Perguntas frequentes

A descoberta por túnel GRE forma uma adjacência IGP de verdade (OSPF ou IS-IS): o Osprey recebe a LSDB ou a base de LSPs completa e vê as mudanças em tempo real, no momento em que acontecem. A descoberta por SNMP consulta os roteadores em intervalos para percorrer as tabelas das OSPF-MIB, OSPFv3-MIB ou ISIS-MIB. O GRE dá atualizações instantâneas; o SNMP dispensa qualquer configuração de túnel no lado do roteador.

Não. O Osprey é estritamente passivo. Mesmo com túneis GRE, o custo OSPF é definido alto (1000 por padrão) e a prioridade é zero, de modo que o Osprey nunca vira roteador designado. Os túneis GRE de IS-IS usam a métrica larga máxima (16777215) para impedir o uso como trânsito. A visibilidade de BGP é puramente de recepção, por BMP (RFC 7854).

Sim. Uma area pode ter ao mesmo tempo um coletor GRE e um coletor SNMP em funcionamento. Isso é útil para combinar as atualizações em tempo real do GRE com as estatísticas de tráfego vindas do SNMP.

Com a descoberta por SNMP, sim: marque «Crawl multi-area (BFS through ABR neighbors)» em um equipamento semente e o Osprey avança para fora pelos ABRs até cobrir todo o domínio OSPF. O IS-IS tem o equivalente, «Crawl multi-level (BFS through L1L2 neighbors)». Com GRE, você precisa de um túnel por area.

OSPFv2 (IPv4), OSPFv3 (IPv6, incluindo as extensões de família de endereços IPv4 da RFC 5838), IS-IS (ISO 10589, tanto L1 quanto L2, com as famílias de endereços CLNS, IPv4 e IPv6), EIGRP (de forma passiva por SNMP, IPv4 e IPv6) e BGP (por BMP, RFC 7854). Acima da topologia roteada, o Osprey descobre serviços MPLS (túneis TE, L3VPNs e pseudowires L2VPN) por SNMP e instâncias EVPN por BMP. Um equipamento que rode mais de um deles é correlacionado automaticamente entre protocolos. Quando vários protocolos dividem um mesmo enlace físico, as arestas se fundem na tela com uma visão em abas por protocolo.

Sim, somente leitura. O EIGRP não tem um banco de dados de estado de enlace sincronizado no qual formar uma adjacência, então o Osprey o lê de forma totalmente passiva a partir da CISCO-EIGRP-MIB pelo coletor SNMP já existente, o que também significa que a descoberta de EIGRP se limita a plataformas Cisco. Você obtém vizinhos e estado das interfaces para IPv4 e IPv6, modo clássico e nomeado, por VRF e por AS. Como não há base comum, a topologia é reconstruída a partir das tabelas de vizinhos, do mesmo jeito que na camada 2, e costurada sobre a malha LLDP/CDP. Os caminhos seguem o sucessor instalado de cada roteador e informam a métrica composta real (FD) em vez de um custo IGP emprestado, com os equivalentes de custo igual mostrados como variantes. Distância administrativa, alertas de queda de vizinho e um gravador de EIGRP que você acrescenta e liga como o de qualquer outro protocolo também estão incluídos, e um domínio EIGRP participa nos dois sentidos da análise de caminhos entre ASes.

Sim. A descoberta de IS-IS funciona por GRE (adjacência real com endereçamento NET) ou por SNMP (ISIS-MIB, RFC 4444, com recurso à ISIS-MIB da Cisco em versões antigas do IOS). Roteadores de nível 1, de nível 2 e L1/L2 são totalmente suportados, com métricas largas (até 16.777.215) por padrão. A extração de pilhas de rótulos SR-MPLS está disponível para caminhos IS-IS sobre IPv4/IPv6 pelo TLV 242.

