Automação SSH com Netmiko

Use esta habilidade ao escrever ou revisar automação Python que se conecta a dispositivos de rede com Netmiko. Mantenha o caminho padrão como somente leitura; alterações de configuração precisam de uma janela de alteração separada, revisão por pares e plano de reversão.

Quando Usar

• Coletando saída de comando show em roteadores, switches ou firewalls.
• Construindo um pequeno script de auditoria para evidências de interface, roteamento ou configuração.
• Adicionando tempos limite e tratamento de exceções a scripts SSH de rede.
• Analisando a saída de comando com TextFSM quando um template existe.
• Revisando a automação antes que ela toque em dispositivos de produção.

Padrões de Segurança

• Comece com coleta send_command() somente leitura.
• Mantenha o inventário pequeno e explícito; não escaneie faixas inteiras de endereços.
• Use variáveis de ambiente, um cofre ou getpass; nunca codifique credenciais.
• Defina tempos limite de conexão e leitura.
• Limite a concorrência para que dispositivos mais antigos não fiquem sobrecarregados.
• Exija uma flag explícita do operador antes send_config_set().
• Não chame save_config() até que a alteração tenha sido verificada e aprovada.

Padrão de Conexão Somente Leitura

import os
from getpass import getpass
from netmiko import ConnectHandler
from netmiko.exceptions import (
    NetmikoAuthenticationException,
    NetmikoTimeoutException,
    ReadTimeout,
)

device = {
    "device_type": "cisco_ios",
    "host": "192.0.2.10",
    "username": os.environ.get("NETMIKO_USERNAME") or input("Username: "),
    "password": os.environ.get("NETMIKO_PASSWORD") or getpass("Password: "),
    "secret": os.environ.get("NETMIKO_ENABLE_SECRET"),
    "conn_timeout": 10,
    "auth_timeout": 20,
    "banner_timeout": 15,
    "read_timeout_override": 30,
}

try:
    with ConnectHandler(**device) as conn:
        if device.get("secret") and not conn.check_enable_mode():
            conn.enable()
        output = conn.send_command("show ip interface brief", read_timeout=30)
        print(output)
except NetmikoAuthenticationException:
    print("Authentication failed")
except NetmikoTimeoutException:
    print("SSH connection timed out")
except ReadTimeout:
    print("Command read timed out")

Use endereços de placeholder de intervalos de documentação em exemplos. Mantenha o inventário real em um arquivo local ignorado ou em um sistema gerenciado por segredos.

Coleta em Lote

from concurrent.futures import ThreadPoolExecutor, as_completed
from typing import Any

def collect_show(device: dict[str, Any], command: str) -> dict[str, Any]:
    host = device["host"]
    try:
        with ConnectHandler(**device) as conn:
            output = conn.send_command(command, read_timeout=45)
        return {"host": host, "ok": True, "output": output}
    except (NetmikoAuthenticationException, NetmikoTimeoutException, ReadTimeout) as exc:
        return {"host": host, "ok": False, "error": type(exc).__name__}

results = []
with ThreadPoolExecutor(max_workers=8) as pool:
    futures = [pool.submit(collect_show, device, "show version") for device in devices]
    for future in as_completed(futures):
        results.append(future.result())

Mantenha max_workers baixo, a menos que o parque de dispositivos e os sistemas AAA sejam conhecidos por lidar com um volume maior de conexões.

Análise Estruturada

Netmiko pode pedir ao TextFSM, TTP ou Genie para analisar a saída de comandos suportados. Trate a saída do parser como uma otimização, não como o único caminho de evidência.

with ConnectHandler(**device) as conn:
    parsed = conn.send_command(
        "show ip interface brief",
        use_textfsm=True,
        raise_parsing_error=False,
        read_timeout=30,
    )

if isinstance(parsed, str):
    print("No parser template matched; store raw output for review")
else:
    for row in parsed:
        print(row)

Se a análise impulsionar uma decisão de bloqueio, mantenha a saída bruta do comando ao lado do resultado analisado para que um operador possa inspecionar incompatibilidades.

Padrão de Configuração Protegida

import os

commands = [
    "interface GigabitEthernet0/1",
    "description CHANGE-1234 UPLINK-TO-CORE",
]

apply_changes = os.environ.get("APPLY_NETWORK_CHANGES") == "1"

if not apply_changes:
    print("Somente execução de teste. Comandos candidatos:")
    print("\n".join(commands))
else:
    with ConnectHandler(**device) as conn:
        conn.enable()
        before = conn.send_command("show running-config interface GigabitEthernet0/1")
        output = conn.send_config_set(commands)
        after = conn.send_command("show running-config interface GigabitEthernet0/1")
        print(before)
        print(output)

…