commti after qwen start
This commit is contained in:
mariano
@@ -0,0 +1,295 @@
|
||||
# 🤖 AGENTS.md
|
||||
|
||||
```markdown
|
||||
# 🤖 AGENTS.md - Network Config Backup Plugin for GLPI 11
|
||||
|
||||
> **Documento di contesto per AI Agent / Assistente di sviluppo**
|
||||
> **Progetto**: `glpi-plugin-netconfig`
|
||||
> **Ultimo aggiornamento**: 2026-05-22
|
||||
> **GLPI Target**: 11.0.6+ | **PHP**: 8.2+ | **Database**: MySQL/MariaDB
|
||||
|
||||
---
|
||||
|
||||
## 🎯 Obiettivo del Progetto
|
||||
|
||||
Sviluppare un plugin GLPI 11 che permetta di:
|
||||
1. **Salvare configurazioni** di apparati di rete (switch, router, firewall) nel database MySQL di GLPI
|
||||
2. **Tracciare le variazioni** delle configurazioni nel tempo (versioning con hash SHA256)
|
||||
3. **Visualizzare differenze** (diff) tra versioni successive
|
||||
4. **Esportare configurazioni** in file di testo (con controllo diritti e redaction credenziali)
|
||||
5. **Lanciare il recupero configurazioni** tramite massive actions o trigger manuali
|
||||
6. **Integrare GLPI Agent remoto** per l'esecuzione distribuita del backup via SSH (netmiko/napalm)
|
||||
|
||||
---
|
||||
|
||||
## 🧠 Contesto Tecnico Chiave
|
||||
|
||||
### Stack Tecnologico
|
||||
| Componente | Versione/Nota |
|
||||
|------------|--------------|
|
||||
| GLPI | 11.0.6+ (CLI: `php bin/console glpi:version`) |
|
||||
| PHP | 8.2+ con strict_types, namespace PSR-4 |
|
||||
| Database | MySQL/MariaDB, InnoDB, utf8mb4_unicode_ci |
|
||||
| Composer | 2.7.1+ (cache Packagist OK) |
|
||||
| Template Engine | Twig 3 (nativo in GLPI 11) |
|
||||
| Crittografia | `Glpi\Toolbox\Encryption` (AES-256-GCM) |
|
||||
| Diff Engine | `symfony/diff` ^6.4 |
|
||||
| HTTP Client | `guzzlehttp/guzzle` ^7.8 (opzionale per agent PHP) |
|
||||
| Agent Script | Python 3 + netmiko + requests + pyyaml |
|
||||
|
||||
### Architettura Plugin
|
||||
```
|
||||
plugins/netconfig/
|
||||
├── setup.php # Hook init, versioning, diritti
|
||||
├── hook.php # Install/uninstall DB
|
||||
├── composer.json # Dipendenze + autoload PSR-4
|
||||
├── install/mysql/install.sql # Schema tabella configs
|
||||
├── src/
|
||||
│ ├── Config.php # CommonDBTM: CRUD, massive actions, diff
|
||||
│ ├── Agent/Receive.php # Endpoint API per agent
|
||||
│ └── Api/GlpiApiClient.php # Client REST API GLPI (opzionale)
|
||||
├── ajax/
|
||||
│ ├── export.php # Download sicuro configurazioni
|
||||
│ └── agent_receive.php # Fallback endpoint agent
|
||||
├── templates/config_tab.html.twig # Vista tab GLPI con storico
|
||||
└── locales/ # Traduzioni it_IT/en_GB
|
||||
```
|
||||
|
||||
### Flusso Dati Principale
|
||||
```
|
||||
[Apparato di Rete]
|
||||
│
|
||||
▼ (SSH via netmiko)
|
||||
[GLPI Agent Python] ──(POST JSON)──► [Plugin Endpoint]
|
||||
│
|
||||
▼
|
||||
[Validazione Token + Hash]
|
||||
│
|
||||
▼
|
||||
[Cifratura + Salvataggio DB]
|
||||
│
|
||||
▼
|
||||
[Notifica UI GLPI + Diff]
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 🔑 Decisioni Architetturali Critiche
|
||||
|
||||
### ✅ Scelte Confermate
|
||||
1. **Namespace PSR-4**: `PluginNetconfig\` mappato su `src/` (obbligatorio GLPI 11)
|
||||
2. **Cifratura nativa**: Uso di `Glpi\Toolbox\Encryption` invece di soluzioni custom
|
||||
3. **Versioning via hash**: SHA256 su contenuto config per rilevamento modifiche
|
||||
4. **Massive actions native**: Integrazione con sistema GLPI invece di UI custom
|
||||
5. **Agent remoto Python**: Netmiko per compatibilità multi-vendor (Cisco, HP, Juniper, etc.)
|
||||
6. **Token-based auth**: `NETCONFIG_AGENT_TOKEN` per validazione richieste agent
|
||||
7. **Diff lato server**: `symfony/diff` con output HTML sanitizzato per Twig
|
||||
8. **Export con redaction**: Regex per mascherare password/secret prima del download
|
||||
|
||||
### ⚠️ Alternative Valutate e Scartate
|
||||
| Alternativa | Motivo Scarto |
|
||||
|-------------|--------------|
|
||||
| Backup via SSH diretto da PHP (phpseclib) | Scaling problematico, timeout, gestione credenziali complessa |
|
||||
| Integrazione Oxidized/RANCID via webhook | Overhead infrastrutturale, duplicazione logica versioning |
|
||||
| Archiviazione config su filesystem invece di DB | Perdita integrazione con ACL/profile GLPI, backup/disaster recovery più complesso |
|
||||
| Agent in PHP invece di Python | Netmiko/napalm hanno supporto multi-vendor più maturo in Python |
|
||||
|
||||
### 🔐 Security by Design
|
||||
- **Credenziali di rete**: Mai hardcodate. Usare variabili d'ambiente o vault esterno
|
||||
- **Token agente**: Generato con `openssl rand -hex 32`, rotazione periodica consigliata
|
||||
- **Cifratura a riposo**: `config_content` cifrato con chiave GLPI (`crypt_key` in config_db.php)
|
||||
- **Export sicuro**: Controllo `Session::haveRight()` + redaction automatica credenziali
|
||||
- **API endpoint**: Validazione CSRF per chiamate browser, token per chiamate agent
|
||||
- **Log sensibili**: Nessun dato di configurazione nei log di sistema
|
||||
|
||||
---
|
||||
|
||||
## 📡 Endpoint API del Plugin
|
||||
|
||||
### POST `/plugins/netconfig/ajax/agent_receive.php`
|
||||
**Scopo**: Ricevere configurazioni da GLPI Agent remoto
|
||||
|
||||
**Request JSON**:
|
||||
```json
|
||||
{
|
||||
"device_id": 123,
|
||||
"config": "!\nhostname SW-TEST\n...\nend",
|
||||
"token": "your_secure_agent_token",
|
||||
"timestamp": "2026-05-22T10:30:00+00:00",
|
||||
"agent_version": "1.0.0"
|
||||
}
|
||||
```
|
||||
|
||||
**Response JSON**:
|
||||
```json
|
||||
{
|
||||
"status": "ok",
|
||||
"message": "Configuration saved and versioned"
|
||||
}
|
||||
```
|
||||
Oppure:
|
||||
```json
|
||||
{
|
||||
"status": "ok",
|
||||
"message": "No changes detected"
|
||||
}
|
||||
```
|
||||
|
||||
**Codici HTTP**:
|
||||
- `200`: Successo (controllare `status` nel JSON)
|
||||
- `400`: Payload incompleto
|
||||
- `401`: Token non valido
|
||||
- `405`: Metodo HTTP non consentito
|
||||
- `500`: Errore database/server
