຖືກປະຕິບັດ. ເວລານີ້ python, ຫຼືແທນທີ່ຈະຢູ່ໃນກອບທີ່ຂຽນໄວ້ໃນ python ແລະ ສຳ ລັບ python ພາຍໃຕ້ຊື່ ນໍເນີ

ດັ່ງນັ້ນ - ນໍເນີ ເປັນ microframework ລາຍລັກອັກສອນໃນ python ແລະ ສຳ ລັບ python ແລະຖືກອອກແບບສໍາລັບການອັດຕະໂນມັດ. ເຊັ່ນດຽວກັນກັບກໍລະນີທີ່ມີ ຕອບຮັບໄດ້, ເພື່ອແກ້ໄຂບັນຫາຢູ່ທີ່ນີ້, ການກະກຽມຂໍ້ມູນທີ່ມີຄວາມສາມາດໃນການ, i.e. ສິນຄ້າຄົງຄັງຂອງ hosts ແລະຕົວກໍານົດການຂອງເຂົາເຈົ້າ, ແຕ່ scripts ບໍ່ໄດ້ຂຽນຢູ່ໃນ DSL ແຍກຕ່າງຫາກ, ແຕ່ໃນດຽວກັນບໍ່ເກົ່າຫຼາຍ, ແຕ່ດີຫຼາຍ p[i|i]ton.

ໃຫ້ເບິ່ງສິ່ງທີ່ມັນໃຊ້ຕົວຢ່າງສົດຕໍ່ໄປນີ້.

ຂ້ອຍມີເຄືອຂ່າຍສາຂາທີ່ມີຫ້ອງການຫຼາຍສິບແຫ່ງໃນທົ່ວປະເທດ. ແຕ່ລະຫ້ອງການມີ Router WAN ທີ່ຢຸດຊ່ອງທາງການສື່ສານຈາກຜູ້ປະຕິບັດການທີ່ແຕກຕ່າງກັນ. ໂປຣໂຕຄໍການກຳນົດເສັ້ນທາງແມ່ນ BGP. routers WAN ມີສອງປະເພດ: Cisco ISG ຫຼື Juniper SRX.

ໃນປັດຈຸບັນວຽກງານ: ທ່ານຈໍາເປັນຕ້ອງໄດ້ກໍາຫນົດຄ່າເຄືອຂ່າຍຍ່ອຍສະເພາະສໍາລັບການເຝົ້າລະວັງວິດີໂອຢູ່ໃນພອດແຍກຕ່າງຫາກກ່ຽວກັບ router WAN ທັງຫມົດຂອງເຄືອຂ່າຍສາຂາ - ໂຄສະນາເຄືອຂ່າຍຍ່ອຍນີ້ໃນ BGP - ກໍານົດຂອບເຂດຄວາມໄວຂອງພອດທີ່ອຸທິດຕົນ.

ຫນ້າທໍາອິດ, ພວກເຮົາຈໍາເປັນຕ້ອງໄດ້ກະກຽມຄູ່ນ່ຶຂອງແມ່ແບບ, ບົນພື້ນຖານຂອງການຕັ້ງຄ່າຈະຖືກສ້າງຂຶ້ນແຍກຕ່າງຫາກສໍາລັບ Cisco ແລະ Juniper. ມັນຍັງມີຄວາມຈໍາເປັນໃນການກະກຽມຂໍ້ມູນສໍາລັບແຕ່ລະຈຸດແລະຕົວກໍານົດການເຊື່ອມຕໍ່, i.e. ເກັບກໍາຂໍ້ມູນຄົງຄັງດຽວກັນ

ແມ່ແບບພ້ອມສໍາລັບ Cisco:

$ cat templates/ios/base.j2 
class-map match-all VIDEO_SURV
 match access-group 111

policy-map VIDEO_SURV
 class VIDEO_SURV
    police 1500000 conform-action transmit  exceed-action drop

interface {{ host.task_data.ifname }}
  description VIDEOSURV
  ip address 10.10.{{ host.task_data.ipsuffix }}.254 255.255.255.0
  service-policy input VIDEO_SURV

router bgp {{ host.task_data.asn }}
  network 10.40.{{ host.task_data.ipsuffix }}.0 mask 255.255.255.0

access-list 11 permit 10.10.{{ host.task_data.ipsuffix }}.0 0.0.0.255
access-list 111 permit ip 10.10.{{ host.task_data.ipsuffix }}.0 0.0.0.255 any

