Automatizar la importación y exportación de la configuración de alias

Introducción

Este documento describe los pasos para automatizar las tareas de la configuración de alias de Importar y Exportar dentro del Email Security Appliance.

Prerequisites

Requirements

Cisco recomienda conocer estos temas:

• Cisco Secure Email Gateway (SEG/ESA) AsyncOS 16.0.2
• Acceso de interfaz de línea de comandos al dispositivo en la nube
• Linux CLI
• Secuencias de comandos Shell

Componentes Utilizados

La información de este documento se basa en el siguiente software:

• Dispositivo de seguridad Cloud Email Security Appliance (CESA)
• Bash

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes

El objetivo es automatizar ciertas tareas, pero algunos procesos suelen requerir la intervención manual. Sin embargo, en el caso de importar y exportar la configuración de alias actual, estas tareas se pueden automatizar completamente, eliminando la necesidad de entrada manual.

Exportación e importación de tabla de alias

Para importar una tabla de alias, comience verificando SSH y el acceso a SCP para asegurarse de que puede conectarse al gateway de correo electrónico.

Antes de continuar, debe existir una tabla de alias en el dispositivo:

(Machine esa1.xyz.iphmx.com) (SERVICE)> clustermode cluster; aliasconfig print

test: test@example.com, test@example2.com, test@example3.com
test2: test@domain.com, test@domain2.com, test@domain3.com
(Cluster Hosted_Cluster) (SERVICE)>

Cuando se utiliza el subcomando export del comando aliasconfig para realizar una copia de seguridad de cualquier tabla de alias existente, se genera un archivo (con un nombre especificado) y se guarda en el directorio /configuration para el receptor.

Exportación de la Tabla de Alias Usando Script Bash

En este caso, una secuencia de comandos bash se conecta al dispositivo CES y procede a exportar el archivo de alias

El script bash está estructurado como se muestra:

#!/bin/bash

# Configuration of SSH keys and paths
PROXY_KEY="/full/path/folder/.ssh/id_rsa"
SECOND_KEY="/full/path/folder/.ssh/id_rsa"
LOCAL_PORT="2200"
PROXY_USER="dh-user"
PROXY_HOST="f4-ssh.iphmx.com"
TARGET_HOST="esa1.xyz.iphmx.com"
REMOTE_USER="local_server_user"
REMOTE_FILE="/configuration/filename.csv"
LOCAL_DIR="/full/path/folder/Downloads"
LOCAL_FILE_PATH="${LOCAL_DIR}/aliasconfig-file.csv"

# 1. Connect to the proxy and set up the SSH tunnel
echo "Establishing connection to the proxy..."
ssh -i "$PROXY_KEY" -l "$PROXY_USER" -N -f "$PROXY_HOST" -L "$LOCAL_PORT:${TARGET_HOST}:22"
if [ $? -ne 0 ]; then
    echo "Error: Failed to establish connection to the proxy."
    exit 1
fi
echo "Proxy connection established."

# Pause for 5 seconds before proceeding
sleep 5

# 2. Export the aliasconfig file from the remote system
echo "Exporting aliasconfig file from the remote system..."
ssh -i "$SECOND_KEY" "$REMOTE_USER"@127.0.0.1 -p "$LOCAL_PORT" 'clustermode cluster; aliasconfig export aliasconfig-file.csv' 2>/dev/null
if [ $? -ne 0 ]; then
    echo "Error: Failed to export the aliasconfig file."
    exit 1
fi
echo "Aliasconfig file successfully exported."

# Pause for 5 seconds before proceeding
sleep 5

# 3. Download the file to the local directory
echo "Downloading file to the local directory..."
scp -i "$SECOND_KEY" -P "$LOCAL_PORT" -O "$REMOTE_USER"@127.0.0.1:"$REMOTE_FILE" "$LOCAL_DIR" 2>/dev/null
if [ $? -ne 0 ]; then
    echo "Error: Failed to download the file to the local directory."
    exit 1
fi
echo "File successfully downloaded to: $LOCAL_FILE_PATH"

# Pause for 5 seconds before finalizing
sleep 5

# Finalizing the script
echo "Process completed successfully."
exit 0

Explicación

1.- Configuración de Claves y Trayectorias SSH

• PROXY_KEY y SECOND_KEY: Ruta de acceso completa al archivo de clave privada SSH utilizado para la autenticación. En este caso, ambas claves se establecen en la misma ruta.
• Ejemplo: /full/path/folder/.ssh/id_rsa
• LOCAL_PORT: Especifica el puerto local (2200) para el túnel SSH.
• PROXY_USER: Nombre de usuario utilizado para conectarse al servidor proxy.
• HOST_PROXY: El hostname del servidor proxy.
• TARGET_HOST: El nombre de dominio completo (FQDN) del host de destino, actualizado a esa1.xyz.iphmx.com.
• REMOTE_USER: El nombre de usuario utilizado para conectarse al dispositivo remoto a través del túnel SSH.
• REMOTE_FILE: Ruta de acceso del sistema remoto donde se almacena el archivo exportado (/configuration/filename.csv).
• LOCAL_DIR: El directorio local para guardar el archivo se establece en /full/path/folder/Downloads.
• RUTA_DE_ARCHIVO_LOCAL: Ruta de acceso local completa del archivo descargado, actualizada a ${LOCAL_DIR}/aliasconfig-file.csv.

