2017/10/10 開催の「NetOpsCoding#5 × ネットワークプログラマビリティ勉強会#13」における 「Ansible x NAPALM x NSO 解説・比較パネルディスカッション」内の発表資料です。 https://network-programmability.connpass.com/event/67156/

1. 株式会社 エーピーコミュニケーションズ
横地 晃（@akira6592）
2017/10/10
NetOpsCoding#5 × ネットワークプログラマビリティ勉強会#13

2. はじめに
2
 近年、APIに対応していないネットワーク機器で
も自動化できるツールが増えてきました。
 本資料ではAnsibleとNAPALMについてご紹介し
ます。
Ansible NAPALM
【扱うツール・ライブラリ】
本資料は 2017/8/18 開催の勉強会「ネットワークの自動化、何つかう？～自動化ツール紹介～」で利用した資料を編集、再構成したものです。
今回ご紹介しきれないnetmiko、saltを含めた資料は https://www.slideshare.net/akira6592/20170818-78977651 をご参照ください。

3. 本日の内容
3
 概要
 全体像
 Ansible（概要・利用例）
 NAPALM（概要・利用例）
 比較
 まとめ

4. 4
1. 全体像
全体像 Ansible NAPALM 比較 まとめ

5. 全体像 （ツール依存イメージ）
5
Netmiko
Ansible
【紹介】
NAPALM
【紹介】
paramiko pan-python pan-device
Cisco
IOS
PaloAlto
PAN-OS
他・・・
対応機種は抜粋
構
成
管
理
ツ
ー
ル
Python
ラ
イ
ブ
ラ
リ
Salt
NW
機
器
上記は標準構成の場合。
たとえば、サードパーティモジュールではAnsibleからNAPALMを呼び出すモジュールもあり。
skip

6. 全体像 （機能概要）
6
機能 ＼ ツール
Netmiko NAPALM Ansible Salt
種別 Pythonライブラリ Pythonライブラリ 構成管理ツール 構成管理ツール
利用方法 Python のコード
にて自動化
Python のコード
にて自動化
定義ファイル
等にて自動化
定義ファイル
等にて自動化
コーディング不要
× △
一部CLIあり
● ●
マルチ
ベンダー
抽象化
設定
コマンド
×
コマンド直接指定
△
ごく一部
×
ベンダー別
モジュールを利用
（抽象化アプローチが
異なるため *1）
△
ごく一部
表示
コマンド
×
コマンド直接指定
△
一部
×
ベンダー別
モジュールを利用
（抽象化アプローチが
異なるため）
△
一部
基本操作 ● ● ● ●
*1 Ansible2.4 で 共通モジュールが登場
参考参考

7. 7
2. Ansible
全体像 Ansible NAPALM 比較 まとめ

8. Ansible 概要
8
ベンダーA ベンダーB ベンダーC
各ベンダー（OS）の
機能ごとにモジュールが
用意されている
A用モジュール群
シンプルな構成管理ツール
B用モジュール群 C用モジュール群
表示コマンド
設定コマンド
ログイン
モード移行
コミット
ログイン
モード移行
表示コマンド
設定コマンド
ログイン
モード移行
コミット
ログイン
モード移行
表示コマンド
設定コマンド
ログイン
モード移行
コミット
ログイン
モード移行
Ansible2.4 で 共通モジュール（net_* 後述）が登場

9. Ansible 概要
 エージェントレスな構成管理ツール
 YAMLで構成定義する（Playbook）
 ネットワーク機器にも対応
 対応の程度は様々
 直接コマンドを指定する必要があるものもあれば、パラメータを指定するだけでよいも
のもある。
9
---
- hosts: cisco
gather_facts: no
connection: local
tasks:
- name: change password
ios_config:
lines:
- username ope password opepass
provider: "{{ cli }}"
Playbook(YAML)
SSH等

10. Ansible 対応機種（NW機器）
10
A10
Aci *
Aireos *
Aos
Aruba *
Asa
Avi
Bigswitch
Citrix
Cloudengine
Cloudvision *
Cumulus
※version 2.4 現在 （*は2.4での追加機種）
一覧: http://docs.ansible.com/ansible/latest/list_of_network_modules.html
Dellos10
Dellos6
Dellos9
Eos
F5
Fortios
Illumos
Ios
Iosxr
Junos
Lenovo
Netconf
Netscaler *
Netvisor
Nuage *
Nxos
Ordnance
Ovs
Panos
Radware *
Sros
Vyos
Network Moduleの数は465