|
||||
|
||||
---
|
||||
|
||||
## 🐍 Script Agent Python: Punti Chiave
|
||||
|
||||
### Configurazione Dispositivi (`netconfig_devices.yaml`)
|
||||
```yaml
|
||||
devices:
|
||||
- name: "SW-Core-01"
|
||||
ip: "10.0.0.1"
|
||||
platform: "cisco_ios" # Mappatura netmiko
|
||||
glpi_id: 123 # ID in glpi_networkdevices
|
||||
username: "${NETCONFIG_DEFAULT_USER}" # Variabile d'ambiente
|
||||
enable_password: "${NETCONFIG_ENABLE_PASS}"
|
||||
command: "show running-config"
|
||||
delay_factor: 2
|
||||
```
|
||||
|
||||
### Gestione Errori Robusta
|
||||
- Retry logic con backoff per timeout di rete
|
||||
- Distinzione tra errori di autenticazione (no retry) e timeout (retry)
|
||||
- Logging strutturato con livelli: INFO per successi, WARNING per retry, ERROR per fallimenti
|
||||
|
||||
### Ottimizzazioni
|
||||
- Invio a GLPI solo se hash diverso dall'ultimo salvato (controllo lato client opzionale)
|
||||
- Pulizia output da caratteri di controllo prima dell'invio
|
||||
- Supporto per piattaforme multiple tramite mapping `device_type`
|
||||
|
||||
---
|
||||
|
||||
## 🔄 Massive Actions Supportate
|
||||
|
||||
| Action ID | Etichetta UI | Permesso Richiesto | Comportamento |
|
||||
|-----------|-------------|-------------------|---------------|
|
||||
| `PluginNetconfig\Config:BackupNow` | "Force backup now" | CREATE | Triggera recupero configurazione immediato per dispositivi selezionati |
|
||||
| `PluginNetconfig\Config:ExportSelected` | "Export selected" | READ | Genera download file .txt per configurazioni selezionate |
|
||||
|
||||
**Implementazione**: Override di `getSpecificMassiveActions()` e `processMassiveActionsForOneItemtype()` in `Config.php`
|
||||
|
||||
---
|
||||
|
||||
## 🗄️ Schema Database
|
||||
|
||||
### Tabella: `glpi_plugin_netconfig_configs`
|
||||
```sql
|
||||
CREATE TABLE `glpi_plugin_netconfig_configs` (
|
||||
`id` int unsigned NOT NULL AUTO_INCREMENT,
|
||||
`networkdevices_id` int unsigned NOT NULL DEFAULT '0', -- FK a glpi_networkdevices
|
||||
`config_content` mediumtext NOT NULL, -- Cifrato AES-256-GCM
|
||||
`config_hash` char(64) NOT NULL, -- SHA256 hex
|
||||
`is_encrypted` tinyint NOT NULL DEFAULT '1', -- Flag cifratura
|
||||
`created_at` datetime NOT NULL, -- Timestamp salvataggio
|
||||
`users_id` int unsigned NOT NULL DEFAULT '0', -- 0 = system/agent
|
||||
PRIMARY KEY (`id`),
|
||||
KEY `networkdevices_id` (`networkdevices_id`),
|
||||
KEY `created_at` (`created_at`),
|
||||
KEY `config_hash` (`config_hash`)
|
||||
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
|
||||
```
|
||||
|
||||
**Note**:
|
||||
- `MEDIUMTEXT` supporta config fino a ~16MB (sufficiente per switch/router enterprise)
|
||||
- Indici su `networkdevices_id` e `created_at` per query efficienti dello storico
|
||||
- `config_hash` indicizzato per rilevamento rapido duplicati
|
||||
|
||||
---
|
||||
|
||||
## 🎨 Integrazione UI GLPI
|
||||
|
||||
### Tab Personalizzato su NetworkEquipment
|
||||
- **Posizione**: Scheda aggiuntiva "Config History" nel form di `NetworkEquipment`
|
||||
- **Contenuto**: Tabella con data, hash abbreviato, utente, azioni (export, diff)
|
||||
- **Diff Visual**: Modal dialog con output HTML di `symfony/diff` (aggiunte in verde, rimozioni in rosso)
|
||||
- **Pulsante Trigger**: "Retrieve configuration now" visibile solo a utenti con diritto CREATE
|
||||
|
||||
### Template Twig (`config_tab.html.twig`)
|
||||
- Uso di helper GLPI: `path()`, `getUserName`, `__()` per traduzioni
|
||||
- Sanitizzazione output diff con `|escape('js')` per prevenzione XSS
|
||||
- Responsive design con classi Bootstrap native di GLPI 11
|
||||
|
||||
---
|
||||
|
||||
## 🛠️ Comandi Utili per Sviluppo & Debug
|
||||
|
||||
```bash
|
||||
# Verifica ambiente GLPI
|
||||
php /var/www/glpi/bin/console glpi:version
|
||||
php /var/www/glpi/bin/console glpi:system:status
|
||||
|
||||
# Installazione plugin
|
||||
cd /var/www/glpi/plugins/netconfig
|
||||
composer install --no-dev -o
|
||||
chown -R www-data:www-data .
|
||||
# Poi: UI GLPI > Configurazione > Plugin > Installa
|
||||
|
||||
# Test endpoint agent
|
||||
curl -X POST http://localhost/glpi/plugins/netconfig/ajax/agent_receive.php \
|
||||
-H "Content-Type: application/json" \
|
||||
-d '{"device_id":123,"config":"test","token":"CHANGE_ME"}'
|
||||
|
||||
# Log utili
|
||||
tail -f /var/log/glpi/php-errors.log
|
||||
tail -f /var/log/glpi_agent_netconfig.log
|
||||
journalctl -u glpi-netconfig.service -f
|
||||
|
||||
# Verifica cifratura DB
|
||||
mysql -e "SELECT config_content FROM glpi_plugin_netconfig_configs LIMIT 1" glpi_db
|
||||
# Deve restituire blob cifrato, non testo in chiaro
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 🚨 Troubleshooting Ricorrenti
|
||||
|
||||
| Sintomo | Causa Probabile | Soluzione |
|
||||
|---------|----------------|-----------|
|
||||
| `symfony/diff not found` | Cache Composer corrotta o minimum-stability mancante | `composer clear-cache && composer install -vvv` |
|
||||
| Agent riceve 401 | Token non configurato o mismatch | Verificare `NETCONFIG_AGENT_TOKEN` in env e payload |
|
||||
| Config non salvata ma nessun errore | Hash identico all'ultima versione (nessuna modifica) | Controllare log: messaggio "No changes detected" è normale |
|
||||
| Diff non visualizzato | `symfony/diff` non installato o autoload non aggiornato | `composer dump-autoload -o` |
|
||||
| Export scarica file vuoto | Permessi insufficienti o config cifrata senza chiave valida | Verificare `crypt_key` in `config_db.php` e diritti profilo |
|
||||
| Massive action non appare | Plugin non attivato o hook non registrato | Controllare `setup.php` e stato plugin in UI GLPI |
|
||||
|
||||
---
|
||||
|
||||
## 📈 Roadmap Futura (Opzionale)
|
||||
|
||||
- [ ] Supporto per backup multipli paralleli (queue RabbitMQ/Redis)
|
||||
- [ ] Integrazione con GLPI Notifications per alert su config change
|
||||
- [ ] Plugin settings UI per configurare token, timeout, piattaforme supportate
