Preguntas frecuentes

El descubrimiento por túnel GRE forma una adyacencia IGP real (OSPF o IS-IS): Osprey recibe la LSDB o la base de LSP completa y ve los cambios en tiempo real, en el momento en que ocurren. El descubrimiento por SNMP sondea los routers a intervalos para recorrer las tablas de OSPF-MIB, OSPFv3-MIB o ISIS-MIB. GRE da actualizaciones instantáneas; SNMP no exige configurar ningún túnel en el lado del router.

No. Osprey es estrictamente pasivo. Incluso con túneles GRE, el coste OSPF se fija alto (1000 de forma predeterminada) y la prioridad a cero, de modo que Osprey nunca llega a ser router designado. Los túneles GRE de IS-IS usan la métrica ancha máxima (16777215) para impedir su uso como tránsito. La visibilidad de BGP es puramente de recepción, mediante BMP (RFC 7854).

Sí. Una area puede tener a la vez un colector GRE y un colector SNMP en funcionamiento. Resulta útil para combinar las actualizaciones en tiempo real de GRE con las estadísticas de tráfico obtenidas por SNMP.

Con el descubrimiento por SNMP, sí: marque «Crawl multi-area (BFS through ABR neighbors)» en un equipo semilla y Osprey avanza hacia fuera a través de los ABR hasta descubrir todo el dominio OSPF. IS-IS tiene su equivalente, «Crawl multi-level (BFS through L1L2 neighbors)». Con GRE necesita un túnel por area.

OSPFv2 (IPv4), OSPFv3 (IPv6, incluidas las extensiones de familia de direcciones IPv4 de la RFC 5838), IS-IS (ISO 10589, tanto L1 como L2, con las familias de direcciones CLNS, IPv4 e IPv6), EIGRP (de forma pasiva por SNMP, IPv4 e IPv6) y BGP (por BMP, RFC 7854). Por encima de la topología enrutada, Osprey descubre servicios MPLS (túneles TE, L3VPN y pseudowires L2VPN) por SNMP e instancias EVPN por BMP. Un equipo que ejecute más de uno de ellos se correlaciona automáticamente entre protocolos. Cuando varios protocolos comparten un mismo enlace físico, las aristas se fusionan en el lienzo con una vista de pestañas por protocolo.

Sí, en modo de solo lectura. EIGRP no tiene una base de datos de estado de enlace sincronizada en la que formar una adyacencia, así que Osprey lo lee de forma totalmente pasiva desde la CISCO-EIGRP-MIB a través del colector SNMP existente, lo que también implica que el descubrimiento de EIGRP se limita a las plataformas Cisco. Obtiene los vecinos y el estado de las interfaces para IPv4 e IPv6, en modo clásico y con nombre, por VRF y por AS. Al no haber una base común, la topología se reconstruye a partir de las tablas de vecinos, igual que ocurre con la capa 2, y se enlaza sobre el tejido LLDP/CDP. Los caminos siguen el sucesor instalado de cada router e informan de la métrica compuesta real (FD) en lugar de un coste IGP prestado, y los equivalentes de igual coste se muestran como variantes. También se incluyen la distancia administrativa, las alertas por caída de vecino y un grabador de EIGRP que se añade y se activa como el de cualquier otro protocolo, y un dominio EIGRP participa en ambos sentidos en el análisis de caminos entre AS.

Sí. El descubrimiento de IS-IS funciona por GRE (adyacencia real con direccionamiento NET) o por SNMP (ISIS-MIB, RFC 4444, con respaldo en la ISIS-MIB de Cisco para versiones antiguas de IOS). Los routers de nivel 1, de nivel 2 y L1/L2 están plenamente admitidos, con métricas anchas (hasta 16.777.215) de forma predeterminada. La extracción de pilas de etiquetas SR-MPLS está disponible para caminos IS-IS sobre IPv4/IPv6 mediante el TLV 242.

