Massen-Rollout von Netzwerkkonfigurationen
NTP, eine ACL oder ein Banner auf 200 Geräten von Hand zu ändern, bedeutet 200 SSH-Sitzungen und ebenso viele Gelegenheiten für Tippfehler. Mit ConnectMyAssets schreiben Sie die Änderung einmal als eigenes Skript mit typisierten Variablen, sehen sie sich auf einem Gerät an, prüfen die riskanten Zeilen und führen sie dann per SSH auf 50, 500 oder 5.000 Geräten aus. Vorher-Nachher-Diff pro Gerät, Abbruch nach N Fehlern.
- ✓Eigene Skripte in der CLI des Geräts, mit typisierten Variablen und Geheimnissen aus dem Vault
- ✓Ziele: ausgewählte Geräte, eine Gerätegruppe oder ein gespeicherter Filter
- ✓Vorschau des aufgelösten Skripts auf einem Gerät vor dem Start
- ✓Risikoregeln markieren gefährliche Zeilen vor der Bestätigung
- ✓Vorher-Nachher-Diff der Konfiguration pro Gerät, Abbruch nach N Fehlern
- ✓Vollständige Historie: wer was auf welchen Geräten ausgeführt hat und was jedes Gerät geantwortet hat
Skripte, Risikoregeln und der Nachweis jeder Änderung.
Ein Massen-Rollout ist eine Frage des Risikomanagements
Eine Änderung auf ein Gerät zu bringen ist einfach. Sie auf 200 Geräte in der Produktion zu bringen, ist etwas anderes: Ein Tippfehler, ein fehlender Wert für einen Standort oder eine Eigenheit des Herstellers kann auf Dutzenden Geräten unbemerkt fehlschlagen oder einen Ausfall verursachen. ConnectMyAssets macht den Massen-Rollout zu einer kontrollierten Änderung: typisierte Werte, die vor dem Senden geprüft werden, Vorschau auf einem Gerät, riskante Zeilen vor der Bestätigung aufgelistet, jedes Gerät beim ersten Fehler gestoppt, der Lauf nach N Fehlern abgebrochen und die Konfiguration vorher und nachher gelesen, damit Sie nachweisen können, was sich geändert hat.
Massen-Rollout von Konfigurationen, unter Kontrolle
Von der ersten Zeile des Skripts bis zum Diff des letzten Geräts ist jeder Schritt einer Massenänderung darauf ausgelegt, das Risiko zu begrenzen.
Eigene Skripte mit typisierten Variablen
Schreiben Sie die Änderung in der CLI des Geräts, genau so, wie Sie sie eintippen würden, und machen Sie jeden veränderlichen Wert zu einer typisierten Variable: {{ NTP server : Primary NTP : IP_ONLY }}, {{ vlan : Access VLAN : INT = 10 }}, {{ mode : : CHOICE(access, trunk) }}. Die Typen (TEXT, INT, IP_ONLY, IP_CIDR, RANGE, CHOICE, BOOLEAN, SECRET) werden geprüft, bevor etwas gesendet wird, und ein Wert kann nie einen Befehl hinzufügen: Zeilenumbrüche werden abgewiesen. Geheimnisse kommen aus dem Vault oder werden bei jedem Lauf eingegeben und nie gespeichert.
Geräte gezielt in großer Zahl auswählen
Wählen Sie die Geräte von Hand, nehmen Sie eine ganze Gerätegruppe mit ihren Untergruppen oder verwenden Sie die Suche und die Filter der Zielliste (Hersteller, Modell, Standort, Typ, Firmware ...). Die Ziele werden beim Start festgeschrieben. Es werden nur Geräte übernommen, auf denen Sie Skripte ausführen dürfen: Die rollenbasierte Zugriffskontrolle wird direkt von der Datenbank durchgesetzt. Ein Lauf umfasst je nach Dimensionierungsprofil Ihrer ConnectMyAssets-Instanz 500, 2.000 oder 5.000 Geräte.