|
||||
- [ ] Supporto per dispositivi via API REST (non solo SSH)
|
||||
- [ ] Reportistica: grafico frequenza modifiche, compliance check
|
||||
- [ ] Webhook outbound per integrazione con SIEM/ITSM esterni
|
||||
|
||||
---
|
||||
|
||||
## 📚 Riferimenti Ufficiali
|
||||
|
||||
- [GLPI 11 Developer Documentation](https://glpi-developer-documentation.readthedocs.io/en/11.0/)
|
||||
- [GLPI Plugin Development Guidelines](https://github.com/glpi-project/glpi/blob/11.0/DEV/PLUGIN.md)
|
||||
- [Netmiko Documentation](https://ktbyers.github.io/netmiko/)
|
||||
- [Symfony Diff Component](https://symfony.com/doc/current/components/diff.html)
|
||||
- [GLPI REST API Reference](https://github.com/glpi-project/glpi/blob/11.0/apirest.md)
|
||||
|
||||
---
|
||||
|
||||
> 💡 **Nota per l'Agent AI**: Quando assisti nello sviluppo di questo plugin, priorizza:
|
||||
> 1. Conformità alle linee guida GLPI 11 (namespace, strict_types, DBConnection)
|
||||
> 2. Sicurezza (cifratura, validazione input, controllo diritti)
|
||||
> 3. Performance (query indicizzate, diff calcolato on-demand)
|
||||
> 4. Manutenibilità (codice commentato, log chiari, configurazione esterna)
|
||||
```
|
||||
+160
@@ -0,0 +1,160 @@
|
||||
<?php
|
||||
declare(strict_types=1);
|
||||
|
||||
namespace PluginNetconfig\Api;
|
||||
|
||||
use GuzzleHttp\Client;
|
||||
use GuzzleHttp\Exception\RequestException;
|
||||
|
||||
class GlpiApiClient
|
||||
{
|
||||
private string $baseUrl;
|
||||
private string $appToken;
|
||||
private ?string $sessionToken = null;
|
||||
private Client $httpClient;
|
||||
|
||||
public function __construct(string $baseUrl, string $appToken, string $userToken = null)
|
||||
{
|
||||
$this->baseUrl = rtrim($baseUrl, '/');
|
||||
$this->appToken = $appToken;
|
||||
$this->httpClient = new Client([
|
||||
'base_uri' => $this->baseUrl . '/apirest.php/',
|
||||
'timeout' => 30.0,
|
||||
'headers' => [
|
||||
'App-Token' => $this->appToken,
|
||||
'Content-Type' => 'application/json',
|
||||
],
|
||||
]);
|
||||
|
||||
if ($userToken) {
|
||||
$this->loginWithUserToken($userToken);
|
||||
}
|
||||
}
|
||||
|
||||
/**
|
||||
* Login con credenziali utente (username + password)
|
||||
*/
|
||||
public function login(string $username, string $password): bool
|
||||
{
|
||||
try {
|
||||
$response = $this->httpClient->post('initSession', [
|
||||
'auth' => [$username, $password],
|
||||
]);
|
||||
$data = json_decode($response->getBody(), true);
|
||||
$this->sessionToken = $data['session_token'] ?? null;
|
||||
return $this->sessionToken !== null;
|
||||
} catch (RequestException $e) {
|
||||
error_log("GLPI API login failed: " . $e->getMessage());
|
||||
return false;
|
||||
}
|
||||
}
|
||||
|
||||
/**
|
||||
* Login con user token (più sicuro, generato in Profilo > API)
|
||||
*/
|
||||
public function loginWithUserToken(string $userToken): bool
|
||||
{
|
||||
try {
|
||||
$response = $this->httpClient->post('initSession', [
|
||||
'headers' => ['User-Token' => $userToken],
|
||||
]);
|
||||
$data = json_decode($response->getBody(), true);
|
||||
$this->sessionToken = $data['session_token'] ?? null;
|
||||
return $this->sessionToken !== null;
|
||||
} catch (RequestException $e) {
|
||||
error_log("GLPI API user-token login failed: " . $e->getMessage());
|
||||
return false;
|
||||
}
|
||||
}
|
||||
|
||||
/**
|
||||
* Logout e distruzione sessione
|
||||
*/
|
||||
public function logout(): void
|
||||
{
|
||||
if ($this->sessionToken) {
|
||||
try {
|
||||
$this->httpClient->delete('killSession', [
|
||||
'headers' => ['Session-Token' => $this->sessionToken],
|
||||
]);
|
||||
} catch (\Throwable $e) {
|
||||
// Ignora errori in logout
|
||||
}
|
||||
$this->sessionToken = null;
|
||||
}
|
||||
}
|
||||
|
||||
/**
|
||||
* Esegue una chiamata API con retry automatico su token scaduto
|
||||
*/
|
||||
private function request(string $method, string $endpoint, array $data = []): ?array
|
||||
{
|
||||
$headers = $this->sessionToken ? ['Session-Token' => $this->sessionToken] : [];
|
||||
|
||||
try {
|
||||
$response = $this->httpClient->request($method, $endpoint, [
|
||||
'headers' => $headers,
|
||||
'json' => $data,
|
||||
]);
|
||||
return json_decode($response->getBody(), true);
|
||||
} catch (RequestException $e) {
|
||||
// Se token scaduto (401), tenta refresh e riprova UNA volta
|
||||
if ($e->getResponse()?->getStatusCode() === 401 && $this->sessionToken) {
|
||||
$this->logout();
|
||||
// Qui potresti ricaricare le credenziali da config/vault e fare re-login
|
||||
// Per semplicità, lanciamo eccezione
|
||||
throw new \RuntimeException("GLPI API session expired. Re-authentication required.");
|
||||
}
|
||||
throw $e;
|
||||
}
|
||||
}
|
||||
|
||||
/**
|
||||
* Ottieni dispositivo di rete per ID
|
||||
*/
|
||||
public function getNetworkEquipment(int $id): ?array
|
||||
{
|
||||
$result = $this->request('GET', "NetworkEquipment/$id");
|
||||
return $result && !isset($result[0]['error']) ? $result : null;
|
||||
}
|
||||
|
||||
/**
|
||||
* Cerca dispositivi per nome/IP (per mapping agent -> GLPI ID)
|
||||
*/
|
||||
public function searchNetworkEquipment(string $nameOrIp): array
|
||||
{
|
||||
$query = [
|
||||
'criteria' => [
|
||||
['field' => 1, 'searchtype' => 'contains', 'value' => $nameOrIp], // name
|
||||
['OR' => [
|
||||
['field' => 2, 'searchtype' => 'contains', 'value' => $nameOrIp], // ip
|
||||
]],
|
||||
],
|
||||
'forcedisplay' => [1, 2, 3], // id, name, ip
|
||||
];
|
||||
|
||||
$result = $this->request('GET', 'search/NetworkEquipment', ['criteria' => $query]);
|
||||
return $result['data'] ?? [];
|
||||
}
|
||||
|
||||
/**
|
||||
* Invia configurazione al plugin (endpoint personalizzato)
|
||||
*/
|
||||
public function sendConfig(int $deviceId, string $config, string $agentToken): bool
|
||||
{
|
||||
$payload = [
|
||||
'device_id' => $deviceId,
|
||||
'config' => $config,
|
||||
'token' => $agentToken,
|
