はじめに

Advent Calendar 3日目に続き、Batfishを使ったネットワーク機器の設定の妥当性確認を行います。

参考：Advent Calendar 3日目 - Batfishを使ったネットワーク設定情報の抽出と妥当性確認

今回は、interfacePropertiesクラスでインターフェース設定を抽出し、コンプライアンスポリシー「使用中のインターフェースでDescriptionが設定されていること」が守られているかチェックしてみたいと思います。

チェック対象のConfigファイル

ノードhqborder2(Cisco1812J)のRunning Configファイルを対象にチェックを行います。
ご参考までに、インターフェース関連の設定を抜き出したものをアップしておきます。

interface Tunnel1
 description << To brborder2 >>
 bandwidth 100
 ip address 10.1.1.9 255.255.255.252
 delay 10
 tunnel source Loopback0
 tunnel destination 1.1.1.2
!
interface Loopback0
 ip address 1.1.1.1 255.255.255.255
!
interface FastEthernet0
 description << To PE Router >>
 ip address 10.1.1.5 255.255.255.252
 duplex auto
 speed auto
!
interface FastEthernet1
 description << border2 - dist1 Segment >>
 ip address 192.168.200.9 255.255.255.252
 speed 100
 full-duplex
!
interface BRI0
 no ip address
 encapsulation hdlc
 shutdown
!
interface FastEthernet2
 description << To hqdist2 Fa0/2 >>
 switchport access vlan 203
 duplex full
 speed 100
!
interface FastEthernet3
 shutdown
!
interface FastEthernet4
 shutdown
!
interface FastEthernet5
 shutdown
!
interface FastEthernet6
 shutdown
!
interface FastEthernet7
 shutdown
!
interface FastEthernet8
 shutdown
!
interface FastEthernet9
 shutdown
!
interface Vlan1
 no ip address
 shutdown
!
interface Vlan203
 description << border2 - dist2 Segment >>
 ip address 192.168.200.13 255.255.255.252

コンプライアンスチェック(1/2) - インターフェース設定情報の抽出

まず、前回同様Pybatfishのインポート、チェック対象Configの格納先指定と読み込みを行います。

ここで、interfacePropertiesクラスを使い、試しにノードhqborder2(Cisco1812J)のインターフェースTunnel1の設定情報を抽出してみます。
出力内容を見ると、例えばActiveプロパティで開放(True)/閉塞(False)、DescriptionプロパティでDescriptionの内容、Primary_AddressプロパティでIPアドレス設定が表示されています。VLAN、EtherChannel、HSRP、VRRP、OSPF、ACL関連もあります。また、設定されていないプロパティはNoneやFalseといった形で表示されています。
ちなみに、他のインターフェースでも表示されるプロパティ一覧は同じです。

コンプライアンスチェック(2/2) - インターフェースDescription設定の妥当性確認

ノードhqborder2のインターフェースを一つづつ取り出し、以下2段階の条件分岐で、コンプライアンス判定を行います。

　① ActiveプロパティがTrue(開放状態)か
　② DescriptionプロパティがNoneではないか

問題があるのは、①がTrueで②がFalseのパターンなので、この時"NG"が出力されるようにします。それ以外はもともと閉塞状態か、設定が入っている状態ですので"OK"と表示されるようにします。

出力結果を見ると、1番目のインターフェースLoopback0がNG判定となっています。
上記のRunning Configを見ると、確かにDescriptionが抜けています。そのため以下の通りConfig修正を行います。

interface Loopback0
 description << Loopback >>

Configファイルを変更した場合、再度読み込みを行う必要があります。
チェックを実行すると、今度はすべてOKとなりました。めでたしめでたし

今回作成したコードはGistにも置いています。
https://gist.github.com/Tachashi/b4018363b8b66173119a215b84af38b6