Vorschau auf einem Gerät
Sehen Sie sich vor dem Start das für ein ausgewähltes Gerät aufgelöste Skript an: jede Variable ersetzt, abgewiesene Werte hervorgehoben, markierte Zeilen aufgelistet. Sie sehen genau die Zeilen, die auf diesem Gerät eingegeben werden, und erkennen einen Tippfehler oder einen falschen Wert, bevor er die Produktion erreicht.
Risikoregeln vor dem Start
Jede Zeile des Skripts durchläuft vor dem Start die Risikoregeln der Bastion (69 integrierte Regeln plus Ihre eigenen). Gefährliche Befehle (reload, erase, write erase, shutdown einer Schnittstelle ...) werden mit ihrem Schweregrad auf der Seite des Laufs aufgeführt, im Bestätigungsdialog wiederholt und zusammen mit dem Lauf gespeichert.
Abbruch nach N Fehlern
Jedes Gerät stoppt beim ersten fehlgeschlagenen Befehl, erkannt an den Fehlermeldungen des Herstellers (% Invalid input, Commit failed, parse error ...). Legen Sie eine Obergrenze fehlgeschlagener Geräte für den gesamten Lauf fest: Ist sie erreicht, werden die noch nicht gestarteten Geräte abgebrochen. Sie können einen Lauf oder ein einzelnes Gerät auch jederzeit stoppen: Ein laufendes Gerät hält sauber nach der aktuellen Zeile an.
Vorher-Nachher-Diff und Historie der Läufe
Ist das Konfigurations-Backup aktiviert, wird die laufende Konfiguration direkt vor der ersten und direkt nach der letzten Zeile gelesen, in derselben Sitzung wie das Skript, und als Versionen des Geräts gespeichert. Die Seite des Laufs zeigt den Vorher-Nachher-Diff pro Gerät. Jeder Lauf wird aufbewahrt: wer ihn gestartet hat, die aufgelösten Zeilen, jede gesendete Zeile und die Antwort des Geräts, das Ergebnis pro Gerät.
So funktioniert es
Skript schreiben und Ziele wählen
Schreiben Sie die CLI-Zeilen mit typisierten Variablen, hinterlegen Sie die Antworten auf die Rückfragen des Geräts ([confirm], (y/n) ...) und wählen Sie die Ziele: ausgewählte Geräte, eine Gerätegruppe oder ein gespeicherter Filter. Standardmäßig werden die Zugangsdaten verwendet, die sich zuletzt erfolgreich an jedem Gerät angemeldet haben, aus dem Vault; sie lassen sich pro Gerät festlegen.
Vorschau prüfen und Risiken bewerten
Sehen Sie sich das aufgelöste Skript auf einem Gerät an, prüfen Sie die Werte und lesen Sie die von den Risikoregeln markierten Zeilen. Legen Sie die Optionen fest: Gerät beim ersten Fehler stoppen, Lauf nach N fehlgeschlagenen Geräten abbrechen, Konfiguration vorher und nachher sichern, Zeitlimit pro Zeile.
Ausführen, verfolgen, vergleichen
ConnectMyAssets führt das Skript per SSH aus, parallel (je nach Dimensionierungsprofil 8, 16 oder 24 Geräte gleichzeitig), Zeile für Zeile. Jedes Gerät zeigt seinen Status live: wartend, laufend, erfolgreich, fehlgeschlagen, abgebrochen. Am Ende öffnen Sie den Vorher-Nachher-Diff jedes Geräts und starten den Lauf nur für die fehlgeschlagenen Geräte neu.
Zugehörige Funktionen der Plattform
Häufig gestellte Fragen
Häufige Fragen zum Massen-Rollout von Netzwerkkonfigurationen
Wie viele Geräte kann ein Massen-Rollout umfassen?
Ein Lauf umfasst je nach Dimensionierungsprofil Ihrer ConnectMyAssets-Instanz bis zu 500, 2.000 oder 5.000 Geräte und bearbeitet 8, 16 oder 24 Geräte gleichzeitig. Mehrere Läufe sind möglich: Sie werden verschränkt ausgeführt, ein zweiter Lauf wartet nicht auf das Ende des ersten, und ein Gerät führt nie zwei Skripte gleichzeitig aus.