||||
'timestamp' => date('c'),
|
||||
];
|
||||
|
||||
$result = $this->request('POST', 'plugin/netconfig/agent', $payload);
|
||||
return ($result['status'] ?? '') === 'ok';
|
||||
}
|
||||
|
||||
public function __destruct()
|
||||
{
|
||||
$this->logout();
|
||||
}
|
||||
}
|
||||
@@ -0,0 +1,314 @@
|
||||
---
|
||||
|
||||
# 🧠 MEMORY.md
|
||||
|
||||
```markdown
|
||||
# 🧠 MEMORY.md - Knowledge Base Progetto NetConfig Plugin
|
||||
|
||||
> **Scopo**: Memoria persistente delle decisioni, contesto e apprendimenti per il team di sviluppo
|
||||
> **Progetto**: GLPI 11 Plugin - Network Configuration Backup & Versioning
|
||||
> **Stato**: ✅ Specifica Completa | 🚧 Implementazione Pronta | 🧪 Test in Corso
|
||||
|
||||
---
|
||||
|
||||
## 📋 Riepilogo Richieste Utente
|
||||
|
||||
### Richiesta Originale (Tradotta e Strutturata)
|
||||
```
|
||||
"Vorrei implementare un plugin per GLPI 11 secondo le linee guida degli sviluppatori GLPI per:
|
||||
1. Salvare configurazioni di apparati di rete (es. switch) nel database MySQL
|
||||
2. Tenere traccia delle variazioni della configurazione (versioning)
|
||||
3. Implementare massive actions (azioni di massa)
|
||||
4. Gestire i profili come già integrato in GLPI (ACL native)
|
||||
5. Permettere l'esportazione in file di testo del contenuto salvato (solo per utenti con diritti)
|
||||
6. Lanciare il comando per recuperare la configurazione dall'apparato di rete
|
||||
7. Valutare l'utilizzo di un agent GLPI remoto per eseguire il recupero configurazione
|
||||
8. Fornire una proposta architetturale completa"
|
||||
```
|
||||
|
||||
### Vincoli Espliciti
|
||||
- ✅ GLPI 11.0.6+ (verificato con `php bin/console glpi:version`)
|
||||
- ✅ PHP 8.2+ con strict_types e namespace PSR-4
|
||||
- ✅ MySQL/MariaDB con charset utf8mb4
|
||||
- ✅ Integrazione con sistema profili/diritti nativo GLPI
|
||||
- ✅ Massive actions compatibili con UI GLPI
|
||||
- ✅ Cifratura configurazioni sensibili
|
||||
- ✅ Agent remoto opzionale ma preferito per scalabilità
|
||||
|
||||
---
|
||||
|
||||
## 🗂️ Decisioni Architetturali Confermate
|
||||
|
||||
### ✅ Scelte Definitive
|
||||
| Area | Decisione | Motivazione |
|
||||
|------|-----------|-------------|
|
||||
| **Struttura Plugin** | PSR-4 autoload, `src/` per classi, `ajax/` per endpoint | Conformità linee guida GLPI 11, manutenibilità |
|
||||
| **Database** | Tabella dedicata `glpi_plugin_netconfig_configs` con MEDIUMTEXT | Isolamento dati, performance query, supporto config grandi |
|
||||
| **Versioning** | SHA256 hash + confronto all'arrivo nuovo backup | Rilevamento modifiche efficiente, storage ottimizzato |
|
||||
| **Cifratura** | `Glpi\Toolbox\Encryption` (AES-256-GCM) | Integrazione nativa, chiave gestita da GLPI, compliance |
|
||||
| **Agent Remoto** | Python + netmiko + YAML config + systemd timer | Supporto multi-vendor maturo, gestione timeout/retry robusta |
|
||||
| **Diff Visual** | `symfony/diff` con output HTML sanitizzato per Twig | Libreria mantenuta, output sicuro, integrazione semplice |
|
||||
| **Export** | Stream diretto con redaction regex + controllo diritti | Performance, sicurezza, compliance policy aziendali |
|
||||
| **API Endpoint** | POST JSON con token + validazione hash lato server | Stateless, compatibile con agent distribuiti, auditabile |
|
||||
|
||||
### ❌ Alternative Scartate (con Motivazione)
|
||||
| Alternativa | Motivazione Scarto |
|
||||
|-------------|-------------------|
|
||||
| SSH diretto da PHP (phpseclib) | Timeout frequenti, gestione connessioni concorrenti complessa, scaling limitato |
|
||||
| Archiviazione su filesystem | Perdita integrazione ACL GLPI, backup/disaster recovery più complesso, audit difficile |
|
||||
| Integrazione Oxidized/RANCID | Overhead infrastrutturale aggiuntivo, duplicazione logica versioning, curva apprendimento team |
|
||||
| Agent in PHP invece di Python | Netmiko/napalm hanno supporto multi-vendor più maturo e community attiva in Python |
|
||||
| Diff calcolato lato client (JS) | Configurazioni grandi (>1MB) causano lag browser, sanitizzazione complessa per XSS |
|
||||
|
||||
---
|
||||
|
||||
## 🔐 Security & Compliance Decisions
|
||||
|
||||
### Credenziali e Segreti
|
||||
```yaml
|
||||
# ✅ DO: Usare variabili d'ambiente o vault esterno
|
||||
NETCONFIG_DEFAULT_USER: "backup_svc"
|
||||
NETCONFIG_DEFAULT_PASS: "${VAULT_SECRET_NETCONFIG_PASS}"
|
||||
NETCONFIG_AGENT_TOKEN: "${OPENSSL_GENERATED_32B_HEX}"
|
||||
|
||||
# ❌ DON'T: Hardcodare nel codice o YAML
|
||||
# password: "SuperSecret123" # MAI fare questo
|
||||
```
|
||||
|
||||
### Cifratura Dati
|
||||
- **A riposo**: `config_content` cifrato con `Glpi\Toolbox\Encryption::encrypt()`
|
||||
- **Chiave**: Derivata da `crypt_key` in `GLPI_CONFIG_DIR/config_db.php` (gestita da GLPI)
|
||||
- **Algoritmo**: AES-256-GCM con autenticazione (previene tampering)
|
||||
- **Verifica**: Test manuale post-install per confermare che DB contenga blob cifrati
|
||||
|
||||
### Controllo Accessi
|
||||
```php
|
||||
// Pattern confermato per tutti i metodi sensibili
|
||||
if (!\PluginNetconfig\Config::canView()) {
|
||||
http_response_code(403);
|
||||
exit('Access denied');
|
||||
}
|
||||
```
|
||||
|
||||
### Redaction Export
|
||||
```php
|
||||
// Regex per mascherare credenziali prima dell'export
|
||||
$content = preg_replace(
|
||||
'/(?<=password\s|secret\s|enable\s|community\s)[^\s\r\n]+/i',
|
||||
'***REDACTED***',
|
||||
$content
|
||||
);
|
||||
// Personalizzabile in base alle policy aziendali
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 🧪 Test Plan Confermato
|
||||
|
||||
### Test Unitari (PHPUnit - da implementare)
|
||||
```php
|
||||
// Esempio: test hash detection
|
||||
public function testSaveConfig_DetectsNoChanges(): void
|
||||
{
|
||||
$config = new \PluginNetconfig\Config();
|
||||
$result = $config->saveConfig([
|
||||
'networkdevices_id' => 123,
|
||||
'content' => 'identical config content'
|
||||
]);
|
||||
