Importação e exportação automáticas de configuração de alias

Introdução

Este documento descreve as etapas para automatizar as tarefas de configuração de importação e exportação de alias no Email Security Appliance.

Pré-requisitos

Requisitos

A Cisco recomenda o conhecimento destes tópicos:

• Cisco Secure Email Gateway (SEG / ESA) AsyncOS 16.0.2
• Acesso de interface de linha de comando ao dispositivo de nuvem
• CLI do Linux
• Script Shell

Componentes Utilizados

As informações neste documento são baseadas nestes softwares:

• Dispositivo de segurança de e-mail em nuvem (CESA)
• BashName

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

O objetivo é automatizar certas tarefas, mas alguns processos normalmente exigem intervenção manual. No entanto, no caso de importação e exportação da configuração de alias atual, essas tarefas podem ser totalmente automatizadas, eliminando a necessidade de entrada manual.

Exportação e Importação da Tabela de Alias

Para importar uma tabela de alias, comece verificando o acesso SSH e SCP para garantir que você possa se conectar ao gateway de email.

Antes de continuar, uma tabela de alias deve existir no equipamento:

(Machine esa1.xyz.iphmx.com) (SERVICE)> clustermode cluster; aliasconfig print

test: test@example.com, test@example2.com, test@example3.com
test2: test@domain.com, test@domain2.com, test@domain3.com
(Cluster Hosted_Cluster) (SERVICE)>

Quando você usa o subcomando export do comando aliasconfig para fazer backup de qualquer tabela de alias existente, um arquivo (com um nome especificado por você) é gerado e salvo no diretório /configuration do listener.

Exportação da Tabela de Alias Usando o Script Bash

Nesse caso, um script bash se conecta ao seu equipamento CES e continua exportando o arquivo de alias

O script bash está estruturado como mostrado:

#!/bin/bash

# Configuration of SSH keys and paths
PROXY_KEY="/full/path/folder/.ssh/id_rsa"
SECOND_KEY="/full/path/folder/.ssh/id_rsa"
LOCAL_PORT="2200"
PROXY_USER="dh-user"
PROXY_HOST="f4-ssh.iphmx.com"
TARGET_HOST="esa1.xyz.iphmx.com"
REMOTE_USER="local_server_user"
REMOTE_FILE="/configuration/filename.csv"
LOCAL_DIR="/full/path/folder/Downloads"
LOCAL_FILE_PATH="${LOCAL_DIR}/aliasconfig-file.csv"

# 1. Connect to the proxy and set up the SSH tunnel
echo "Establishing connection to the proxy..."
ssh -i "$PROXY_KEY" -l "$PROXY_USER" -N -f "$PROXY_HOST" -L "$LOCAL_PORT:${TARGET_HOST}:22"
if [ $? -ne 0 ]; then
    echo "Error: Failed to establish connection to the proxy."
    exit 1
fi
echo "Proxy connection established."

# Pause for 5 seconds before proceeding
sleep 5

# 2. Export the aliasconfig file from the remote system
echo "Exporting aliasconfig file from the remote system..."
ssh -i "$SECOND_KEY" "$REMOTE_USER"@127.0.0.1 -p "$LOCAL_PORT" 'clustermode cluster; aliasconfig export aliasconfig-file.csv' 2>/dev/null
if [ $? -ne 0 ]; then
    echo "Error: Failed to export the aliasconfig file."
    exit 1
fi
echo "Aliasconfig file successfully exported."

# Pause for 5 seconds before proceeding
sleep 5

# 3. Download the file to the local directory
echo "Downloading file to the local directory..."
scp -i "$SECOND_KEY" -P "$LOCAL_PORT" -O "$REMOTE_USER"@127.0.0.1:"$REMOTE_FILE" "$LOCAL_DIR" 2>/dev/null
if [ $? -ne 0 ]; then
    echo "Error: Failed to download the file to the local directory."
    exit 1
fi
echo "File successfully downloaded to: $LOCAL_FILE_PATH"

# Pause for 5 seconds before finalizing
sleep 5

# Finalizing the script
echo "Process completed successfully."
exit 0

Explicação

1.- Configuração de chaves e caminhos SSH

• PROXY_KEY e SECOND_KEY: O caminho completo para o arquivo de chave privada SSH usado para autenticação. As duas chaves são definidas para o mesmo caminho nesse caso.
• Exemplo: /full/path/folder/.ssh/id_rsa
• PORTA_LOCAL: Especifica a porta local (2200) para o túnel SSH.
• PROXY_USER: O nome de usuário usado para conexão com o servidor proxy.
• HOST_PROXY: O nome de host do servidor proxy.
• TARGET_HOST: O nome de domínio totalmente qualificado (FQDN) do host de destino, atualizado para esa1.xyz.iphmx.com.
• REMOTE_USER: O nome de usuário usado para conectar ao dispositivo remoto através do túnel SSH.
• REMOTE_FILE: O caminho no sistema remoto onde o arquivo exportado está armazenado (/configuration/filename.csv).
• LOCAL_DIR: O diretório local para salvar o arquivo está definido como /full/path/folder/Downloads.
• LOCAL_FILE_PATH: O caminho local completo do arquivo baixado, atualizado para ${LOCAL_DIR}/aliasconfig-file.csv.