ແມ່ແບບສໍາລັບ Juniper:

$ cat templates/junos/base.j2 
set interfaces {{ host.task_data.ifname }} unit 0 description "Video surveillance"
set interfaces {{ host.task_data.ifname }} unit 0 family inet filter input limit-in
set interfaces {{ host.task_data.ifname }} unit 0 family inet address 10.10.{{ host.task_data.ipsuffix }}.254/24
set policy-options policy-statement export2bgp term 1 from route-filter 10.10.{{ host.task_data.ipsuffix }}.0/24 exact
set security zones security-zone WAN interfaces {{ host.task_data.ifname }}
set firewall policer policer-1m if-exceeding bandwidth-limit 1m
set firewall policer policer-1m if-exceeding burst-size-limit 187k
set firewall policer policer-1m then discard
set firewall policer policer-1.5m if-exceeding bandwidth-limit 1500000
set firewall policer policer-1.5m if-exceeding burst-size-limit 280k
set firewall policer policer-1.5m then discard
set firewall filter limit-in term 1 then policer policer-1.5m
set firewall filter limit-in term 1 then count limiter

ແມ່ແບບ, ແນ່ນອນ, ບໍ່ອອກມາຈາກອາກາດບາງໆ. ເຫຼົ່ານີ້ແມ່ນຄວາມແຕກຕ່າງທີ່ສໍາຄັນລະຫວ່າງການຕັ້ງຄ່າການເຮັດວຽກທີ່ເປັນແລະຫຼັງຈາກການແກ້ໄຂວຽກງານໃນສອງ routers ສະເພາະຂອງແບບທີ່ແຕກຕ່າງກັນ.

ຈາກແມ່ແບບຂອງພວກເຮົາພວກເຮົາເຫັນວ່າເພື່ອແກ້ໄຂບັນຫາ, ພວກເຮົາຕ້ອງການພຽງແຕ່ສອງຕົວກໍານົດການສໍາລັບ Juniper ແລະ 3 ຕົວກໍານົດການສໍາລັບ Cisco. ນີ້ພວກເຂົາແມ່ນ:

ifname
ipsuffix
asn

ໃນປັດຈຸບັນພວກເຮົາຈໍາເປັນຕ້ອງໄດ້ກໍານົດຕົວກໍານົດການເຫຼົ່ານີ້ສໍາລັບແຕ່ລະອຸປະກອນ, i.e. ເຮັດສິ່ງດຽວກັນ ສິນຄ້າຄົງຄັງ.

ໄປ ສິນຄ້າຄົງຄັງ ພວກເຮົາຈະປະຕິບັດຕາມເອກະສານຢ່າງເຂັ້ມງວດ ການເລີ່ມຕົ້ນ Norir

ນັ້ນແມ່ນ, ໃຫ້ສ້າງໂຄງກະດູກໄຟລ໌ດຽວກັນ:

.
├── config.yaml
├── inventory
│   ├── defaults.yaml
│   ├── groups.yaml
│   └── hosts.yaml

ໄຟລ໌ config.yaml ແມ່ນໄຟລ໌ການຕັ້ງຄ່າມາດຕະຖານ nornir

$ cat config.yaml 
---
core:
    num_workers: 10

inventory:
    plugin: nornir.plugins.inventory.simple.SimpleInventory
    options:
        host_file: "inventory/hosts.yaml"
        group_file: "inventory/groups.yaml"
        defaults_file: "inventory/defaults.yaml"

ພວກເຮົາຈະຊີ້ບອກຕົວກໍານົດການຕົ້ນຕໍໃນໄຟລ໌ hosts.yaml, ກຸ່ມ (ໃນກໍລະນີຂອງຂ້ອຍເຫຼົ່ານີ້ແມ່ນເຂົ້າສູ່ລະບົບ / ລະຫັດຜ່ານ) ໃນ ກຸ່ມ.yaml, ແລະໃນ defaults.yaml ພວກເຮົາຈະບໍ່ຊີ້ບອກຫຍັງ, ແຕ່ທ່ານຈໍາເປັນຕ້ອງໃສ່ສາມ minuses ຢູ່ທີ່ນັ້ນ - ຊີ້ໃຫ້ເຫັນວ່າມັນແມ່ນ ຢອກ ໄຟລ໌ແມ່ນຫວ່າງເປົ່າ.

