Netmiko项目中Fortinet防火墙多VDOM配置的技术实践

背景介绍

在使用Netmiko库管理Fortinet防火墙时，当设备启用了多VDOM(虚拟域)功能时，常规的连接和命令执行方式可能会遇到问题。本文将通过一个实际案例，详细介绍如何正确使用Netmiko与启用了多VDOM功能的Fortinet防火墙进行交互。

问题现象

在尝试通过Netmiko执行config vdom命令进入VDOM配置模式时，系统会抛出错误提示："Pattern not detected: 'FW\-NUA\-FW01\ \$' in output"。这表明Netmiko无法识别设备返回的新提示符模式，导致命令执行失败。

问题分析

Fortinet防火墙在多VDOM环境下，当执行config vdom命令后，设备的提示符会发生变化。例如：

1. 执行前提示符可能是：FW-NUA-FW01 #
2. 执行config vdom后提示符变为：FW-NUA-FW01 (vdom) #

Netmiko默认使用初始连接时获取的提示符模式来验证命令执行完成，当提示符发生变化时，这种验证就会失败。

解决方案

针对这个问题，我们可以使用Netmiko的expect_string参数来显式指定预期的提示符模式。具体实现如下：

# 进入VDOM配置模式
net_connect.send_command('config vdom', expect_string=r"\ \(\w+\)\ [#$]")

# 切换到特定VDOM
net_connect.send_command(f'edit {vdom}', expect_string=r"\ \(\w+\)\ [#$]")

# 执行后续命令
net_connect.send_command(f'exec ping-options source {source}', expect_string=r"\ \(\w+\)\ [#$]")

关键点说明：

1. expect_string参数使用正则表达式来匹配变化后的提示符
2. 模式\ \(\w+\)\ [#$]可以匹配形如(vdom) #或(vdom) $的提示符
3. 每个可能改变提示符的命令都需要指定expect_string

完整示例

以下是一个完整的示例代码，展示了如何在多VDOM环境下执行ping测试：

from netmiko import ConnectHandler

def ping_test(host, target, source, port, vdom=None):
    device = {
        "device_type": "fortinet",
        "host": host,
        "port": port,
        "username": "admin",
        "password": "password"
    }

    try:
        with ConnectHandler(**device, allow_auto_change=True) as net_connect:
            if vdom is not None:
                net_connect.send_command('config vdom', expect_string=r"\ \(\w+\)\ [#$]")
                net_connect.send_command(f'edit {vdom}', expect_string=r"\ \(\w+\)\ [#$]")
                net_connect.send_command(f'exec ping-options source {source}', expect_string=r"\ \(\w+\)\ [#$]")
                result = net_connect.send_command(f'execute ping {target}', read_timeout=60, expect_string=r"\ \(\w+\)\ [#$]")
            else:
                net_connect.send_command(f'exec ping-options source {source}')
                result = net_connect.send_command(f'execute ping {target}', read_timeout=60)
            
            return process_ping_result(result)
            
    except Exception as e:
        print(f"Error occurred: {e}")
        return None

最佳实践建议

1. 提示符模式设计：仔细分析设备在不同模式下的提示符变化，设计能够覆盖所有可能情况的正则表达式。

2. 超时设置：对于执行时间较长的命令(如ping)，适当增加read_timeout参数值。

3. 错误处理：实现完善的异常处理机制，特别是网络连接不稳定时。

4. 日志记录：启用Netmiko的会话日志功能，便于调试和问题排查。

5. 权限考虑：注意不同权限级别(如#和$)对命令执行的影响。

总结

通过合理使用expect_string参数，我们可以有效解决Netmiko与Fortinet防火墙多VDOM环境下的交互问题。这种方法不仅适用于VDOM切换场景，也可推广到其他会导致提示符变化的设备操作中。掌握这一技巧能够大大增强网络自动化脚本的健壮性和可靠性。