Was passiert, wenn der Rollout auf einigen Geräten fehlschlägt?
Jedes Gerät wird unabhängig behandelt. Ein fehlgeschlagener Befehl (erkannt an den Fehlermeldungen des Herstellers) stoppt dieses Gerät, die anderen laufen weiter, und der Lauf lässt sich nach N fehlgeschlagenen Geräten abbrechen. Zu jedem Fehler erhalten Sie die fehlgeschlagene Zeile, die Antwort des Geräts und das ungefilterte Ende der Sitzung. Ist das Konfigurations-Backup aktiviert, zeigt der Vorher-Nachher-Diff, was tatsächlich angewendet wurde. Sie beheben die Ursache und starten nur für die fehlgeschlagenen Geräte neu. Um zu einer früheren Konfiguration zurückzukehren, spielen Sie diese Version per ZTP erneut ein.
Wie gehe ich mit unterschiedlichen Werten je Standort oder Gerät um?
Variablen sind typisiert und können einen Standardwert haben ({{ vlan : Access VLAN : INT = 10 }}) oder optional sein. Integrierte Variablen übernehmen ihren Wert vom jeweiligen Gerät (Hostname, Management-IP, Seriennummer, Firmware, MAC-Adresse, Hersteller, Modell, Typ, Gerätegruppe). Für standortspezifische Werte führen Sie dasselbe Skript auf der Gerätegruppe jedes Standorts mit dessen Werten aus: Jeder Lauf wird mit den verwendeten Werten aufbewahrt. Die Ersetzung erfolgt wörtlich: Es gibt keine Schleifen oder Bedingungen, was Sie in der Vorschau sehen, wird genau so eingegeben.
Gibt es einen Freigabeschritt, bevor ein Skript läuft?
Die Kontrolle erfolgt über Berechtigungen: Nur Benutzer mit der Berechtigung zur Skriptausführung auf den Ziel-Gerätegruppen können einen Lauf starten, und die Risikoregeln listen die gefährlichen Zeilen vor der Bestätigung auf. Jeder Start wird im Audit-Trail festgehalten. Läufe beginnen, wenn Sie sie starten: Sie werden nicht zeitgesteuert.
Wie prüfe ich, ob die Änderung auf jedem Gerät angewendet wurde?
Drei Ebenen des Nachweises. Jede Zeile wird mit den Fehlermeldungen des Herstellers abgeglichen, sobald das Gerät antwortet. Ist das Konfigurations-Backup aktiviert, wird die laufende Konfiguration vorher und nachher in derselben Sitzung gelesen, und die Seite des Laufs zeigt den Diff pro Gerät (beide Versionen sind gleich, wenn sich nichts geändert hat). Anschließend bestätigen die Compliance-Richtlinien und der nächste regelmäßige Scan den erwarteten Zustand im gesamten Bestand.
Unterstützt der Massen-Rollout alle Hersteller?
Skripte laufen per SSH auf jedem Gerät, das ConnectMyAssets verwaltet: Cisco (IOS, NX-OS), Aruba (AOS-CX, ProCurve, Instant), Arista EOS, Juniper Junos, Huawei VRP, Fortinet FortiGate, Palo Alto PAN-OS; weitere Hersteller (Check Point, F5, SonicWall, Stormshield, Nokia, Ubiquiti ...) folgen mit den kommenden Integrationen. Jedes Herstellerprofil kennt seine Prompts, seine Fehlermeldungen und seine Rückfragen. Ein Skript wird in einer CLI geschrieben: Für einen gemischten Bestand schreiben Sie ein Skript pro Hersteller und wählen die Ziele jeweils per Filter.
Schluss mit der Konfiguration Gerät für Gerät
Typisierte Variablen, Vorschau, Risikoregeln, Vorher-Nachher-Diff und Abbruch nach N Fehlern: Ändern Sie Ihren gesamten Bestand mit derselben Sicherheit wie ein einzelnes Gerät.