2.- Conecte-se ao proxy e configure o túnel SSH

echo "Establishing connection to the proxy..."
ssh -i "$PROXY_KEY" -l "$PROXY_USER" -N -f "$PROXY_HOST" -L "$LOCAL_PORT:${TARGET_HOST}:22"

• Propósito:
  - Configura um túnel SSH para o servidor proxy para comunicação segura com o host de destino.
• Atualizações:
  - A chave privada SSH agora está localizada em /full/path/folder/.ssh/id_rsa.
  - O nome de host de destino foi atualizado para esa1.xyz.iphmx.com.
• Tratamento de erros:
  - Se a conexão falhar, uma mensagem de erro será exibida e o script sairá com um código de erro (exit 1).

3.- Faça uma pausa de 5 segundos antes de continuar

• Propósito:
  - Introduz um retardo para garantir que o túnel SSH esteja totalmente estabelecido antes de prosseguir para a próxima etapa.

4.- Exporte o arquivo aliasconfig do sistema remoto

echo "Exporting aliasconfig file from the remote system..."
ssh -i "$SECOND_KEY" "$REMOTE_USER"@127.0.0.1 -p "$LOCAL_PORT" 'clustermode cluster; aliasconfig export aliasconfig-file.csv' 2>/dev/null

• Propósito:
  - Conecta-se ao host de destino através do túnel SSH e exporta a configuração de alias para um arquivo chamado aliasconfig-file.csv.
• Atualizações:
  - O nome do arquivo exportado foi atualizado para aliasconfig-file.csv.
• Redirecionamento de saída:
  - 2>/dev/null suprime qualquer mensagem de erro do comando SSH.
• Tratamento de erros:
  - Se a exportação falhar, uma mensagem de erro será exibida e o script será encerrado.

5.- Faça o download do arquivo para o diretório local

echo "Downloading file to the local directory..."
scp -i "$SECOND_KEY" -P "$LOCAL_PORT" -O "$REMOTE_USER"@127.0.0.1:"$REMOTE_FILE" "$LOCAL_DIR" 2>/dev/null

• Propósito:
  - Usa scp para copiar com segurança o arquivo exportado do sistema remoto para o diretório local.
• Atualizações:
  - O arquivo local é salvo como aliasconfig-file.csv no diretório /full/path/folder/Downloads.
• Tratamento de erros:
  - Se o download do arquivo falhar, uma mensagem de erro será exibida e o script será encerrado.

Finalizando o Script

echo "Process completed successfully."
exit 0

• Propósito:
  - Gera uma mensagem de êxito e sai do script com um código de êxito (saída 0), indicando que todas as operações foram concluídas com êxito.

Chaves SSH

Você pode observar no script duas variáveis PROXY_KEY e HOST_KEY. Essas chaves podem ser iguais ou diferentes.

O PROXY_KEY é usado para conectar-se à nuvem proxy que é obrigatória para saltar para seus servidores CESA.

A HOST_KEY é a chave usada para efetuar login como um usuário local, eliminando a necessidade de uma senha.

Note: Para configurar o acesso SSH ao proxy CES e definir uma chave SSH para um usuário local no equipamento, consulte o guia de configuração.

Verificação do arquivo exportado

Depois que o script de exportação for executado, você poderá verificar o conteúdo dele e observar que ele contém as mesmas informações que o original apresentado no comando CLI aliasconfig do equipamento.

$ pwd
/full/path/folder/Downloads
$ ls
filename.csv
$ cat filename.csv
# File exported by the CLI at 20250702T125347
test: test@example.com, test@example2.com, test@example3.com
test2: test@domain.com, test@domain2.com, test@domain3.com⏎

Importando Tabela De Alias Usando Script Bash

Depois de exportar o arquivo de alias atual, você pode modificá-lo, adicionar as entradas necessárias e, em seguida, importá-lo para a configuração de alias do ESA.