// Primo salvataggio: true
|
||||
// Secondo salvataggio stesso contenuto: true ma nessun nuovo record
|
||||
}
|
||||
```
|
||||
|
||||
### Test di Integrazione
|
||||
1. **Installazione plugin**: Verificare creazione tabella e registrazione hook
|
||||
2. **Diritti profilo**: Assegnare READ a utente test, verificare accesso a tab Config History
|
||||
3. **Agent simulation**: Invio JSON via curl, verificare risposta e record in DB
|
||||
4. **Export flow**: Login utente con diritti, click export, verificare download e redaction
|
||||
5. **Diff visual**: Salvare due versioni diverse, verificare rendering HTML differenze
|
||||
|
||||
### Test di Sicurezza
|
||||
```bash
|
||||
# 1. Tentativo export senza diritti
|
||||
curl -b "glpi_session=invalid" http://glpi/plugins/netconfig/ajax/export.php?id=1
|
||||
# Atteso: HTTP 403
|
||||
|
||||
# 2. Invio agent con token errato
|
||||
curl -X POST ... -d '{"token":"wrong"}'
|
||||
# Atteso: {"status":"error","message":"Unauthorized"}
|
||||
|
||||
# 3. Verifica cifratura DB
|
||||
mysql -e "SELECT config_content FROM glpi_plugin_netconfig_configs LIMIT 1" | head
|
||||
# Atteso: blob binario non leggibile, non testo in chiaro
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 📦 Dipendenze e Versioni Confermate
|
||||
|
||||
### composer.json (Definitivo)
|
||||
```json
|
||||
{
|
||||
"name": "glpi-plugin/netconfig",
|
||||
"license": "GPL-3.0-or-later",
|
||||
"minimum-stability": "stable",
|
||||
"prefer-stable": true,
|
||||
"require": {
|
||||
"php": ">=8.2",
|
||||
"symfony/diff": "^6.4",
|
||||
"guzzlehttp/guzzle": "^7.8"
|
||||
},
|
||||
"autoload": {
|
||||
"psr-4": {
|
||||
"PluginNetconfig\\": "src/",
|
||||
"PluginNetconfig\\Api\\": "src/Api/"
|
||||
}
|
||||
}
|
||||
}
|
||||
```
|
||||
|
||||
### Requisiti Python Agent
|
||||
```txt
|
||||
# requirements-agent.txt
|
||||
netmiko>=4.3.0
|
||||
requests>=2.31.0
|
||||
pyyaml>=6.0.1
|
||||
cryptography>=41.0.0 # Per eventuale cifratura lato agent (opzionale)
|
||||
```
|
||||
|
||||
### Estensioni PHP Richieste
|
||||
```bash
|
||||
php -m | grep -E "curl|json|mbstring|openssl|zip|pdo_mysql"
|
||||
# Tutte devono essere presenti per GLPI 11 + plugin
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 🔄 Flussi Operativi Documentati
|
||||
|
||||
### Flusso 1: Backup Schedulato (Agent Remoto)
|
||||
```mermaid
|
||||
sequenceDiagram
|
||||
participant Cron as Systemd Timer/Cron
|
||||
participant Agent as GLPI Agent (Python)
|
||||
participant Device as Network Device
|
||||
participant GLPI as GLPI Server + Plugin
|
||||
|
||||
Cron->>Agent: Trigger ogni 6h
|
||||
Agent->>Device: SSH via netmiko (show running-config)
|
||||
Device-->>Agent: Restituisce configurazione
|
||||
Agent->>Agent: Calcola SHA256, confronta con ultimo locale (opzionale)
|
||||
Agent->>GLPI: POST /ajax/agent_receive.php con JSON
|
||||
GLPI->>GLPI: Valida token, decifra chiave, confronta hash DB
|
||||
alt Hash diverso
|
||||
GLPI->>GLPI: Cifra contenuto, salva nuovo record, registra versione
|
||||
GLPI-->>Agent: {"status":"ok","message":"Saved"}
|
||||
else Hash identico
|
||||
GLPI-->>Agent: {"status":"ok","message":"No changes"}
|
||||
end
|
||||
Agent->>Cron: Log risultato, exit
|
||||
```
|
||||
|
||||
### Flusso 2: Export Configurazione (Utente GLPI)
|
||||
```mermaid
|
||||
sequenceDiagram
|
||||
participant User as Utente GLPI
|
||||
participant UI as Interfaccia GLPI
|
||||
participant Plugin as Plugin NetConfig
|
||||
participant DB as Database MySQL
|
||||
|
||||
User->>UI: Clicca "Export" su configurazione
|
||||
UI->>Plugin: GET /ajax/export.php?id=XXX
|
||||
Plugin->>Plugin: Verifica Session::haveRight(Config::READ)
|
||||
alt Diritti insufficienti
|
||||
Plugin-->>UI: HTTP 403 + messaggio errore
|
||||
else Diritti OK
|
||||
Plugin->>DB: SELECT config_content, is_encrypted WHERE id=XXX
|
||||
DB-->>Plugin: Restituisce record
|
||||
Plugin->>Plugin: Decifra se is_encrypted=1
|
||||
Plugin->>Plugin: Applica regex redaction su password/secret
|
||||
Plugin-->>User: HTTP 200 + file .txt in download
|
||||
end
|
||||
```
|
||||
|
||||
### Flusso 3: Visualizzazione Diff (UI GLPI)
|
||||
```mermaid
|
||||
sequenceDiagram
|
||||
participant User as Utente GLPI
|
||||
participant Twig as Template Engine
|
||||
participant Plugin as Plugin NetConfig
|
||||
participant DiffLib as symfony/diff
|
||||
|
||||
User->>UI: Apri tab "Config History" su NetworkEquipment
|
||||
UI->>Plugin: Richiedi liste configurazioni per device_id
|
||||
Plugin->>DB: SELECT * ORDER BY created_at DESC
|
||||
DB-->>Plugin: Restituisce array configurazioni
|
||||
Plugin->>Plugin: Per l'ultima config, carica precedente e calcola diff
|
||||
Plugin->>DiffLib: Differ::diff(old, new) con HtmlOutput
|
||||
DiffLib-->>Plugin: Stringa HTML con <ins>/<del>
|
||||
Plugin->>Twig: Passa configs + diff_html al template
|
||||
Twig->>User: Renderizza tabella con pulsante "View Diff"
|
||||
User->>UI: Clicca pulsante diff
|
||||
UI->>User: Modal dialog con differenze evidenziate (verde/rosso)
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 🚨 Lessons Learned & Pitfalls Evitati
|
||||
|
||||
### ✅ Cosa Abbiamo Imparato
|
||||
1. **Composer in ambienti non-standard**: Il warning `installed.json not found` è innocuo se `composer install` completa con successo. Non bloccare l'installazione per questo.
|
||||
2. **Hash vs Timestamp per versioning**: Confrontare hash SHA256 è più affidabile dei timestamp (orologi non sincronizzati, config identiche con timestamp diversi).
|
||||
3. **Cifratura nativa GLPI**: Usare `Glpi\Toolbox\Encryption` evita di gestire chiavi separatamente e garantisce compatibilità con backup/restore GLPI.
|
||||
4. **Diff on-demand**: Calcolare il diff solo per l'ultima configurazione (non per tutto lo storico) migliora le performance con config grandi.
|
||||
5. **Agent token rotation**: Documentare la procedura di rotazione token nel README operativo, anche se non implementata nel codice.
