如何在Oxidized中忽略FortiGate备份配置中的密码差异

背景介绍

Oxidized是一个流行的网络设备配置备份工具，它能够自动收集并版本化管理网络设备的配置文件。在使用Oxidized备份FortiGate防火墙配置时，管理员经常会遇到一个常见问题：每次备份的配置文件中密码字段都会发生变化，导致版本比较时显示大量差异。

问题分析

FortiGate防火墙在配置备份中会包含各种密码信息，如管理员密码、连接预共享密钥等。这些密码字段在每次备份时都可能显示为不同的值（即使实际密码未更改），这是因为：

1. FortiGate可能对密码进行了不同的加密处理
2. 某些密码字段可能包含时间戳或其他动态元素
3. 安全机制导致密码在配置文件中以不同形式呈现

这种特性虽然增强了安全性，但却给配置版本管理带来了困扰，因为每次备份都会被识别为"有变化"，难以追踪真正的配置变更。

解决方案

Oxidized提供了专门的配置选项来处理这种情况。通过在模型配置中添加remove_secret参数，可以指示Oxidized在版本比较时忽略密码等敏感信息的差异。

具体配置方法如下：

models:
  fortios:
    vars:
      remove_secret: true

这个配置会告诉Oxidized的FortiGate模型处理器，在比较配置版本时过滤掉密码等敏感字段，从而只关注真正的配置变更。

实施建议

1. 测试环境验证：先在测试环境中应用此配置，确认功能正常后再部署到生产环境
2. 备份策略：即使忽略密码差异，仍需确保有安全的密码管理方案
3. 审计日志：结合其他审计手段，确保密码变更仍能被适当追踪
4. 定期检查：定期验证配置备份的完整性，确保关键配置确实被正确备份

注意事项

启用此功能后，密码变更将不会在配置版本差异中显示。因此，组织应当：

• 建立独立的密码变更管理流程
• 确保有其他的密码审计机制
• 定期验证关键账户的密码有效性
• 对特权账户实施多因素认证

通过合理配置Oxidized并结合健全的安全管理流程，可以在保证配置版本管理有效性的同时，不降低系统的整体安全性。