ນີ້ແມ່ນສິ່ງທີ່ hosts.yaml ເບິ່ງຄືວ່າ:

---
srx-test:
    hostname: srx-test
    groups: 
        - juniper
    data:
        task_data:
            ifname: fe-0/0/2
            ipsuffix: 111

cisco-test:
    hostname: cisco-test
    groups: 
        - cisco
    data:
        task_data:
            ifname: GigabitEthernet0/1/1
            ipsuffix: 222
            asn: 65111

ແລະນີ້ແມ່ນກຸ່ມ.yaml:

---
cisco:
    platform: ios
    username: admin1
    password: cisco1

juniper:
    platform: junos
    username: admin2
    password: juniper2

ນີ້ແມ່ນສິ່ງທີ່ເກີດຂຶ້ນ ສິນຄ້າຄົງຄັງ ສໍາລັບວຽກງານຂອງພວກເຮົາ. ໃນລະຫວ່າງການເລີ່ມຕົ້ນ, ຕົວກໍານົດການຈາກໄຟລ໌ສາງແມ່ນມີແຜນທີ່ກັບຮູບແບບວັດຖຸ InventoryElement.

ຂ້າງລຸ່ມນີ້ spoiler ແມ່ນແຜນວາດຂອງຕົວແບບ InventoryElement

print(json.dumps(InventoryElement.schema(), indent=4))
{
    "title": "InventoryElement",
    "type": "object",
    "properties": {
        "hostname": {
            "title": "Hostname",
            "type": "string"
        },
        "port": {
            "title": "Port",
            "type": "integer"
        },
        "username": {
            "title": "Username",
            "type": "string"
        },
        "password": {
            "title": "Password",
            "type": "string"
        },
        "platform": {
            "title": "Platform",
            "type": "string"
        },
        "groups": {
            "title": "Groups",
            "default": [],
            "type": "array",
            "items": {
                "type": "string"
            }
        },
        "data": {
            "title": "Data",
            "default": {},
            "type": "object"
        },
        "connection_options": {
            "title": "Connection_Options",
            "default": {},
            "type": "object",
            "additionalProperties": {
                "$ref": "#/definitions/ConnectionOptions"
            }
        }
    },
    "definitions": {
        "ConnectionOptions": {
            "title": "ConnectionOptions",
            "type": "object",
            "properties": {
                "hostname": {
                    "title": "Hostname",
                    "type": "string"
                },
                "port": {
                    "title": "Port",
                    "type": "integer"
                },
                "username": {
                    "title": "Username",
                    "type": "string"
                },
                "password": {
                    "title": "Password",
                    "type": "string"
                },
                "platform": {
                    "title": "Platform",
                    "type": "string"
                },
                "extras": {
                    "title": "Extras",
                    "type": "object"
                }
            }
        }
    }
}

ຮູບແບບນີ້ສາມາດເບິ່ງສັບສົນເລັກນ້ອຍ, ໂດຍສະເພາະໃນຕອນທໍາອິດ. ໃນຄໍາສັ່ງທີ່ຈະຄິດອອກ, ຮູບແບບການໂຕ້ຕອບໃນ python.

 $ ipython3
Python 3.6.9 (default, Nov  7 2019, 10:44:02) 
Type 'copyright', 'credits' or 'license' for more information
IPython 7.1.1 -- An enhanced Interactive Python. Type '?' for help.