O script bash de importação está estruturado como mostrado:

#!/bin/bash

# Configuration of SSH keys and paths
SSH_KEY="/full/path/folder/.ssh/id_rsa"
LOCAL_PORT="2200"
REMOTE_USER="local_server_user"
LOCAL_FILE="/full/path/folder/Downloads/new-filename.csv"
OUTPUT_DIR="/full/path/folder/Downloads"

# Get the current local date in the desired format
CURRENT_DATE=$(date +"%Y-%m-%d_%H-%M-%S")

# 1. Upload the new aliasconfig file
echo "Uploading new aliasconfig file to the remote system..."
scp -i "$SSH_KEY" -P "$LOCAL_PORT" -O "$LOCAL_FILE" "$REMOTE_USER"@127.0.0.1:/configuration 2>/dev/null
if [ $? -ne 0 ]; then
    echo "Error: Failed to upload the aliasconfig file."
    exit 1
fi
echo "Aliasconfig file successfully uploaded."

# Pause for 5 seconds before proceeding
sleep 5

# 2. Import the new aliasconfig file and commit with a comment
COMMIT_COMMENT="Importing new entries to aliasconfig - $CURRENT_DATE"
echo "Importing the new aliasconfig file and committing changes..."
ssh -i "$SSH_KEY" "$REMOTE_USER"@127.0.0.1 -p "$LOCAL_PORT" "clustermode cluster; aliasconfig import new-filename.csv; commit \"$COMMIT_COMMENT\"" 2>/dev/null
if [ $? -ne 0 ]; then
    echo "Error: Failed to import the aliasconfig file or commit changes."
    exit 1
fi
echo "Aliasconfig file successfully imported and committed with comment: '$COMMIT_COMMENT'."

# Pause for 5 seconds before proceeding
sleep 5

# 3. Print the current aliasconfig and save it to a new file
OUTPUT_FILE="${OUTPUT_DIR}/current-aliasconfig-${CURRENT_DATE}.txt"
echo "Printing current aliasconfig and saving it to: $OUTPUT_FILE..."
ssh -i "$SSH_KEY" "$REMOTE_USER"@127.0.0.1 -p "$LOCAL_PORT" 'clustermode cluster; aliasconfig print' > "$OUTPUT_FILE" 2>/dev/null
if [ $? -ne 0 ]; then
    echo "Error: Failed to print the current aliasconfig."
    exit 1
fi
echo "Current aliasconfig successfully saved to: $OUTPUT_FILE"

# Finalizing the script
echo "Process completed successfully."
exit 0

Explicação

1.- Configuração de chave e caminho SSH

• SSH_KEY: Caminho para o arquivo de chave privada SSH, usado para autenticação segura no servidor remoto.
• PORTA_LOCAL: Porta local designada para o túnel SSH.
• REMOTE_USER: Conta de usuário para autenticação no servidor remoto.
• LOCAL_FILE: Caminho local para o arquivo CSV aliasconfig a ser importado.
• OUTPUT_DIR: Pasta local onde uma cópia da configuração atual é salva após o processo de importação.

2.- Obtenha a data e a hora atuais

CURRENT_DATE=$(date +"%Y-%m-%d_%H-%M-%S")

• Propósito:
  - Armazene a data e a hora atuais em um formato específico para uso em nomes de arquivos e comentários.
• Atualizações:
  - Permite fácil monitoração e organização de logs e backups por timestamp.

3.- Carregue o novo arquivo aliasconfig no servidor ESA remoto

Este é o novo conteúdo do arquivo aliasconfig:

# File exported by the CLI at 20250709T112719
test: new-data@example.com, new-date@example2.com, new-date@example3.com
test2: new-date@domain.com, new-data@domain2.com, new-data@domain3.com⏎

Continue com a instrução para carregar o arquivo:

echo "Uploading new aliasconfig file to the remote system..."
scp -i "$SSH_KEY" -P "$LOCAL_PORT" -O "$LOCAL_FILE" "$REMOTE_USER"@127.0.0.1:/configuration 2>/dev/null
if [ $? -ne 0 ]; then
    echo "Error: Failed to upload the aliasconfig file."
    exit 1
fi
echo "Aliasconfig file successfully uploaded."

• Propósito:
  - Transfira o arquivo CSV aliasconfig da máquina local para o diretório /configuration no servidor remoto usando SCP sobre SSH.
• Atualizações:
  - Se o upload falhar, o script exibirá um erro e será interrompido para evitar importações incompletas.

