Просмотр кода страницы AWX. Mikrotik. Управление устройствами Mikrotik RouterOS

= Описание =
Управление устройствами Mikrotik RouterOS

= Требования =

* Нельзя именовать микротик (/system identity) строкой более 31 символа! Будет ошибка при подключении через Job (а также при подключении через ansible)
* В версии RouterOS 6.49.x существует ограничение на кол-во строк или общий объем команд RouterOS, которые запускаются из каждого playbook. поэтому необходимо разделять playbook на несколько tasks.  Пример playbook для RouterOS 6.49.x:<syntaxhighlight lang="yaml">
---
- hosts: all
  gather_facts: false

  tasks:
    - name: ip-list-trustedLan
      community.routeros.command:
        commands:
            /ip firewall address-list remove [find list=trustedLan];
            /ip firewall address-list add list=trustedLan address=192.168.4.236/30 comment=blk;

    - name: ip-list-trustedUsersVnc
      community.routeros.command:
        commands:
            /ip firewall address-list remove [find list=trustedUsersVnc] ;
            /ip firewall address-list add list=trustedUsersVnc address=192.168.2.215 comment=sar-nesterov ;

    - name: ip-list-trustedWan
      community.routeros.command:
        commands:

            /ip firewall address-list remove [find list=trustedWan] ;
            /ip firewall address-list add list=trustedWan address=217.65.208.115 comment=sar ;

    - debug:
        msg: "host - {{ inventory_hostname }}"
...
</syntaxhighlight>
* Установленный собственный сервер Gitlab, с репозитория которого будем динамически скачивать сценарии управления микротиком *.yml и запускать на AWX
* Созданная в AWX инвентаризация с именем "inv01" (динамическая или созданная статически вручную), в которой уже имеется тестовый хост "alef_mikrotik-test_199-177", принадлежащий группе "mikrotik-test"

= Настройка =

== На сервере Gitlab ==
Создаем пустой репозиторий "awx"

== На сервере AWX (CLI) ==
Генерируем ключ SSH на машине AWX и добавляем его в гитлаб через веб-интерфейс<blockquote>Чтобы пользоваться git-репозиторием "awx" Gitlab на другом устройстве (AWX), необходимо на этом устройстве создать ключ ssh

Generate SSH key

You will get two keys in ~/.ssh/ directory.

* 'id_rsa' would be your private key
* 'id_rsa.pub' would be your public key.
</blockquote><code>ssh-keygen</code>

* по-умолчанию ключи создадутся в /root/.ssh/
* добавляем содержимое /root/.ssh/id_rsa.pub в веб-интерфейсе Gitlab (в свойствах репозитория): User settings - SSH key
* далее можем клонировать репозиторий и работать с ним на этом устройстве без использования логина/пароля

Клонируем чистый проект на машину AWX

<code>mkdir ~/git_projects</code>

<code>cd ~/git_projects</code>

<code>git clone git@192.168.199.160:gitlab-instance-8aac966e/awx.git</code>

<code>cd ~/awx</code>

Подготавливаем дерево файлов и каталогов файл и пушим его на gitlab<blockquote>   Как пример будут использоваться два сценария:

*        mikrotik_router_10_ip-list_set.yml
*        mikrotik_router_20_firewall_critical-ports_set.yml

   Сценарий mikrotik_router_ALL.yml будет запускать оба предыдущих сценария на AWX одновременно (об этом ниже)</blockquote><code>nano ./mikrotik/RPK/firewall/mikrotik_router_10_ip-list_set.yml</code><syntaxhighlight lang="yaml">
---
- hosts: all
  gather_facts: false
  tasks:
  - name: global VAR create
   community.routeros.command:
     commands:
         /ip firewall address-list remove [find list=trustedLan];
         /ip firewall address-list add list=trustedLan address=192.168.4.236/30 comment=blk;
         /ip firewall address-list add list=trustedLan address=192.168.5.236/30 comment=blsh;
         /ip firewall address-list add list=trustedLan address=192.168.6.236/30 comment=smr;
         quit;
  - debug:
     msg: "System {{ inventory_hostname }}"
</syntaxhighlight><code>nano ./mikrotik/RPK/firewall/mikrotik_router_20_firewall_critical-ports_set.yml</code><syntaxhighlight lang="yaml">
---
- hosts: all
  gather_facts: false
  vars:
  - fwFilterAddRuleComment: =critical-ports=
  - fwFilterPlacebeforeRuleComment: =accept-all=
  