2.- Conectar al Proxy y Configurar el Túnel SSH

echo "Establishing connection to the proxy..."
ssh -i "$PROXY_KEY" -l "$PROXY_USER" -N -f "$PROXY_HOST" -L "$LOCAL_PORT:${TARGET_HOST}:22"

• Propósito:
  - Configura un túnel SSH al servidor proxy para una comunicación segura con el host de destino.
• Actualizaciones:
  - La clave privada SSH ahora se encuentra en /full/path/folder/.ssh/id_rsa.
  - El hostname de destino ha sido actualizado a esa1.xyz.iphmx.com.
• Gestión de errores:
  - Si la conexión falla, se muestra un mensaje de error y la secuencia de comandos se cierra con un código de error (salida 1).

3.- Pausa durante 5 segundos antes de continuar

• Propósito:
  - Introduce un retraso para garantizar que el túnel SSH está completamente establecido antes de continuar con el siguiente paso.

4.- Exportar el archivo aliasconfig desde el sistema remoto

echo "Exporting aliasconfig file from the remote system..."
ssh -i "$SECOND_KEY" "$REMOTE_USER"@127.0.0.1 -p "$LOCAL_PORT" 'clustermode cluster; aliasconfig export aliasconfig-file.csv' 2>/dev/null

• Propósito:
  - Se conecta al host de destino a través del túnel SSH y exporta la configuración de alias a un archivo denominado aliasconfig-file.csv.
• Actualizaciones:
  - El nombre del archivo exportado se ha actualizado a aliasconfig-file.csv.
• Redirección de salida:
  - 2>/dev/null suprime cualquier mensaje de error del comando SSH.
• Gestión de errores:
  - Si la exportación falla, se muestra un mensaje de error y se cierra el script.

5.- Descargar el archivo en el directorio local

echo "Downloading file to the local directory..."
scp -i "$SECOND_KEY" -P "$LOCAL_PORT" -O "$REMOTE_USER"@127.0.0.1:"$REMOTE_FILE" "$LOCAL_DIR" 2>/dev/null

• Propósito:
  - Utiliza scp para copiar de forma segura el archivo exportado desde el sistema remoto al directorio local.
• Actualizaciones:
  - El archivo local se guarda como aliasconfig-file.csv en el directorio /full/path/folder/Downloads.
• Gestión de errores:
  - Si falla la descarga del archivo, se muestra un mensaje de error y se cierra la secuencia de comandos.

Finalización del script

echo "Process completed successfully."
exit 0

• Propósito:
  - Emite un mensaje de confirmación y sale del script con un código de confirmación (salida 0), que indica que todas las operaciones se han completado correctamente.

Claves SSH

Puede observar en el script dos variables: PROXY_KEY y HOST_KEY. Estas claves pueden ser iguales o diferentes.

PROXY_KEY se utiliza para conectarse a la nube de proxy que es obligatorio saltar a los servidores CESA.

HOST_KEY es la clave que se utiliza para iniciar sesión como usuario local, lo que elimina la necesidad de una contraseña.

Nota: Para configurar el acceso SSH al proxy CES y configurar una clave SSH para un usuario local en el dispositivo, consulte la guía de configuración.

Verificación del archivo exportado

Una vez que se ejecuta la secuencia de comandos de exportación, puede verificar el contenido de la misma y observar que contiene la misma información que la original presentada dentro del comando de CLI aliasconfig del dispositivo.

$ pwd
/full/path/folder/Downloads
$ ls
filename.csv
$ cat filename.csv
# File exported by the CLI at 20250702T125347
test: test@example.com, test@example2.com, test@example3.com
test2: test@domain.com, test@domain2.com, test@domain3.com⏎

Importación de tabla de alias mediante script Bash

Una vez exportado el archivo de alias actual, puede modificarlo, agregar las entradas necesarias y, a continuación, importarlo a la configuración de alias ESA.