In [1]: from nornir import InitNornir                                                                           

In [2]: nr = InitNornir(config_file="config.yaml", dry_run=True)                                                

In [3]: nr.inventory.hosts                                                                                      
Out[3]: 
{'srx-test': Host: srx-test, 'cisco-test': Host: cisco-test}

In [4]: nr.inventory.hosts['srx-test'].data                                                                                    
Out[4]: {'task_data': {'ifname': 'fe-0/0/2', 'ipsuffix': 111}}

In [5]: nr.inventory.hosts['srx-test']['task_data']                                                     
Out[5]: {'ifname': 'fe-0/0/2', 'ipsuffix': 111}

In [6]: nr.inventory.hosts['srx-test'].platform                                                                                
Out[6]: 'junos'

ແລະສຸດທ້າຍ, ໃຫ້ເຮົາກ້າວໄປສູ່ສະຄຣິບເອງ. ຂ້າພະເຈົ້າບໍ່ມີຫຍັງທີ່ຈະມີຄວາມພູມໃຈໂດຍສະເພາະຢູ່ທີ່ນີ້. ຂ້າພະເຈົ້າພຽງແຕ່ເອົາຕົວຢ່າງທີ່ພ້ອມທີ່ຈະເຮັດຈາກ ການສອນ ແລະໃຊ້ມັນເກືອບບໍ່ປ່ຽນແປງ. ນີ້ແມ່ນສິ່ງທີ່ script ທີ່ເຮັດວຽກສໍາເລັດຮູບຄື:

from nornir import InitNornir
from nornir.plugins.tasks import networking, text
from nornir.plugins.functions.text import print_title, print_result

def config_and_deploy(task):
    # Transform inventory data to configuration via a template file
    r = task.run(task=text.template_file,
                 name="Base Configuration",
                 template="base.j2",
                 path=f"templates/{task.host.platform}")

    # Save the compiled configuration into a host variable
    task.host["config"] = r.result

    # Save the compiled configuration into a file
    with open(f"configs/{task.host.hostname}", "w") as f:
        f.write(r.result)

    # Deploy that configuration to the device using NAPALM
    task.run(task=networking.napalm_configure,
             name="Loading Configuration on the device",
             replace=False,
             configuration=task.host["config"])

nr = InitNornir(config_file="config.yaml", dry_run=True) # set dry_run=False, cross your fingers and run again

# run tasks
result = nr.run(task=config_and_deploy)
print_result(result)

ເອົາໃຈໃສ່ກັບພາລາມິເຕີ dry_run=ຈິງ ໃນການເລີ່ມຕົ້ນວັດຖຸເສັ້ນ nr.
ທີ່ນີ້ຄືກັນກັບໃນ ຕອບຮັບໄດ້ ການດໍາເນີນການທົດສອບໄດ້ຖືກປະຕິບັດໃນການເຊື່ອມຕໍ່ກັບ router, ການຕັ້ງຄ່າດັດແກ້ໃຫມ່ໄດ້ຖືກກະກຽມ, ເຊິ່ງຫຼັງຈາກນັ້ນໄດ້ຮັບການກວດສອບໂດຍອຸປະກອນ (ແຕ່ນີ້ບໍ່ແນ່ນອນ; ມັນຂຶ້ນກັບການສະຫນັບສະຫນູນອຸປະກອນແລະການຈັດຕັ້ງປະຕິບັດໄດເວີໃນ NAPALM) , ແຕ່ການຕັ້ງຄ່າໃຫມ່ບໍ່ໄດ້ຖືກນໍາໃຊ້ໂດຍກົງ. ສໍາລັບການນໍາໃຊ້ການຕໍ່ສູ້, ທ່ານຕ້ອງເອົາພາລາມິເຕີອອກ dry_run ຫຼືປ່ຽນມູນຄ່າຂອງມັນເປັນ ທີ່ບໍ່ຖືກຕ້ອງ.

ເມື່ອສະຄຣິບຖືກປະຕິບັດ, Nornir ສົ່ງບັນທຶກລາຍລະອຽດໃຫ້ກັບ console.

ຂ້າງລຸ່ມນີ້ spoiler ແມ່ນຜົນຜະລິດຂອງ combat run ສຸດສອງ routers ການທົດສອບ:

config_and_deploy***************************************************************
* cisco-test ** changed : True *******************************************
vvvv config_and_deploy ** changed : True vvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvv INFO
---- Base Configuration ** changed : True ------------------------------------- INFO
class-map match-all VIDEO_SURV
 match access-group 111

policy-map VIDEO_SURV
 class VIDEO_SURV
    police 1500000 conform-action transmit  exceed-action drop

interface GigabitEthernet0/1/1
  description VIDEOSURV
  ip address 10.10.222.254 255.255.255.0
  service-policy input VIDEO_SURV