  tasks:
  - name: mikrotik router firewall critical ports add
   community.routeros.command:
     commands:
       - # debug
         :put "{{ fwFilterAddRuleComment }}";
         :put "{{ fwFilterPlacebeforeRuleComment }}";
       - # remove old rules
         /ip firewall filter remove [find where comment~"{{ fwFilterAddRuleComment }}"];
       - # add or update new rules        
         local "fwFilterRulesArray" [:toarray ""];
         :foreach i in=[/ip firewall filter find where comment~"{{ fwFilterPlacebeforeRuleComment }}"] do={
             :set "fwFilterRulesArray" ($"fwFilterRulesArray", $i)};
         :foreach x in=$fwFilterRulesArray do={
             :put $x;};
         :put "---";
         :put ($fwFilterRulesArray->0);
         :local fwFilterFirstElement ($fwFilterRulesArray->0);
         
         /ip firewall filter add action=accept chain=input comment="{{ fwFilterAddRuleComment }} input mgmt ports allow only for trustedSystem" dst-port=21,22,23,8291,8728,8729 protocol=tcp src-address-list=trustedSystem place-before=$fwFilterFirstElement;
         /ip firewall filter add action=accept chain=input comment="{{ fwFilterAddRuleComment }} input mgmt ports allow only for trustedLan" dst-port=21,22,23,8291,8728,8729 protocol=tcp src-address-list=trustedLan place-before=$fwFilterFirstElement;
         /ip firewall filter add action=accept chain=input comment="{{ fwFilterAddRuleComment }} input mgmt ports allow only for trustedWan" dst-port=21,22,23,8291,8728,8729 protocol=tcp src-address-list=trustedWan place-before=$fwFilterFirstElement;
         /ip firewall filter add action=drop chain=input comment="{{ fwFilterAddRuleComment }} input mgmt ports drop for other" dst-port=21,22,23,8291,8728,8729 protocol=tcp place-before=$fwFilterFirstElement;
         /ip firewall filter add action=accept chain=forward comment="{{ fwFilterAddRuleComment }} forward all-ppp-iface-in ports allow only for trustedUsersVnc"
             dst-port=5900,4899 in-interface=all-ppp protocol=tcp src-address-list=trustedUsersVnc place-before=$fwFilterFirstElement;
         /ip firewall filter add action=accept chain=forward comment="{{ fwFilterAddRuleComment }} forward all-ppp-iface-in ports allow only for trustedLan"
             dst-port=21,22,23,4899,5060,5900,8291,8728,8729 in-interface=all-ppp protocol=tcp src-address-list=trustedLan place-before=$fwFilterFirstElement;
         /ip firewall filter add action=accept chain=forward comment="{{ fwFilterAddRuleComment }} forward all-ppp-iface-in ports allow only for trustedLan"
             dst-port=5060 in-interface=all-ppp protocol=udp src-address-list=trustedLan place-before=$fwFilterFirstElement;
         /ip firewall filter add action=accept chain=forward comment="{{ fwFilterAddRuleComment }} forward all-ppp-iface-in ports allow only for trustedSystem"
             dst-port=21,22,23,4899,5060,5900,8291,8728,8729 in-interface=all-ppp protocol=tcp src-address-list=trustedSystem place-before=$fwFilterFirstElement;
         /ip firewall filter add action=accept chain=forward comment="{{ fwFilterAddRuleComment }} forward all-ppp-iface-in ports allow only for trustedSystem"
             dst-port=5060 in-interface=all-ppp protocol=udp src-address-list=trustedSystem place-before=$fwFilterFirstElement;
         /ip firewall filter add action=drop chain=forward comment="{{ fwFilterAddRuleComment }}t forward all-ppp-iface-in ports drop for other" dst-port=21,22,23,4899,5060,5900,8291,8728,8729 in-interface=all-ppp protocol=tcp place-before=$fwFilterFirstElement;
         /ip firewall filter add action=drop chain=forward comment="{{ fwFilterAddRuleComment }} forward all-ppp-iface-in ports drop for other" dst-port=5060 in-interface=all-ppp protocol=udp place-before=$fwFilterFirstElement;
       - quit;