La secuencia de comandos import bash está estructurada como se muestra:

#!/bin/bash

# Configuration of SSH keys and paths
SSH_KEY="/full/path/folder/.ssh/id_rsa"
LOCAL_PORT="2200"
REMOTE_USER="local_server_user"
LOCAL_FILE="/full/path/folder/Downloads/new-filename.csv"
OUTPUT_DIR="/full/path/folder/Downloads"

# Get the current local date in the desired format
CURRENT_DATE=$(date +"%Y-%m-%d_%H-%M-%S")

# 1. Upload the new aliasconfig file
echo "Uploading new aliasconfig file to the remote system..."
scp -i "$SSH_KEY" -P "$LOCAL_PORT" -O "$LOCAL_FILE" "$REMOTE_USER"@127.0.0.1:/configuration 2>/dev/null
if [ $? -ne 0 ]; then
    echo "Error: Failed to upload the aliasconfig file."
    exit 1
fi
echo "Aliasconfig file successfully uploaded."

# Pause for 5 seconds before proceeding
sleep 5

# 2. Import the new aliasconfig file and commit with a comment
COMMIT_COMMENT="Importing new entries to aliasconfig - $CURRENT_DATE"
echo "Importing the new aliasconfig file and committing changes..."
ssh -i "$SSH_KEY" "$REMOTE_USER"@127.0.0.1 -p "$LOCAL_PORT" "clustermode cluster; aliasconfig import new-filename.csv; commit \"$COMMIT_COMMENT\"" 2>/dev/null
if [ $? -ne 0 ]; then
    echo "Error: Failed to import the aliasconfig file or commit changes."
    exit 1
fi
echo "Aliasconfig file successfully imported and committed with comment: '$COMMIT_COMMENT'."

# Pause for 5 seconds before proceeding
sleep 5

# 3. Print the current aliasconfig and save it to a new file
OUTPUT_FILE="${OUTPUT_DIR}/current-aliasconfig-${CURRENT_DATE}.txt"
echo "Printing current aliasconfig and saving it to: $OUTPUT_FILE..."
ssh -i "$SSH_KEY" "$REMOTE_USER"@127.0.0.1 -p "$LOCAL_PORT" 'clustermode cluster; aliasconfig print' > "$OUTPUT_FILE" 2>/dev/null
if [ $? -ne 0 ]; then
    echo "Error: Failed to print the current aliasconfig."
    exit 1
fi
echo "Current aliasconfig successfully saved to: $OUTPUT_FILE"

# Finalizing the script
echo "Process completed successfully."
exit 0

Explicación

1.- Configuración de ruta y clave de SSH

• SSH_KEY: Ruta al archivo de clave privada SSH, utilizado para la autenticación segura contra el servidor remoto.
• LOCAL_PORT: Puerto local designado para el túnel SSH.
• REMOTE_USER: Cuenta de usuario para la autenticación en el servidor remoto.
• LOCAL_FILE: Ruta de acceso local al archivo CSV aliasconfig que se va a importar.
• OUTPUT_DIR: Carpeta local donde se guarda una copia de la configuración actual después del proceso de importación.

2.- Obtener fecha y hora actual

CURRENT_DATE=$(date +"%Y-%m-%d_%H-%M-%S")

• Propósito:
  - Almacenar la fecha y hora actuales en un formato específico para su uso en nombres de archivo y comentarios.
• Actualizaciones:
  - Permite realizar un seguimiento y una organización sencillos de los registros y las copias de seguridad por marca de tiempo.

3.- Cargar el nuevo archivo de configuración de alias en el servidor ESA remoto

Este es el nuevo contenido del archivo aliasconfig:

# File exported by the CLI at 20250709T112719
test: new-data@example.com, new-date@example2.com, new-date@example3.com
test2: new-date@domain.com, new-data@domain2.com, new-data@domain3.com⏎

Continúe con las instrucciones para cargar el archivo:

echo "Uploading new aliasconfig file to the remote system..."
scp -i "$SSH_KEY" -P "$LOCAL_PORT" -O "$LOCAL_FILE" "$REMOTE_USER"@127.0.0.1:/configuration 2>/dev/null
if [ $? -ne 0 ]; then
    echo "Error: Failed to upload the aliasconfig file."
    exit 1
fi
echo "Aliasconfig file successfully uploaded."

• Propósito:
  - Transfiera el archivo CSV aliasconfig desde el equipo local al directorio /configuration en el servidor remoto mediante SCP sobre SSH.
• Actualizaciones:
  - Si la carga falla, el script muestra un error y se detiene para evitar importaciones incompletas.