Sí, de forma pasiva mediante BMP (BGP Monitoring Protocol, RFC 7854). Sus routers envían el estado de las sesiones y las actualizaciones de RIB al servidor BMP de Osprey por el puerto TCP 11019, sin sondeo alguno. Osprey admite los modos loc_rib (mejores caminos del router), adj_rib_in_post (todas las rutas recibidas tras aplicar políticas) y el de solo monitorización de sesiones. Las rutas BGP se pueden buscar por prefijo exacto, coincidencia más larga o prefijos cubiertos, y el análisis de ECMP viene integrado. La vista BGP AS-Flow anima cómo se desplazan las rutas entre sistemas autónomos a lo largo del tiempo, con comparación de movimientos y detalle por AS, y el historial del mejor camino de cualquier prefijo se puede reproducir paso a paso. Con el registro del historial activado, Time Travel muestra los mejores caminos y las sesiones tal y como estaban en el instante elegido. En los routers que no pueden exportar BMP, las sesiones BGP se descubren por SNMP.

Sí. Los túneles MPLS-TE (RFC 3812), las L3VPN (RFC 4364/4382) y los pseudowires L2VPN (RFC 5601, incluido el dialecto de Cisco anterior a la norma) se descubren por SNMP dentro del ciclo de sondeo habitual, sin más configuración que el acceso SNMP. Las VRF de cada PE se agrupan en L3VPN por route-target, con clasificación de malla completa o hub-and-spoke, y los pseudowires en enlaces VPWS e instancias VPLS. Al seleccionar un servicio se resaltan sus miembros en el lienzo. El descubrimiento se controla por red con un ajuste automático / activado / desactivado; los reencaminamientos de túnel y las caídas de VRF y de pseudowire alimentan la correlación de incidentes.

Sí. Si su fabric usa EVPN, Osprey lo recoge del mismo flujo BMP sin configuración adicional: instancias E-LAN y EVPN-VPWS (RFC 7432), encapsulado VXLAN o MPLS, recuentos de MAC/IP por PE y Ethernet Segments. La movilidad de MAC (un host que pasa de un PE a otro) y la salida de un PE de una instancia aparecen como síntomas de incidentes correlacionados, con protección frente a tormentas para que una tormenta de difusión nunca se convierta en una avalancha de eventos.

Sí. Cuando el origen y el destino están en AS o en redes de inquilinos distintos, la herramienta de caminos ensambla los segmentos IGP a lo largo de la cadena de AS de BGP: cada segmento lleva su propio coste y un nivel de confianza (resuelto, deducido u opaco), y las transiciones eBGP se dibujan sobre el lienzo. La distancia administrativa se respeta entre protocolos exactamente igual que la respetan sus routers. Dentro de un dominio, el camino es una cadena de reenvío salto a salto: cada salto es la decisión de la tabla de rutas de ese router y no un camino más corto calculado desde el origen, con su métrica, su tipo de ruta y el conjunto completo de caminos de igual coste instalados, además de explicaciones por salto, traceroute CLNS para IS-IS y pilas de etiquetas SR-MPLS. Si pregunta en IPv6 obtendrá una respuesta en IPv6, o una explicación de por qué no existe camino IPv6, nunca un camino IPv4 presentado como si fuera el de IPv6.

Sí. Los vecinos LLDP y CDP se descubren automáticamente mediante recorridos SNMP. Osprey correlaciona los vecinos L2 con la topología L3 usando una cascada de identidad de cinco niveles (identificador de chasis, IP de gestión, identificador de router, IP de interfaz, nombre de host). Una capa L2 conmutable muestra los switches y los enlaces de capa 2 sobre el lienzo, junto a la topología IGP. El recorrido de switches es en anchura, con filtrado por plataforma para excluir puntos de acceso, teléfonos e interconexiones de fabric.

SNMPv2c y SNMPv3. En v3 se admiten todos los niveles de seguridad: noAuthNoPriv, authNoPriv y authPriv. La autenticación cubre MD5 y toda la familia SHA-2 (SHA-1, SHA-224, SHA-256, SHA-384, SHA-512); el cifrado cubre DES y AES-128, AES-192 y AES-256, de modo que no se ve obligado a volver a algoritmos obsoletos.