  - debug:
     msg: "System {{ inventory_hostname }}"
</syntaxhighlight><code>nano ./mikrotik/RPK/firewall/mikrotik_router_ALL.yml</code><syntaxhighlight lang="yaml">
---
- import_playbook: mikrotik_router_10_ip-list_set.yml
- import_playbook: mikrotik_router_20_firewall_critical-ports_set.yml
</syntaxhighlight>Необходимые требования к сценарию:

* расширение *.yml
* бит исполнения "x" (-rwxr-xr-x)

Присвоим бит "x" файлам    

<code>chmod +x mikrotik/RPK/firewall/*</code>

<code>tree -p</code>
     ├── [drwxr-xr-x]  mikrotik
     │   └── [drwxr-xr-x]  RPK
     │       └── [drwxr-xr-x]  firewall
     │           ├── [-rwxr-xr-x]  mikrotik_router_10_ip-list_set.yml
     │           ├── [-rwxr-xr-x]  mikrotik_router_20_firewall_critical-ports_set.yml
     │           └── [-rwxr-xr-x]  mikrotik_router_ALL.yml
Пушим всё на Gitlab

<code>git add *</code>

<code>git commit -m "sync to gitlab"</code>

<code>git push origin</code>

Теперь необходимо проверить что все файлы и папки отсинхронились в Gitlab

Установка модуля ansible для управления RouterOS

<code>ansible-galaxy collection install community.routeros</code>

== На сервере AWX (веб-интерфейс) ==
Если инвентаризация динамическая и подтягивается из Gitlab (репозиторий "awx"), то предварительно необходимо ВЫКЛЮЧИТЬ галку "Overwrite variables" чтобы при обновлении инвентаризации переменные группы (лог/пас и т.д.) не удалялись.

<code>Inventories - inv01 - Sources - awx</code>

   <code>УБРАТЬ ГАЛКУ: Overwrite variables</code>

Устанавливаем переменные для '''группы mikrotik-test''' в '''Inventory''' (лог, пас, настройки модуля подключения к mikrotik).

Да, именно здесь, а не в стандартном Credentials. При использовании модуля AWX community.routeros стандартный Credential для routeros не работает.

Все хосты в ней при запуске Job будут подтягивать эти переменные.    

<code>Inventories - inv01 - Groups - mikrotik-test</code>

<code>   - Edit details</code>

<code>       Variables (YAML):</code>

<code>           ansible_connection: '''ansible.netcommon.network_cli'''</code>

<code>           ansible_network_os: '''community.routeros.routeros'''</code>

<code>           ansible_user: '''service'''</code>

<code>           ansible_ssh_pass: '''PassWord'''</code>

Создаем Credentials SCM (Gitlab) для подключения Project к репозиторию Gitlab

<code>Credentials - Add</code>

<code>   Name: '''gitlab'''</code>

<code>   Credential Type: '''Source control'''</code>

<code>   SCM Private Key: '''<...>''' ''# На этой машине (AWX) создаем SSH ключ (уже создали в предыдущем пункте): "ssh-keygen", содержимое /root/.ssh/id_rsa помещаем в это поле. На Gitlab в настройках профиля добавляем новый SSH-ключ, содержимое /root/.ssh/id_rsa.pub добавляем туда.''</code>

Создаем проект "inv01_control" для управления хостами

<code>Projects - Add</code>

<code>   Name: '''inv01_control'''</code>

<code>   Organization: '''Default'''</code>

<code>   Source Control Type: '''Git'''</code>

<code>   Source Control Revision</code>

<code>   Source Control URL: '''git@192.168.199.160:gitlab-instance-8aac966e/test-awx.git'''</code>

<code>   Source Control Credential: '''Scm: gitlab'''</code>

<code>   Default Execution Environment: '''awx-custom-ee''' # это доп образ для работы модуля python zabbix-api, скорее всего для нашей задачи не потребуется (если не настроена динамическая инва), поэтому можно выбрать стандартный AWX-EE</code>

<code>   Enabled Options</code>

<code>       v - '''Discard local changes before syncing'''</code>

<code>       v - '''Delete the project before syncing'''</code>

<code>       v - '''Update revision on job launch'''</code>

Создаем шаблоны Job для запуска задания на mikrotik

<code>Templates - Add</code>

<code>   Name: '''mikrotik_router_10_ip-list_set'''</code>

<code>   Job Type: '''run'''</code>

<code>   Organization: '''Default'''</code>

<code>   Inventory: '''inv01'''</code>

<code>   Project: '''inv01_control'''</code>

<code>   Execution Environment: '''awx-custom-ee''' ''# это доп образ для работы модуля python zabbix-api, скорее всего для нашей задачи не потребуется (если не настроена динамическая инва), поэтому можно выбрать стандартный AWX-EE''</code>