|
||||
|
||||
### ⚠️ Pitfalls Evitati
|
||||
| Problema Potenziale | Come Lo Abbiamo Evitato |
|
||||
|---------------------|------------------------|
|
||||
| XSS nel diff HTML | Output di `symfony/diff` sanitizzato con `|escape('js')` in Twig |
|
||||
| SQL injection in massive actions | Uso di prepared statements in `getLastConfigByDevice()` |
|
||||
| Credential leak nei log | Logging configurato per escludere payload config, solo metadata |
|
||||
| Timeout SSH su dispositivi lenti | Retry logic con backoff + `global_delay_factor` configurabile per device |
|
||||
| Memory exhaustion con config grandi | Stream export invece di caricamento intero in memoria, uso di `MEDIUMTEXT` |
|
||||
|
||||
---
|
||||
|
||||
## 📞 Contatti e Responsabilità
|
||||
|
||||
| Ruolo | Responsabilità | Contatto (Esempio) |
|
||||
|-------|---------------|-------------------|
|
||||
| **Plugin Maintainer** | Release, compatibilità GLPI, security patch | team-dev@azienda.it |
|
||||
| **Agent Operator** | Deploy script Python, gestione dispositivi YAML, monitoraggio | netops@azienda.it |
|
||||
| **Security Officer** | Approvazione policy redaction, rotazione token, audit cifratura | security@azienda.it |
|
||||
| **GLPI Admin** | Installazione plugin, gestione profili, backup database | glpi-admin@azienda.it |
|
||||
|
||||
---
|
||||
|
||||
## 🗓️ Cronologia Decisioni
|
||||
|
||||
| Data | Decisione | Autore | Riferimento |
|
||||
|------|-----------|--------|-------------|
|
||||
| 2026-05-22 | Architettura plugin confermata (PSR-4, encryption nativa, agent Python) | AI Assistant + Utente | Richiesta iniziale |
|
||||
| 2026-05-22 | Scelta symfony/diff ^6.4 per visualizzazione differenze | AI Assistant | Valutazione librerie |
|
||||
| 2026-05-22 | Token-based auth per endpoint agent invece di session GLPI | AI Assistant | Requisito agent remoto |
|
||||
| 2026-05-22 | Redaction automatica password in export tramite regex | AI Assistant | Compliance sicurezza |
|
||||
| 2026-05-22 | Supporto massive actions native invece di UI custom | AI Assistant | Integrazione UX GLPI |
|
||||
|
||||
---
|
||||
|
||||
## 🔗 Link Utili per il Team
|
||||
|
||||
- [Repository Plugin (interno)](https://git.azienda.it/glpi-plugins/netconfig)
|
||||
- [Documentazione GLPI 11 Developer](https://glpi-developer-documentation.readthedocs.io/en/11.0/)
|
||||
- [Netmiko Platform Support](https://github.com/ktbyers/netmiko/blob/develop/PLATFORMS.md)
|
||||
- [GLPI API Postman Collection](https://github.com/glpi-project/glpi/blob/11.0/apirest.md)
|
||||
- [Checklist Sicurezza Plugin GLPI](https://github.com/glpi-project/glpi/blob/11.0/DEV/SECURITY.md)
|
||||
|
||||
---
|
||||
|
||||
> 📌 **Nota Operativa**: Questo documento va aggiornato ad ogni modifica architetturale significativa.
|
||||
> **Ultima revisione**: 2026-05-22 | **Prossima review pianificata**: 2026-08-22
|
||||
```
|
||||
|
||||
---
|
||||
@@ -0,0 +1,11 @@
|
||||
<?php
|
||||
declare(strict_types=1);
|
||||
include('../../../inc/includes.php');
|
||||
|
||||
header('Content-Type: application/json');
|
||||
Session::checkLoginUser();
|
||||
|
||||
$input = json_decode(file_get_contents('php://input'), true);
|
||||
$handler = new \PluginNetconfig\Agent\Receive();
|
||||
echo json_encode($handler($input, 'POST', '/plugin/netconfig/agent'));
|
||||
exit;
|
||||
@@ -0,0 +1,199 @@
|
||||
#!/usr/bin/env python3
|
||||
# -*- coding: utf-8 -*-
|
||||
"""
|
||||
GLPI Agent Task: netconfig_backup
|
||||
Recupera configurazione da apparati di rete e invia a GLPI plugin netconfig
|
||||
Requisiti: netmiko, requests, pyyaml
|
||||
Install: pip3 install netmiko requests pyyaml
|
||||
"""
|
||||
|
||||
import os
|
||||
import sys
|
||||
import json
|
||||
import hashlib
|
||||
import logging
|
||||
import requests
|
||||
from datetime import datetime
|
||||
from typing import Optional, Dict, List
|
||||
from netmiko import ConnectHandler, NetmikoTimeoutException, NetmikoAuthenticationException
|
||||
import yaml
|
||||
|
||||
# Configurazione logging
|
||||
logging.basicConfig(
|
||||
level=logging.INFO,
|
||||
format='%(asctime)s - %(name)s - %(levelname)s - %(message)s',
|
||||
handlers=[
|
||||
logging.FileHandler('/var/log/glpi_agent_netconfig.log'),
|
||||
logging.StreamHandler(sys.stdout)
|
||||
]
|
||||
)
|
||||
logger = logging.getLogger('netconfig_backup')
|
||||
|
||||
# Configurazione da file YAML esterno (sicuro, non hardcodato)
|
||||
CONFIG_FILE = os.getenv('NETCONFIG_CONFIG', '/etc/glpi-agent/netconfig_devices.yaml')
|
||||
GLPI_URL = os.getenv('GLPI_URL', 'http://localhost/glpi')
|
||||
GLPI_TOKEN = os.getenv('GLPI_APP_TOKEN', '')
|
||||
AGENT_TOKEN = os.getenv('NETCONFIG_AGENT_TOKEN', 'change_me_in_production')
|
||||
TIMEOUT = int(os.getenv('NETCONFIG_TIMEOUT', '30'))
|
||||
RETRIES = int(os.getenv('NETCONFIG_RETRIES', '2'))
|
||||
|
||||
|
||||
def load_devices_config(path: str) -> List[Dict]:
|
||||
"""Carica configurazione dispositivi da YAML"""
|
||||
if not os.path.exists(path):
|
||||
logger.error(f"Config file not found: {path}")
|
||||
return []
|
||||
|
||||
try:
|
||||
with open(path, 'r') as f:
|
||||
data = yaml.safe_load(f)
|
||||
return data.get('devices', [])
|
||||
except Exception as e:
|
||||
logger.error(f"Error loading config: {e}")
|
||||
return []
|
||||
|
||||
|
||||
def get_device_connection_params(device: Dict) -> Dict:
|
||||
"""Prepara parametri di connessione per netmiko"""
|
||||
device_type_map = {
|
||||
'cisco_ios': 'cisco_ios',
|
||||
'cisco_nxos': 'cisco_nxos',
|
||||
'hp_comware': 'hp_comware',
|
||||
'juniper_junos': 'juniper_junos',
|
||||
'arista_eos': 'arista_eos',
|
||||
'paloalto_panos': 'paloalto_panos',
|
||||
}
|
||||
|
||||
return {
|
||||
'device_type': device_type_map.get(device['platform'], 'cisco_ios'),
|
||||
'host': device['ip'],
|
||||
'username': device.get('username', os.getenv('NETCONFIG_DEFAULT_USER')),
|
||||
'password': device.get('password', os.getenv('NETCONFIG_DEFAULT_PASS')),
|
||||
'secret': device.get('enable_password', os.getenv('NETCONFIG_ENABLE_PASS')),
|
||||
'port': device.get('port', 22),
|
||||
'timeout': TIMEOUT,