4.- Importar el nuevo archivo de configuración de alias y confirmar con un comentario

COMMIT_COMMENT="Importing new entries to aliasconfig - $CURRENT_DATE"
echo "Importing the new aliasconfig file and committing changes..."
ssh -i "$SSH_KEY" "$REMOTE_USER"@127.0.0.1 -p "$LOCAL_PORT" "clustermode cluster; aliasconfig import new-filename.csv; commit \"$COMMIT_COMMENT\"" 2>/dev/null
if [ $? -ne 0 ]; then
    echo "Error: Failed to import the aliasconfig file or commit changes."
    exit 1
fi
echo "Aliasconfig file successfully imported and committed with comment: '$COMMIT_COMMENT'."

• Propósito:
  - Conéctese a través de SSH, importe el archivo CSV cargado en la configuración de alias y registre los cambios con un comentario de marca de tiempo para realizar un seguimiento.
• Actualizaciones:
  - Si falla la importación o la confirmación, se muestra un mensaje de error y el script sale para mantener la coherencia de la configuración.

5.- Imprimir el alias actual config y guardarlo en un nuevo archivo local

OUTPUT_FILE="${OUTPUT_DIR}/current-aliasconfig-${CURRENT_DATE}.txt"
echo "Printing current aliasconfig and saving it to: $OUTPUT_FILE..."
ssh -i "$SSH_KEY" "$REMOTE_USER"@127.0.0.1 -p "$LOCAL_PORT" 'clustermode cluster; aliasconfig print' > "$OUTPUT_FILE" 2>/dev/null
if [ $? -ne 0 ]; then
    echo "Error: Failed to print the current aliasconfig."
    exit 1
fi
echo "Current aliasconfig successfully saved to: $OUTPUT_FILE"

• •Propósito:
  - Conéctese a través de SSH, imprima la configuración de alias actual y guarde el resultado en un archivo local con marca de tiempo para la copia de seguridad y la auditoría.
• Actualizaciones:
  - Si la operación falla, el script muestra un error y se detiene para evitar dar resultados incompletos.

Verificación de cambios

Una vez que se ejecuta el script, puede verificar los cambios en la tabla de configuración de alias y verificar las confirmaciones en los registros del sistema.

Verificar nuevas entradas de la tabla aliasconfig

Se han aplicado nuevos cambios a la tabla.

(Machine esa1.xyz.iphmx.com) (SERVICE)> clustermode cluster; aliasconfig print

test: new-data@example.com, new-data@example2.com, new-data@example3.com
test2: new-data@domain.com, new-data@domain2.com, new-data@domain3.com

Verificar confirmación de cambios

Este comando permite realizar un seguimiento y revisar los cambios realizados en el ESA, incluido el usuario que realizó el cambio y la fecha en que se produjo.

(Machine esa1.xyz-66.iphmx.com) (SERVICE)> grep "commit" system_logs
Wed Jul  9 11:29:42 2025 Info: PID 95790: User local_server_user commit changes: Importing new entries to aliasconfig - 2025-07-09_11-29-15

Flexibilidad de scripts

Si bien este script está escrito actualmente en Bash, se puede adaptar o reescribir fácilmente en otros lenguajes de scripting o programación, como Python, PowerShell o Perl, para alinearse mejor con las preferencias o los requisitos de diferentes administradores y entornos. Esta flexibilidad garantiza que se puedan mantener la lógica principal y el flujo de trabajo al tiempo que se aprovechan el lenguaje o las herramientas que se alinean más estrechamente con sus requisitos operativos.

Pensamientos finales

Este script de importación/exportación proporciona una solución práctica y eficaz para gestionar las configuraciones de alias directamente en el dispositivo. Al automatizar la carga, la importación y la copia de seguridad de los archivos de configuración, los administradores pueden introducir cambios de forma segura y fiable sin intervención manual. El script no solo simplifica el proceso, sino que también garantiza la trazabilidad a través de copias de seguridad con marca de tiempo y comentarios de confirmación.

Además, contar con un script de este tipo ayuda a mantener la coherencia y el cumplimiento en su entorno, especialmente cuando se necesitan varios cambios o actualizaciones masivas. Las copias de seguridad periódicas de la configuración actual ofrecen una capa adicional de seguridad, lo que permite una recuperación o una reversión rápidas en caso necesario.

En general, este enfoque permite a los equipos gestionar las actualizaciones de configuración con mayor confianza, control y eficacia. Para cualquier ajuste futuro, la secuencia de comandos se puede adaptar fácilmente para gestionar otros tipos de archivos de configuración o automatizar aún más las tareas de mantenimiento adicionales según sea necesario.

Enlaces de referencia

• Acceso a la interfaz de línea de comandos (CLI) de su solución Cloud Email Security (CES)
• Instrucciones de CLI: PuTTY [usuarios de Windows/PC]
• Cómo configurar SSH Public Key Authentication para el login al ESA sin una contraseña