<code>   Playbook: '''mikrotik/RPK/firewall/mikrotik_router_10_ip-list_set.yml'''</code>

<code>   Limit: '''mikrotik-test''' ''# ОЧЕНЬ ВАЖНАЯ ОПЦИЯ. так как мы запускаем Job для всей инвы inv01, то она ограничивает запуск заданий только для хостов, которые принадлежат группе "mikrotik-test", ИНАЧЕ ЗАДАНИЕ ЗАПУСТИТСЯ НА ВСЕХ ХОСТАХ ИНВЕНТАРИЗАЦИИ "inv01"''</code>

<code>Templates - Add</code>

<code>   Name: '''mikrotik_router_20_firewall_critical-ports_add'''</code>

<code>   Job Type: '''run'''</code>

<code>   Organization: '''Default'''</code>

<code>   Inventory: '''inv01'''</code>

<code>   Project: '''inv01_control'''</code>

<code>   Execution Environment: '''awx-custom-ee''' ''# это доп образ для работы модуля python zabbix-api, скорее всего для нашей задачи не потребуется (если не настроена динамическая инва), поэтому можно выбрать стандартный AWX-EE''</code>

<code>   Playbook: '''mikrotik/RPK/firewall/mikrotik_router_20_firewall_critical-ports_add.yml'''</code>

<code>   Limit: '''mikrotik-test''' ''# ОЧЕНЬ ВАЖНАЯ ОПЦИЯ. так как мы запускаем Job для всей инвы inv01, то она ограничивает запуск заданий только для хостов, которые принадлежат группе "mikrotik-test", ИНАЧЕ ЗАДАНИЕ ЗАПУСТИТСЯ НА ВСЕХ ХОСТАХ ИНВЕНТАРИЗАЦИИ "inv01"''</code>

Этот шаблон содержит ссылки на плэйбуки, которые лежат в той же директории, что и сам этот плэйбук и запускает их в порядке, указанном в нем:<blockquote>---

   - import_playbook: mikrotik_router_10_ip-list_set.yml

   - import_playbook: mikrotik_router_20_firewall_critical-ports_set.yml</blockquote><code>Templates - Add</code>

<code>   Name: '''mikrotik_router_ALL'''</code>

<code>   Job Type: '''run'''</code>

<code>   Organization: '''Default'''</code>

<code>   Inventory: '''inv01'''</code>

<code>   Project: '''inv01_control'''</code>

<code>   Execution Environment: '''awx-custom-ee''' ''# это доп образ для работы модуля python zabbix-api, скорее всего для нашей задачи не потребуется (если не настроена динамическая инва), поэтому можно выбрать стандартный AWX-EE''</code>

<code>   Playbook: '''mikrotik/RPK/firewall/mikrotik_router_ALL.yml'''</code>

<code>   Limit: '''mikrotik-test''' ''# ОЧЕНЬ ВАЖНАЯ ОПЦИЯ. так как мы запускаем Job для всей инвы inv01, то она ограничивает запуск заданий только для хостов, которые принадлежат группе "mikrotik-test", ИНАЧЕ ЗАДАНИЕ ЗАПУСТИТСЯ НА ВСЕХ ХОСТАХ ИНВЕНТАРИЗАЦИИ "inv01"''</code>

== На Mikrotik "alef_mikrotik-test_199-177", которым необходимо управлять ==
Создаем учетную запись

<code>login: '''service'''</code>

<code>pass: '''PassWord'''</code>

== На сервере AWX (веб-интерфейс) ==
Запускаем Job:

* '''mikrotik_router_10_ip-list_set.yml'''
* '''mikrotik_router_20_firewall_critical-ports_set.yml'''

   ИЛИ

* '''mikrotik_router_ALL.yml''', который будет запускать оба предыдущих сценария на AWX одновременно

[[Категория:AWX]]
[[Категория:Mikrotik]]
__ОБЯЗАТЕЛЬНОЕ_ОГЛАВЛЕНИЕ__