|
||||
'session_log': None,
|
||||
'global_delay_factor': device.get('delay_factor', 1),
|
||||
}
|
||||
|
||||
|
||||
def fetch_config(device: Dict) -> Optional[str]:
|
||||
"""Recupera configurazione via SSH con netmiko"""
|
||||
params = get_device_connection_params(device)
|
||||
|
||||
for attempt in range(RETRIES + 1):
|
||||
try:
|
||||
logger.info(f"Connecting to {device['name']} ({params['host']}) [attempt {attempt+1}]")
|
||||
connection = ConnectHandler(**params)
|
||||
|
||||
# Abilita modalità enable se necessaria
|
||||
if params.get('secret'):
|
||||
connection.enable()
|
||||
|
||||
# Comando di show config (personalizzabile per piattaforma)
|
||||
command = device.get('command', 'show running-config')
|
||||
config = connection.send_command(command, expect_string=r'#|\$', max_loops=150)
|
||||
|
||||
connection.disconnect()
|
||||
|
||||
# Pulizia output da caratteri di controllo
|
||||
config = config.strip()
|
||||
config = '\n'.join(line.rstrip() for line in config.splitlines())
|
||||
|
||||
logger.info(f"Config fetched successfully for {device['name']}")
|
||||
return config
|
||||
|
||||
except NetmikoAuthenticationException as e:
|
||||
logger.error(f"Auth failed for {device['name']}: {e}")
|
||||
break # Non ritentare se auth fallisce
|
||||
except NetmikoTimeoutException as e:
|
||||
logger.warning(f"Timeout for {device['name']}: {e}")
|
||||
except Exception as e:
|
||||
logger.error(f"Unexpected error for {device['name']}: {e}")
|
||||
|
||||
return None
|
||||
|
||||
|
||||
def send_to_glpi(device_id: int, config: str) -> bool:
|
||||
"""Invia configurazione a GLPI plugin endpoint"""
|
||||
url = f"{GLPI_URL}/plugins/netconfig/ajax/agent_receive.php"
|
||||
|
||||
payload = {
|
||||
'device_id': device_id,
|
||||
'config': config,
|
||||
'token': AGENT_TOKEN,
|
||||
'timestamp': datetime.utcnow().isoformat(),
|
||||
'agent_version': '1.0.0'
|
||||
}
|
||||
|
||||
headers = {
|
||||
'Content-Type': 'application/json',
|
||||
'App-Token': GLPI_TOKEN, # Opzionale: autenticazione API GLPI
|
||||
}
|
||||
|
||||
try:
|
||||
response = requests.post(
|
||||
url,
|
||||
json=payload,
|
||||
headers=headers,
|
||||
timeout=30,
|
||||
verify=os.getenv('SSL_VERIFY', 'true').lower() == 'true'
|
||||
)
|
||||
|
||||
if response.status_code == 200:
|
||||
result = response.json()
|
||||
logger.info(f"GLPI response: {result.get('message', 'OK')}")
|
||||
return result.get('status') == 'ok'
|
||||
else:
|
||||
logger.error(f"GLPI HTTP {response.status_code}: {response.text}")
|
||||
return False
|
||||
|
||||
except requests.RequestException as e:
|
||||
logger.error(f"Request to GLPI failed: {e}")
|
||||
return False
|
||||
|
||||
|
||||
def calculate_hash(config: str) -> str:
|
||||
"""Calcola SHA256 della configurazione"""
|
||||
return hashlib.sha256(config.encode('utf-8')).hexdigest()
|
||||
|
||||
|
||||
def run_task():
|
||||
"""Entry point della task"""
|
||||
logger.info("=== NetConfig Backup Task Started ===")
|
||||
|
||||
devices = load_devices_config(CONFIG_FILE)
|
||||
if not devices:
|
||||
logger.warning("No devices configured, exiting")
|
||||
return
|
||||
|
||||
success_count = 0
|
||||
for device in devices:
|
||||
try:
|
||||
device_name = device.get('name', 'unknown')
|
||||
device_id = device.get('glpi_id') # ID in glpi_networkdevices
|
||||
|
||||
if not device_id:
|
||||
logger.warning(f"Skipping {device_name}: missing glpi_id")
|
||||
continue
|
||||
|
||||
config = fetch_config(device)
|
||||
if not config:
|
||||
logger.warning(f"Failed to fetch config for {device_name}")
|
||||
continue
|
||||
|
||||
# Invia a GLPI solo se diverso dall'ultimo (controllo lato server, ma ottimizzazione client)
|
||||
if send_to_glpi(device_id, config):
|
||||
success_count += 1
|
||||
logger.info(f"✓ {device_name} - Config saved")
|
||||
else:
|
||||
logger.error(f"✗ {device_name} - Failed to save to GLPI")
|
||||
|
||||
except Exception as e:
|
||||
logger.exception(f"Unhandled error for device {device.get('name')}")
|
||||
|
||||
logger.info(f"=== Task Completed: {success_count}/{len(devices)} devices processed ===")
|
||||
|
||||
|
||||
if __name__ == '__main__':
|
||||
run_task()
|
||||
@@ -0,0 +1,25 @@
|
||||
devices:
|
||||
- name: "SW-Core-01"
|
||||
ip: "10.0.0.1"
|
||||
platform: "cisco_ios"
|
||||
glpi_id: 123 # ID in glpi_networkdevices
|
||||
username: "backup_user"
|
||||
# password: "xxx" # Meglio usare variabili d'ambiente o vault
|
||||
enable_password: "enable_secret"
|
||||
command: "show running-config"
|
||||
delay_factor: 2
|
||||
|
||||
- name: "SW-Access-05"
|
||||
ip: "10.0.0.5"
|
||||
platform: "hp_comware"
|
||||
glpi_id: 124
|
||||
username: "admin"
|
||||
command: "display current-configuration"
|
||||
|
||||
|
||||
|
||||
|
||||
# 🔐 Best Practice: Non inserire password nel YAML. Usa:
|
||||
# Variabili d'ambiente: NETCONFIG_DEFAULT_PASS
|
||||
# Vault esterno (HashiCorp Vault, AWS Secrets Manager)
|
||||
# File con permessi 600 leggibile solo dall'utente dell'agent
|
||||
@@ -0,0 +1,22 @@
|
||||
#!/usr/bin/env php
|
||||
<?php
|
||||
// /usr/share/glpi_agent/plugins/netconfig_backup.php
|
||||
require_once '/path/to/glpi/vendor/autoload.php';
|
||||
|
||||
use PluginNetconfig\Api\GlpiApiClient;
|
||||
|
||||
// Carica config da YAML/JSON
|
||||
$devices = yaml_parse_file('/etc/glpi-agent/netconfig_devices.yaml')['devices'] ?? [];
|
||||
|
||||
$api = new GlpiApiClient(
|
||||
baseUrl: getenv('GLPI_URL') ?: 'http://localhost/glpi',
|
||||
appToken: getenv('GLPI_APP_TOKEN'),
|
||||
userToken: getenv('GLPI_USER_TOKEN') // Più sicuro di username/password
|
||||
);
|
||||
|
||||
foreach ($devices as $device) {
|
||||
$config = fetchConfigViaNetmikoPhp($device); // Funzione custom con phpseclib3
|
||||
if ($config) {
|
||||
$api->sendConfig($device['glpi_id'], $config, getenv('NETCONFIG_AGENT_TOKEN'));
|
||||
}
|
||||
}
|
||||
@@ -0,0 +1,9 @@
|
||||
# Ricarica configurazione supervisor
|
||||
sudo supervisorctl reread
|
||||
sudo supervisorctl update
|
||||
|
||||
# Esegui manualmente la task
|
||||
sudo supervisorctl start glpi-netconfig
|
||||
|
||||
