Superviser la synchronisation HA de Palo Alto via API REST : Script Perl pour Icinga/Nagios

Superviser la synchronisation HA de Palo Alto est une étape clé pour assurer la fiabilité, la cohérence et la sécurité de votre infrastructure réseau. Grâce à l’API REST et à la clé API Palo Alto, il est possible d’automatiser cette supervision à l’aide d’un script Perl dédié, conçu pour vérifier l’état de la synchronisation entre les membres du cluster HA.

Ce script facilite le monitoring Palo Alto en identifiant rapidement les désynchronisations de configuration. Il peut s’intégrer facilement dans des outils de supervision comme Icinga ou Centreon, offrant une solution simple, efficace et adaptable pour renforcer vos politiques de haute disponibilité.

Comment récupérer votre API Key sur un cluster Palo Alto

La première étape sera de générer une API KEY sur vos Palo. Malheureusement, Palo Alto ne fournit pas d’OID SNMP standardisé (publié) qui retourne exactement l’état « Running Config: Synchronized » d’un cluster Palo.

 Générer une clé API sur un Palo (API Key)

Avant d’utiliser les requêtes API, vous devez obtenir une clé d’authentification.

Requête :

https://<IP_DU_FIREWALL>/api/?type=keygen&user=<UTILISATEUR>&password=<MOT_DE_PASSE>

Exemple :

https://192.168.1.1/api/?type=keygen&user=admin&password=SuperPassw0rd

Réponse :

<response status="success">  <result>    <key>LUFRPT0yQkZ6bGhFcE1...etc</key>  </result></response>

Requête pour vérifier l’état HA (y compris “Running Config”)

Si tu veux interroger le state HA et vérifier si tu peux interroger l’API de ton Palo  (équivalent CLI : show high-availability state), voici la requête :

https://<IP_DU_FIREWALL>/api/?type=op&cmd=<show><high-availability><state></state></high-availability></show>&key=<TA_CLÉ_API>

Cette requête retourne un XML contenant, entre autres : <enabled>yes</enabled><state>active</state><running-sync>Synchronised</running-sync><config-sync>Configuration is synchronized</config-sync>

Tu peux donc parser les groupes <running-sync> et/ou <config-sync>.

Exemple en ligne de commande (curl)

Tu peux aussi utiliser la commande CURL, pour récupérer les informations sur un Palo.

curl -k 'https://192.168.1.1/api/?type=op&cmd=<show><high-availability><state></state></high-availability></show>&key=LUFRPT0yQkZ6bGhFcE1...'

Astuces

Format XML-Based

Superviser la synchronisation HA de Palo Alto avec le script check_palo_sync.pl

Objectif

Le script check_palo_sync.pl est un plugin de supervision compatible Icinga/Nagios, utilisé pour vérifier l’état de synchronisation HA (High Availability) entre les membres d’un cluster Palo Alto (physique ou virtuel), via l’API XML du pare-feu.

Il vérifie deux indicateurs fournis par l’API :

Fonctionnement

Le script :

1. Interroge l’API Palo Alto via HTTPS.
2. Désactive la vérification SSL pour accepter les certificats auto-signés.
3. Parse la réponse XML.
4. Évalue les deux champs HA.
5. Retourne un code de sortie Nagios/Icinga (OK, WARNING, CRITICAL, UNKNOWN).

API utilisée

Le script utilise l’URL suivante :

https://<firewall_ip>/api/?type=op&cmd=<show><high-availability><state></state></high-availability></show>&key=<api_key>

Le résultat XML contient une structure de ce type :

<result>  <group>    <running-sync>synchronized</running-sync>    <running-sync-enabled>yes</running-sync-enabled>  </group></result>

Conditions de sortie pour le plugin

Paramètres requis

Exemple:

./check_palo_sync.pl --host 192.0.2.1 --apikey abc1234567890

Dépendances

Modules Perl nécessaires :

Explication détaillée du script check_palo_sync.pl

Chargement des modules nécessaires

use strict;
use warnings;
use LWP::UserAgent;
use XML::Simple;
use Getopt::Long;

Déclaration et récupération des arguments

my ($host, $apikey);
GetOptions(    'host=s'   => \$host,    'apikey=s' => \$apikey,);

Vérification des paramètres

if (!$host || !$apikey) {    
print "UNKNOWN - Paramètres manquants. Utilisation : --host <ip> --apikey <clé>\n";    
exit 3;
}

Si un argument est manquant, le script affiche une erreur UNKNOWN (code de sortie 3) avec un message d’aide.