router bgp 65001
  network 10.10.222.0 mask 255.255.255.0

access-list 11 permit 10.10.222.0 0.0.0.255
access-list 111 permit ip 10.10.222.0 0.0.0.255 any
---- Loading Configuration on the device ** changed : True --------------------- INFO
+class-map match-all VIDEO_SURV
+ match access-group 111
+policy-map VIDEO_SURV
+ class VIDEO_SURV
+interface GigabitEthernet0/1/1
+  description VIDEOSURV
+  ip address 10.10.222.254 255.255.255.0
+  service-policy input VIDEO_SURV
+router bgp 65001
+  network 10.10.222.0 mask 255.255.255.0
+access-list 11 permit 10.10.222.0 0.0.0.255
+access-list 111 permit ip 10.10.222.0 0.0.0.255 any
^^^^ END config_and_deploy ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
* srx-test ** changed : True *******************************************
vvvv config_and_deploy ** changed : True vvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvvv INFO
---- Base Configuration ** changed : True ------------------------------------- INFO
set interfaces fe-0/0/2 unit 0 description "Video surveillance"
set interfaces fe-0/0/2 unit 0 family inet filter input limit-in
set interfaces fe-0/0/2 unit 0 family inet address 10.10.111.254/24
set policy-options policy-statement export2bgp term 1 from route-filter 10.10.111.0/24 exact
set security zones security-zone WAN interfaces fe-0/0/2
set firewall policer policer-1m if-exceeding bandwidth-limit 1m
set firewall policer policer-1m if-exceeding burst-size-limit 187k
set firewall policer policer-1m then discard
set firewall policer policer-1.5m if-exceeding bandwidth-limit 1500000
set firewall policer policer-1.5m if-exceeding burst-size-limit 280k
set firewall policer policer-1.5m then discard
set firewall filter limit-in term 1 then policer policer-1.5m
set firewall filter limit-in term 1 then count limiter
---- Loading Configuration on the device ** changed : True --------------------- INFO
[edit interfaces]
+   fe-0/0/2 {
+       unit 0 {
+           description "Video surveillance";
+           family inet {
+               filter {
+                   input limit-in;
+               }
+               address 10.10.111.254/24;
+           }
+       }
+   }
[edit]
+  policy-options {
+      policy-statement export2bgp {
+          term 1 {
+              from {
+                  route-filter 10.10.111.0/24 exact;
+              }
+          }
+      }
+  }
[edit security zones]
     security-zone test-vpn { ... }
+    security-zone WAN {
+        interfaces {
+            fe-0/0/2.0;
+        }
+    }
[edit]
+  firewall {
+      policer policer-1m {
+          if-exceeding {
+              bandwidth-limit 1m;
+              burst-size-limit 187k;
+          }
+          then discard;
+      }
+      policer policer-1.5m {
+          if-exceeding {
+              bandwidth-limit 1500000;
+              burst-size-limit 280k;
+          }
+          then discard;
+      }
+      filter limit-in {
+          term 1 {
+              then {
+                  policer policer-1.5m;
+                  count limiter;
+              }
+          }
+      }
+  }
^^^^ END config_and_deploy ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^

ເຊື່ອງລະຫັດຜ່ານຢູ່ໃນ ansible_vault

ໃນຕອນຕົ້ນຂອງບົດຄວາມຂ້າພະເຈົ້າໄດ້ overboard ພຽງເລັກນ້ອຍ ຕອບຮັບໄດ້, ແຕ່ມັນບໍ່ແມ່ນສິ່ງທີ່ບໍ່ດີທັງຫມົດ. ຂ້ອຍມັກພວກເຂົາແທ້ໆ vault ເຊັ່ນວ່າ, ເຊິ່ງຖືກອອກແບບມາເພື່ອເຊື່ອງຂໍ້ມູນທີ່ລະອຽດອ່ອນອອກຈາກສາຍຕາ. ແລະອາດຈະເປັນຈໍານວນຫຼາຍໄດ້ສັງເກດເຫັນວ່າພວກເຮົາມີການເຂົ້າສູ່ລະບົບ / ລະຫັດຜ່ານທັງຫມົດສໍາລັບ routers ສູ້ຮົບທັງຫມົດ sparkling ໃນຮູບແບບເປີດຢູ່ໃນໄຟລ໌. gorups.yaml. ມັນບໍ່ງາມ, ແນ່ນອນ. ໃຫ້ປົກປ້ອງຂໍ້ມູນນີ້ດ້ວຍ vault.