# Monitora log in tempo reale
|
||||
sudo tail -f /var/log/glpi_netconfig_supervisor.log
|
||||
@@ -0,0 +1,11 @@
|
||||
# /etc/supervisor/conf.d/glpi-netconfig.conf
|
||||
[program:glpi-netconfig]
|
||||
command=/usr/bin/python3 /usr/share/glpi_agent/plugins/netconfig_backup.py
|
||||
directory=/usr/share/glpi_agent/plugins
|
||||
user=glpi-agent
|
||||
autostart=false # Non partire all'avvio, esegui solo on-demand
|
||||
autorestart=false
|
||||
startsecs=0
|
||||
stdout_logfile=/var/log/glpi_netconfig_supervisor.log
|
||||
stderr_logfile=/var/log/glpi_netconfig_supervisor_err.log
|
||||
environment=NETCONFIG_CONFIG="/etc/glpi-agent/netconfig_devices.yaml",GLPI_URL="https://glpi.example.com",NETCONFIG_AGENT_TOKEN="your_secure_token"
|
||||
@@ -0,0 +1,48 @@
|
||||
# /etc/systemd/system/glpi-netconfig.service
|
||||
[Unit]
|
||||
Description=GLPI NetConfig Backup Task
|
||||
After=network.target
|
||||
|
||||
[Service]
|
||||
Type=oneshot
|
||||
User=glpi-agent
|
||||
ExecStart=/usr/bin/python3 /usr/share/glpi_agent/plugins/netconfig_backup.py
|
||||
Environment="NETCONFIG_CONFIG=/etc/glpi-agent/netconfig_devices.yaml"
|
||||
Environment="GLPI_URL=https://glpi.example.com"
|
||||
Environment="NETCONFIG_AGENT_TOKEN=your_secure_token"
|
||||
StandardOutput=journal
|
||||
StandardError=journal
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
- altro ini (bho)
|
||||
|
||||
|
||||
# /etc/systemd/system/glpi-netconfig.timer
|
||||
[Unit]
|
||||
Description=Run GLPI NetConfig Backup every 6 hours
|
||||
Requires=glpi-netconfig.service
|
||||
|
||||
[Timer]
|
||||
OnCalendar=*-*-* 02/6:00:00
|
||||
Persistent=true
|
||||
RandomizedDelaySec=300
|
||||
|
||||
[Install]
|
||||
WantedBy=timers.target
|
||||
|
||||
|
||||
---
|
||||
# attivazioen disattivazioen timer
|
||||
|
||||
# Attiva e avvia il timer
|
||||
sudo systemctl daemon-reload
|
||||
sudo systemctl enable --now glpi-netconfig.timer
|
||||
|
||||
# Verifica stato
|
||||
systemctl list-timers | grep netconfig
|
||||
journalctl -u glpi-netconfig.service -f
|
||||
@@ -0,0 +1,3 @@
|
||||
# /etc/cron.d/glpi-netconfig
|
||||
# Esegui backup ogni 6 ore alle 02:00, 08:00, 14:00, 20:00
|
||||
0 2,8,14,20 * * * glpi-agent /usr/bin/python3 /usr/share/glpi_agent/plugins/netconfig_backup.py >> /var/log/glpi_netconfig_cron.log 2>&1
|
||||
@@ -0,0 +1,13 @@
|
||||
CREATE TABLE IF NOT EXISTS `glpi_plugin_netconfig_configs` (
|
||||
`id` int unsigned NOT NULL AUTO_INCREMENT,
|
||||
`networkdevices_id` int unsigned NOT NULL DEFAULT '0',
|
||||
`config_content` mediumtext NOT NULL,
|
||||
`config_hash` char(64) NOT NULL,
|
||||
`is_encrypted` tinyint NOT NULL DEFAULT '1',
|
||||
`created_at` datetime NOT NULL,
|
||||
`users_id` int unsigned NOT NULL DEFAULT '0',
|
||||
PRIMARY KEY (`id`),
|
||||
KEY `networkdevices_id` (`networkdevices_id`),
|
||||
KEY `created_at` (`created_at`),
|
||||
KEY `config_hash` (`config_hash`)
|
||||
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;
|
||||
@@ -0,0 +1,55 @@
|
||||
<?php
|
||||
declare(strict_types=1);
|
||||
|
||||
namespace PluginNetconfig\Agent;
|
||||
|
||||
use PluginNetconfig\Config;
|
||||
use Glpi\Toolbox\Encryption;
|
||||
|
||||
class Receive
|
||||
{
|
||||
public function __invoke(array $input, string $method, string $route): array
|
||||
{
|
||||
header('Content-Type: application/json');
|
||||
|
||||
if ($method !== 'POST') {
|
||||
return ['status' => 'error', 'message' => 'Method not allowed'];
|
||||
}
|
||||
|
||||
// Validazione payload
|
||||
if (!isset($input['device_id'], $input['config'], $input['token'])) {
|
||||
http_response_code(400);
|
||||
return ['status' => 'error', 'message' => 'Missing required fields'];
|
||||
}
|
||||
|
||||
// Validazione token (configurare in .env o config GLPI)
|
||||
$validToken = $_ENV['NETCONFIG_AGENT_TOKEN'] ?? 'change_me_in_production';
|
||||
if ($input['token'] !== $validToken) {
|
||||
http_response_code(401);
|
||||
return ['status' => 'error', 'message' => 'Unauthorized'];
|
||||
}
|
||||
|
||||
$hash = hash('sha256', $input['config']);
|
||||
$last = Config::getLastConfigByDevice((int)$input['device_id']);
|
||||
|
||||
if ($last && $last['config_hash'] === $hash) {
|
||||
return ['status' => 'ok', 'message' => 'No changes detected'];
|
||||
}
|
||||
|
||||
$config = new Config();
|
||||
$data = [
|
||||
'networkdevices_id' => (int)$input['device_id'],
|
||||
'config_content' => Encryption::encrypt($input['config']),
|
||||
'config_hash' => $hash,
|
||||
'users_id' => 0, // Agent/System
|
||||
'is_encrypted' => 1,
|
||||
];
|
||||
|
||||
if ($config->add($data) !== false) {
|
||||
return ['status' => 'ok', 'message' => 'Configuration saved and versioned'];
|
||||
}
|
||||
|
||||
http_response_code(500);
|
||||
return ['status' => 'error', 'message' => 'Database insertion failed'];
|
||||
}
|
||||
}
|
||||
@@ -0,0 +1,37 @@
|
||||
<div class="card">
|
||||
<div class="card-body">
|
||||
<table class="tab_cadre_fixehov">
|
||||
<thead>
|
||||
<tr>
|
||||
<th>{{ __('Date') }}</th>
|
||||
<th>{{ __('Hash') }}</th>
|
||||
<th>{{ __('User') }}</th>
|
||||
<th>{{ __('Actions') }}</th>
|
||||
</tr>
|
||||
</thead>
|
||||
<tbody>
|
||||
{% for config in configs %}
|
||||
<tr class="tab_bg_1">
|
||||
<td>{{ config.created_at }}</td>
|
||||
<td><code>{{ config.config_hash|slice(0, 16) }}...</code></td>
|
||||
<td>{{ config.users_id|getUserName }}</td>
|
||||
<td>
|
||||
{% if can_export %}
|
||||
<a href="{{ path('/plugins/netconfig/ajax/export.php') }}?id={{ config.id }}" class="btn btn-sm btn-outline-primary">
|
||||
<i class="fas fa-download"></i> {{ __('Export') }}
|
||||
</a>
|
||||
{% endif %}
|
||||
{% if config.diff_html is defined %}
|
||||
<button class="btn btn-sm btn-outline-info" onclick="alert('Diff: {{ config.diff_html|escape }}')">
|
||||
{{ __('View Diff') }}
|
||||
</button>
|
||||
{% endif %}
|
||||
</td>
|
||||
</tr>
|
||||
{% else %}
|
||||
<tr class="tab_bg_1"><td colspan="4" class="center">{{ __('No configuration saved yet') }}</td></tr>
|
||||
{% endfor %}
|
||||
</tbody>
|
||||
</table>
|
||||
</div>
|
||||
</div>
|
||||
Reference in New Issue
Block a user