Construction de l’URL API

my $url = "https://$host/api/?type=op&cmd=<show><high-availability><state></state></high-availability></show>&key=$apikey";

Création de l’agent HTTP (avec SSL désactivé)

my $ua = LWP::UserAgent->new(        
         ssl_opts => { verify_hostname => 0,        
                       SSL_verify_mode => 0x00,    
                     },    
         timeout => 10,);

Crée un objet UserAgent avec :

Envoi de la requête API

my $response = $ua->get($url);

Vérifie si la requête a échoué

if (!$response->is_success) {    
      print "CRITICAL - Erreur HTTP : " . $response->status_line . "\n";    
      exit 2;
}

Si le code HTTP n’est pas 200 OK, le script renvoie un CRITICAL (code 2) avec l’erreur HTTP.

Conversion du XML en structure Perl

my $xml = XMLin($response->decoded_content, ForceArray => 0);

Extraction des valeurs HA

my $running_sync         = $xml->{result}->{group}->{'running-sync'}         // '';
my $running_sync_enabled = $xml->{result}->{group}->{'running-sync-enabled'} // '';

Accède aux deux champs HA :

Analyse et retour du statut

if (lc($running_sync) eq 'synchronized' && lc($running_sync_enabled) eq 'yes') {    
   print "OK - Configuration HA synchronisée\n";    
   exit 0;
} elsif (lc($running_sync_enabled) eq 'no') {    
  print "WARNING - Synchronisation HA désactivée\n";    
  exit 1;
} else {    
  print "CRITICAL - Synchronisation HA NON synchronisée : running_sync='$running_sync'\n";    
  exit 2;
}

Voici un exemple d’utilisation dans le logiciel Icinga :

FAQ – Superviser la synchronisation HA de Palo Alto via API

Comment générer une clé API Palo Alto pour le monitoring ?

Pour superviser vos pare-feux via l’API, vous devez d’abord générer une clé API Palo Alto en appelant l’URL suivante :

https://<IP_FIREWALL>/api/?type=keygen&user=<UTILISATEUR>&password=<MOT_DE_PASSE>

Cette clé sera utilisée dans toutes les requêtes API pour authentifier votre script de supervision.

Pourquoi superviser la synchronisation HA de Palo Alto est-il crucial ?

Superviser la synchronisation HA de Palo Alto permet de détecter rapidement toute désynchronisation entre les nœuds d’un cluster. Cela garantit que les configurations actives sont toujours alignées, ce qui est essentiel pour assurer la haute disponibilité et la sécurité de l’environnement réseau.

Quels outils peuvent être utilisés pour le monitoring Palo Alto ?

Le monitoring Palo Alto peut être intégré dans des solutions comme Icinga, Nagios ou Centreon. Le script check_palo_sync.pl est compatible avec ces outils et permet un contrôle automatisé de l’état de synchronisation HA via l’API XML.

Quels indicateurs sont vérifiés par le script de supervision ?

Le script analyse deux indicateurs clés renvoyés par l’API :

Faut-il désactiver la vérification SSL dans le script ?

Oui, le script désactive la vérification SSL pour accepter les certificats auto-signés souvent présents sur les pare-feux Palo Alto. Cela permet de garantir la compatibilité, même sans infrastructure PKI complète.

En bref

En résumé, superviser la synchronisation HA de Palo Alto est une démarche incontournable pour garantir l’intégrité et la disponibilité de votre infrastructure réseau. L’utilisation d’un script basé sur l’API REST, combinée à une clé API Palo Alto correctement générée et sécurisée, permet de mettre en place une supervision automatisée, fiable et réactive.

Que ce soit via Icinga, Centreon ou tout autre outil, ce type de solution s’intègre parfaitement dans une stratégie de monitoring Palo Alto moderne et efficace. En adoptant cette approche, vous assurez un suivi constant de l’état HA de vos pare-feux et réduisez les risques liés aux désynchronisations critiques.