Oxidized项目中FortiGate设备配置备份问题的分析与解决

问题背景

Oxidized作为一款网络设备配置备份工具，在管理FortiGate防火墙设备时遇到了一个特殊问题：当设备数量增加到一定规模后，配置备份过程会出现失败。具体表现为部分设备能够成功备份，而另一部分设备则无法完成备份流程，最终导致Oxidized服务崩溃重启。

问题现象

用户在使用Oxidized v0.30.1版本时发现：

1. 初始测试阶段，6台FortiGate设备均能正常备份
2. 当设备数量增加到110台时，约30%的设备备份失败
3. 失败设备在日志中没有SSH连接记录
4. Oxidized-web界面显示部分设备状态异常（蓝色标记）
5. 服务运行一段时间后会崩溃重启

根本原因分析

通过深入分析日志和代码，发现问题根源在于FortiGate设备的SSH密钥类型处理上：

1. 密钥类型不匹配：部分FortiGate设备（特别是较新版本）会使用rsa-sha2-512密钥类型，而net-ssh库默认只支持ssh-rsa、dsa和ecdsa类型

2. 版本差异：不同FortiOS版本的设备使用不同的SSH密钥类型，导致部分设备能连接而部分不能

3. net-ssh库行为：当遇到不支持的密钥类型时，net-ssh会直接抛出异常终止连接，而不是跳过该密钥尝试其他可用密钥

解决方案

经过多次测试和验证，最终确定了以下解决方案：

临时解决方案

1. 降级net-ssh版本：将net-ssh从7.2.3降级到7.1.0版本，可以暂时解决问题

   gem uninstall net-ssh -v 7.2.3
   gem install net-ssh -v 7.1.0
   

2. 修改buffer.rb文件：在net-ssh库的buffer.rb文件中添加对rsa-sha2-512类型的支持

   when /^ssh-rsa$/, /^rsa-sha2-(256|512)$/
   

长期解决方案

1. 设备端配置调整：在FortiGate设备上调整SSH配置，强制使用标准密钥类型

2. 等待上游修复：向net-ssh项目提交补丁，使其能够更优雅地处理不支持的密钥类型

实施建议

对于遇到类似问题的管理员，建议采取以下步骤：

1. 日志分析：首先检查Oxidized的详细日志，确认错误是否与密钥类型相关

2. 设备分组测试：将设备按FortiOS版本分组测试，确认问题是否与特定版本相关

3. 渐进式部署：先在测试环境中验证解决方案，再逐步应用到生产环境

4. 监控机制：设置配置变更告警，及时发现备份失败情况

技术深度解析

这个问题实际上反映了SSH协议实现中的一个常见挑战：不同厂商对协议标准的解释和实现存在差异。Fortinet选择使用rsa-sha2-512作为密钥类型标识，虽然技术上可行，但并不符合标准SSH协议的预期行为。

net-ssh作为一个严格遵循标准的实现，会拒绝这种非标准行为，而OpenSSH等客户端则更加宽松。这种差异导致了Oxidized在与某些FortiGate设备通信时出现问题。

总结

Oxidized与FortiGate设备的集成问题是一个典型的厂商实现差异导致的兼容性问题。通过深入理解SSH协议细节和Oxidized的工作原理，我们能够找到有效的解决方案。建议管理员在部署大规模FortiGate设备管理时，提前考虑这些兼容性问题，并建立完善的监控机制，确保配置备份的可靠性。