ໃຫ້ພວກເຮົາໂອນພາລາມິເຕີຈາກ groups.yaml ໄປ creds.yaml, ແລະເຂົ້າລະຫັດມັນດ້ວຍ AES256 ດ້ວຍລະຫັດຜ່ານ 20 ຕົວເລກ:

$ cd inventory
$ cat creds.yaml
---
cisco:
    username: admin1
    password: cisco1

juniper:
    username: admin2
    password: juniper2

$ pwgen 20 -N 1 > vault.passwd
ansible-vault encrypt creds.yaml --vault-password-file vault.passwd  
Encryption successful
$ cat creds.yaml 
$ANSIBLE_VAULT;1.1;AES256
39656463353437333337356361633737383464383231366233386636333965306662323534626131
3964396534396333363939373539393662623164373539620a346565373439646436356438653965
39643266333639356564663961303535353364383163633232366138643132313530346661316533
6236306435613132610a656163653065633866626639613537326233653765353661613337393839
62376662303061353963383330323164633162386336643832376263343634356230613562643533
30363436343465306638653932366166306562393061323636636163373164613630643965636361
34343936323066393763323633336366366566393236613737326530346234393735306261363239
35663430623934323632616161636330353134393435396632663530373932383532316161353963
31393434653165613432326636616636383665316465623036376631313162646435

ມັນງ່າຍດາຍນັ້ນ. ມັນຍັງຄົງສອນຂອງພວກເຮົາ ນໍເນີ-script ເພື່ອດຶງຂໍ້ມູນ ແລະນຳໃຊ້ຂໍ້ມູນນີ້.
ເພື່ອເຮັດສິ່ງນີ້, ໃນສະຄິບຂອງພວກເຮົາຫຼັງຈາກເສັ້ນການເລີ່ມຕົ້ນ nr = InitNornir(config_file=… ເພີ່ມລະຫັດຕໍ່ໄປນີ້:

...
nr = InitNornir(config_file="config.yaml", dry_run=True) # set dry_run=False, cross your fingers and run again

# enrich Inventory with the encrypted vault data
from ansible_vault import Vault
vault_password_file="inventory/vault.passwd"
vault_file="inventory/creds.yaml"
with open(vault_password_file, "r") as fp:
    password = fp.readline().strip()   
    vault = Vault(password)
    vaultdata = vault.load(open(vault_file).read())

for a in nr.inventory.hosts.keys():
    item = nr.inventory.hosts[a]
    item.username = vaultdata[item.groups[0]]['username']
    item.password = vaultdata[item.groups[0]]['password']
    #print("hostname={}, username={}, password={}n".format(item.hostname, item.username, item.password))

# run tasks
...

ແນ່ນອນ, vault.passwd ບໍ່ຄວນຕັ້ງຢູ່ໃກ້ກັບ creds.yaml ໃນຕົວຢ່າງຂອງຂ້ອຍ. ແຕ່ມັນບໍ່ເປັນຫຍັງສໍາລັບການຫຼີ້ນ.

ນັ້ນແມ່ນທັງຫມົດສໍາລັບໃນປັດຈຸບັນ. ມີບົດຄວາມສອງສາມຢ່າງກ່ຽວກັບ Cisco + Zabbix ຈະມາເຖິງ, ແຕ່ນີ້ບໍ່ແມ່ນເລື່ອງອັດຕະໂນມັດ. ແລະໃນອະນາຄົດອັນໃກ້ນີ້ຂ້າພະເຈົ້າວາງແຜນທີ່ຈະຂຽນກ່ຽວກັບ RESTCONF ໃນ Cisco.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com

ການຜະລິດອັດຕະໂນມັດແລະການຕື່ມຂໍ້ມູນໃສ່ອົງປະກອບການຕັ້ງຄ່າອຸປະກອນເຄືອຂ່າຍໂດຍໃຊ້ Nornir

ເຊື່ອງລະຫັດຜ່ານຢູ່ໃນ ansible_vault

ເພີ່ມຄວາມຄິດເຫັນ Отменитьответ