4.- Importe o novo arquivo aliasconfig e confirme com um comentário

COMMIT_COMMENT="Importing new entries to aliasconfig - $CURRENT_DATE"
echo "Importing the new aliasconfig file and committing changes..."
ssh -i "$SSH_KEY" "$REMOTE_USER"@127.0.0.1 -p "$LOCAL_PORT" "clustermode cluster; aliasconfig import new-filename.csv; commit \"$COMMIT_COMMENT\"" 2>/dev/null
if [ $? -ne 0 ]; then
    echo "Error: Failed to import the aliasconfig file or commit changes."
    exit 1
fi
echo "Aliasconfig file successfully imported and committed with comment: '$COMMIT_COMMENT'."

• Propósito:
  - Conecte-se via SSH, importe o arquivo CSV carregado para a configuração de alias e confirme as alterações com um comentário com carimbo de data/hora para rastreamento.
• Atualizações:
  - Se a importação ou confirmação falhar, uma mensagem de erro será exibida e o script será encerrado para manter a configuração consistente.

5.- Imprima o alias config atual e salve-o em um novo arquivo local

OUTPUT_FILE="${OUTPUT_DIR}/current-aliasconfig-${CURRENT_DATE}.txt"
echo "Printing current aliasconfig and saving it to: $OUTPUT_FILE..."
ssh -i "$SSH_KEY" "$REMOTE_USER"@127.0.0.1 -p "$LOCAL_PORT" 'clustermode cluster; aliasconfig print' > "$OUTPUT_FILE" 2>/dev/null
if [ $? -ne 0 ]; then
    echo "Error: Failed to print the current aliasconfig."
    exit 1
fi
echo "Current aliasconfig successfully saved to: $OUTPUT_FILE"

• •Propósito:
  - Conecte-se via SSH, imprima a configuração atual do alias e salve a saída em um arquivo local com carimbo de data/hora para backup e auditoria.
• Atualizações:
  - Se a operação falhar, o script exibirá um erro e será interrompido para evitar resultados incompletos.

Verificando alterações

Depois que o script for executado, você poderá verificar as alterações na tabela de configuração de alias e verificar os commits nos logs do sistema.

Verificar Novas Entradas da Tabela aliasconfig

Novas alterações foram aplicadas à tabela.

(Machine esa1.xyz.iphmx.com) (SERVICE)> clustermode cluster; aliasconfig print

test: new-data@example.com, new-data@example2.com, new-data@example3.com
test2: new-data@domain.com, new-data@domain2.com, new-data@domain3.com

Verificar Alterações de Confirmação

Esse comando permite que você rastreie e revise as alterações confirmadas no ESA, incluindo o usuário que fez a alteração e a data em que ela ocorreu.

(Machine esa1.xyz-66.iphmx.com) (SERVICE)> grep "commit" system_logs
Wed Jul  9 11:29:42 2025 Info: PID 95790: User local_server_user commit changes: Importing new entries to aliasconfig - 2025-07-09_11-29-15

Flexibilidade de script

Embora este script seja atualmente escrito em Bash, ele pode ser facilmente adaptado ou reescrito em outras linguagens de script ou programação, como Python, PowerShell ou Perl, para melhor se alinhar com as preferências ou requisitos de diferentes administradores e ambientes. Essa flexibilidade garante que a lógica central e o fluxo de trabalho possam ser mantidos, aproveitando ao mesmo tempo a linguagem ou as ferramentas mais alinhadas com seus requisitos operacionais.

Considerações finais

Este script de importação/exportação oferece uma solução prática e eficiente para gerenciar configurações de alias diretamente no dispositivo. Ao automatizar o upload, a importação e o backup de arquivos de configuração, os administradores podem introduzir alterações de forma segura e confiável sem intervenção manual. O script não apenas simplifica o processo, mas também garante o rastreamento por meio de backups com carimbo de data e hora e comentários de confirmação.

Além disso, ter esse script ajuda a manter a consistência e a conformidade em seu ambiente, especialmente quando são necessárias várias alterações ou atualizações em massa. Os backups regulares da configuração atual oferecem uma camada adicional de segurança, permitindo recuperação ou reversão rápida, se necessário.

Em geral, essa abordagem permite que as equipes gerenciem as atualizações de configuração com mais confiança, controle e eficiência. Para qualquer ajuste futuro, o script pode ser facilmente adaptado para lidar com outros tipos de arquivos de configuração ou automatizar tarefas de manutenção adicionais conforme necessário.

Links de Referência

• Acesso à interface de linha de comando (CLI) da sua solução Cloud Email Security (CES)
• Instruções CLI: PuTTY [Usuários do Windows/PC]
• Como configurar a autenticação de chave pública SSH para logon no ESA sem uma senha