Sim, de forma passiva por BMP (BGP Monitoring Protocol, RFC 7854). Seus roteadores enviam o estado das sessões e as atualizações de RIB ao servidor BMP do Osprey na porta TCP 11019, sem consulta alguma. O Osprey suporta os modos loc_rib (melhores caminhos do roteador), adj_rib_in_post (todas as rotas recebidas depois da política) e o de somente monitoramento de sessões. As rotas BGP podem ser pesquisadas por prefixo exato, correspondência mais longa ou prefixos cobertos, e a análise de ECMP já vem embutida. A visão BGP AS-Flow anima como as rotas se deslocam entre sistemas autônomos ao longo do tempo, com comparação de movimentos e detalhamento por AS, e o histórico do melhor caminho de qualquer prefixo pode ser reproduzido passo a passo. Com o registro do histórico ligado, o Time Travel mostra os melhores caminhos e as sessões como estavam no instante escolhido. Nos roteadores que não conseguem exportar BMP, as sessões BGP são descobertas por SNMP.

Sim. Túneis MPLS-TE (RFC 3812), L3VPNs (RFC 4364/4382) e pseudowires L2VPN (RFC 5601, incluindo o dialeto da Cisco anterior à norma) são descobertos por SNMP dentro do ciclo de consulta normal, sem outra configuração além do acesso SNMP. As VRFs de cada PE são agrupadas em L3VPNs por route-target, com classificação de malha completa ou hub-and-spoke, e os pseudowires em enlaces VPWS e instâncias VPLS. Selecionar um serviço destaca seus membros na tela. A descoberta é controlada por rede com um ajuste automático / ligado / desligado; reencaminhamentos de túnel e quedas de VRF e de pseudowire alimentam a correlação de incidentes.

Sim. Se a sua fabric usa EVPN, o Osprey a capta do mesmo fluxo BMP sem configuração extra: instâncias E-LAN e EVPN-VPWS (RFC 7432), encapsulamento VXLAN ou MPLS, contagens de MAC/IP por PE e Ethernet Segments. A mobilidade de MAC (um host que muda de PE) e a saída de um PE de uma instância aparecem como sintomas de incidentes correlacionados, com proteção contra tempestades para que uma tempestade de broadcast nunca vire uma enxurrada de eventos.

Sim. Quando origem e destino estão em ASes ou em redes de inquilinos diferentes, a ferramenta de caminhos costura os segmentos IGP ao longo da cadeia de ASes do BGP: cada segmento leva seu próprio custo e um nível de confiança (resolvido, deduzido ou opaco), e as transições eBGP são desenhadas na tela. A distância administrativa é respeitada entre protocolos exatamente como os seus roteadores a respeitam. Dentro de um domínio, o caminho é uma cadeia de encaminhamento salto a salto: cada salto é a decisão da tabela de rotas daquele roteador, e não um caminho mais curto calculado a partir da origem, com sua métrica, seu tipo de rota e o conjunto completo de caminhos de custo igual instalados, além de explicações por salto, traceroute CLNS para IS-IS e pilhas de rótulos SR-MPLS. Pergunte em IPv6 e você recebe uma resposta em IPv6, ou uma explicação de por que não existe caminho IPv6, nunca um caminho IPv4 apresentado como se fosse o de IPv6.

Sim. Os vizinhos LLDP e CDP são descobertos automaticamente por varreduras SNMP. O Osprey correlaciona os vizinhos L2 com a topologia L3 usando uma cascata de identidade de cinco níveis (identificador de chassi, IP de gerência, identificador de roteador, IP de interface, nome de host). Uma camada L2 que você liga e desliga mostra os switches e os enlaces de camada 2 na tela, ao lado da topologia IGP. O percurso de switches é em largura, com filtragem por plataforma para excluir pontos de acesso, telefones e interconexões de fabric.

SNMPv2c e SNMPv3. Na v3, todos os níveis de segurança são suportados: noAuthNoPriv, authNoPriv e authPriv. A autenticação cobre MD5 e toda a família SHA-2 (SHA-1, SHA-224, SHA-256, SHA-384, SHA-512); a criptografia cobre DES e AES-128, AES-192 e AES-256, de modo que você não é empurrado de volta para algoritmos obsoletos.