Sí, de tres maneras. OpenID Connect (Entra ID, Okta, Keycloak o cualquier proveedor conforme a OIDC) usa un flujo Authorization Code en el servidor con PKCE obligatorio. SAML 2.0 se admite como proveedor de servicio, con inicio de sesión iniciado por el SP, petición firmada y validación completa de la aserción: firma, audiencia, caducidad y comprobación de que la respuesta corresponde a la petición que Osprey emitió realmente, de modo que se rechazan las aserciones no solicitadas o reenviadas. Las cuentas de LDAP y Active Directory inician sesión desde el formulario habitual de usuario y contraseña, sin ningún botón aparte: LDAPS o StartTLS, pertenencia a grupos mediante memberOf, un filtro de búsqueda de grupos para directorios sin esa capa, y grupos anidados de AD. En los tres casos, los usuarios se dan de alta en su primer inicio de sesión y su función sigue a su correspondencia de grupos.

Sí, TOTP para las cuentas locales, con cualquier aplicación de autenticación estándar. El alta es autoservicio con un código QR generado en el servidor (el secreto nunca pasa por un servicio externo) y los códigos de recuperación de un solo uso se muestran una única vez durante la configuración. Está incluido sin coste adicional, en todas las licencias, también en la evaluación gratuita.

Sí, mediante SCIM 2.0 (RFC 7644). Su proveedor de identidad puede crear, actualizar y desactivar cuentas de Osprey a medida que el personal se incorpora, cambia de función o se marcha. SCIM se autentica con un token de portador propio, separado de las cookies de sesión y de las claves de API, que lleva tanto una caducidad como un indicador de revocación.

Las cuentas locales siguen funcionando junto a cualquier proveedor configurado, y Osprey incluye una línea de comandos de recuperación pensada exactamente para este caso: una caída del proveedor de identidad, una configuración errónea o la pérdida de una cuenta de administrador nunca le dejan fuera de su propia monitorización.

Sí. Los inicios de sesión, los intentos fallidos (con su motivo), los cierres de sesión, los cambios de contraseña y los intentos de reenviar un token de refresco quedan todos en el registro de auditoría, que se puede filtrar por usuario, acción, entidad y periodo, y exportar a CSV. Las sesiones activas se ven en Administración con su IP y su agente de usuario, y se pueden cerrar a la fuerza de una en una o por usuario.

Cinco servicios de systemd: el motor (procesamiento de topología, SPF, correlación de eventos), el servidor de API (API REST, WebSocket, proxy SSH), el gestor de colectores (túneles GRE y adyacencias IGP), el colector SNMP (descubrimiento, contadores de tráfico, recorrido L2, MPLS y EIGRP) y el servidor BMP (vecinos y RIB de BGP en el puerto TCP 11019). La comunicación entre servicios se hace por NATS. Todos los servicios se gestionan como un único grupo mediante osprey.target.

Todos los datos se guardan en PostgreSQL, en su propio servidor. Osprey es totalmente autoalojado: ningún dato sale de su infraestructura.

Osprey ofrece copia de seguridad y restauración completas de la base de datos dentro de Administración. También puede exportar una copia de configuración portable que incluye todas las definiciones de jerarquía, los usuarios y los ajustes.

Sí. Osprey es independiente del fabricante: funciona con cualquier equipo que hable OSPF, IS-IS, BGP (BMP), LLDP o CDP. Eso incluye Cisco, Juniper, Arista, Nokia, Mikrotik y, en la práctica, cualquier plataforma de red moderna. La única excepción es EIGRP, que es un protocolo de Cisco y se lee de la MIB de EIGRP de Cisco, así que su descubrimiento cubre solo plataformas Cisco.

Si lo instaló mediante APT, basta con ejecutar sudo apt update && sudo apt upgrade osprey. El paquete se encarga automáticamente de las migraciones de base de datos y del reinicio de los servicios.