Sim, de três jeitos. O OpenID Connect (Entra ID, Okta, Keycloak ou qualquer provedor compatível com OIDC) usa um fluxo Authorization Code no servidor com PKCE obrigatório. O SAML 2.0 é suportado como provedor de serviço, com login iniciado pelo SP, requisição assinada e validação completa da asserção: assinatura, audiência, validade e a checagem de que a resposta corresponde à requisição que o Osprey realmente emitiu, de modo que asserções não solicitadas ou reenviadas são recusadas. As contas de LDAP e Active Directory entram pelo formulário normal de usuário e senha, sem botão separado: LDAPS ou StartTLS, participação em grupos por memberOf, um filtro de busca de grupos para diretórios sem essa camada e grupos aninhados do AD. Nos três casos, os usuários são criados no primeiro login e o papel deles acompanha o seu mapeamento de grupos.

Sim, TOTP para contas locais, com qualquer aplicativo autenticador padrão. O cadastro é autosserviço com um QR code gerado no servidor (o segredo nunca passa por um serviço externo) e os códigos de recuperação de uso único são exibidos uma única vez na configuração. Está incluído sem custo adicional, em toda licença, inclusive na avaliação gratuita.

Sim, por SCIM 2.0 (RFC 7644). Seu provedor de identidade pode criar, atualizar e desativar contas do Osprey conforme as pessoas entram, mudam de função ou saem. O SCIM se autentica com um token portador próprio, separado dos cookies de sessão e das chaves de API, que carrega tanto uma validade quanto um indicador de revogação.

As contas locais continuam funcionando ao lado de qualquer provedor configurado, e o Osprey traz uma linha de comando de recuperação pensada exatamente para esse caso: uma queda do provedor de identidade, uma configuração errada ou a perda de uma conta de administrador nunca deixam você trancado para fora do seu próprio monitoramento.

Sim. Login, tentativa de login malsucedida (com o motivo), logout, troca de senha e tentativas de reenviar um token de renovação caem todos no registro de auditoria, que pode ser filtrado por usuário, ação, entidade e período, e exportado em CSV. As sessões ativas aparecem em Administração com o IP e o agente do usuário, e podem ser encerradas à força uma a uma ou por usuário.

Cinco serviços do systemd: o motor (processamento de topologia, SPF, correlação de eventos), o servidor de API (API REST, WebSocket, proxy SSH), o gerenciador de coletores (túneis GRE e adjacências IGP), o coletor SNMP (descoberta, contadores de tráfego, percurso L2, MPLS e EIGRP) e o servidor BMP (vizinhos e RIBs de BGP na porta TCP 11019). A troca de mensagens entre serviços passa pelo NATS. Todos os serviços são gerenciados como um grupo só, por osprey.target.

Todos os dados ficam no PostgreSQL, no seu próprio servidor. O Osprey é inteiramente auto-hospedado: nenhum dado sai da sua infraestrutura.

O Osprey oferece backup e restauração completos do banco de dados dentro de Administração. Você também pode exportar um backup portável da configuração que inclui todas as definições de hierarquia, os usuários e os ajustes.

Sim. O Osprey é independente de fabricante: funciona com qualquer equipamento que fale OSPF, IS-IS, BGP (BMP), LLDP ou CDP. Isso inclui Cisco, Juniper, Arista, Nokia, Mikrotik e, na prática, qualquer plataforma de rede moderna. A única exceção é o EIGRP, que é um protocolo da Cisco e é lido da MIB de EIGRP da Cisco, então a descoberta de EIGRP cobre apenas plataformas Cisco.

Se instalou por APT, basta executar sudo apt update && sudo apt upgrade osprey. O pacote cuida sozinho das migrações de banco de dados e do reinício dos serviços.