11. Ansibleによる状態表示例（Playbook）
11
---
- hosts: cisco
gather_facts: no
connection: local
tasks:
- name: show command
ios_command:
commands: # 実行したいコマンドの指定
- show ip interface brief
provider: "{{ cli }}"
register: result # 結果を変数へ保存
- name: DEBUG
debug: var=result. stdout_lines # 結果を表示
vars:
cli: # 対象ホストと認証情報の指定
host: "{{ inventory_hostname }}"
username: "{{ ansible_user }}"
password: "{{ ansible_password }}"
authorize: true
auth_pass: "{{ cisco_enable_secret }}"
[cisco]
10.0.0.254
[cisco:vars]
ansible_user=testuser
ansible_password=testpass
cisco_enable_secret=testenable
[Playbook] [インベントリファイル]
表示コマンドを直接指定

12. Ansibleによる状態表示例（結果）
12
> ansible-playbook ansible_show.yml
PLAY [cisco]
***********************************************************************************************************
TASK [show command]
***********************************************************************************************************
ok: [10.0.0.254]
TASK [DEBUG]
***********************************************************************************************************
ok: [] => {
"result.stdout_lines": [
[
"Interface IP-Address OK? Method Status Protocol",
"GigabitEthernet1 10.0.0.51 YES NVRAM up up ",
"GigabitEthernet2 unassigned YES NVRAM up up ",
"GigabitEthernet3 unassigned YES NVRAM up up ",
"GigabitEthernet4 unassigned YES NVRAM up up"
]
]
}
PLAY RECAP
***********************************************************************************************************
10.0.0.254 : ok=2 changed=0 unreachable=0 failed=0
playbook実行
コマンド実行結果が
表示される

13. Ansibleによる設定変更例（Playbook）
13
---
- hosts: cisco
gather_facts: no
connection: local
tasks:
- name: config test
ios_config:
parents: # 実行したいコマンドの指定
- interface GigabitEthernet1
lines:
- description ***test from ansible***
provider: "{{ cli }}"
vars:
cli:
host: "{{ inventory_hostname }}"
username: "{{ ansible_user }}"
password: "{{ ansible_password }}"
authorize: true
auth_pass: "{{ cisco_enable_secret }}"
[cisco]
10.0.0.254
[cisco:vars]
ansible_user=testuser
ansible_password=testpass
cisco_enable_secret=testenable
[Playbook] [インベントリファイル]
設定コマンドを直接指定

14. Ansibleによる設定変更例（結果）
14
router1#sh run int gi1
Building configuration...
Current configuration : 152 bytes
!
interface GigabitEthernet1
description ***test from ansible***
vrf forwarding MANAGEMENT
ip address 10.0.0.51 255.255.255.0
negotiation auto
end
設定が入る
NW機器側で確認
Playbook実行
> ansible-playbook ansible_config.yml
PLAY [cisco] ********************************************************************************************
TASK [config test] **************************************************************************************
changed: [10.0.0.254]
PLAY RECAP **********************************************************************************************
10.0.0.254 : ok=1 changed=1 unreachable=0 failed=0
設定変更されたこを示す

15. Playbook上は
共通モジュールを使用
内部ではansible_network_os 変数が
Ansible 2.4 新モジュールピックアップ
15
net_* 系モジュール
- name: static route
net_static_route:
prefix: 0.0.0.0
mask: 0.0.0.0
next_hop: 10.0.0.1
state: present
provider: "{{ cli }}"
- name: static route
net_static_route:
address: 0.0.0.0/0
next_hop: 10.0.0.1
state: present
provider: "{{ cli }}"
junos の場合
ios の場合
ios_static_route
モジュールを使用
junos_static_route
モジュールを使用
【例】
Version 2.4 現在、net_* モジュールは 14個

16. Ansible まとめ
16
シンプルな構成管理ツール

17. 17
3. NAPALM
全体像 Ansible NAPALM 比較 まとめ

18. NAPALM 概要
18
ベンダーA ベンダーB ベンダーC
表示コマンド 表示コマンド 表示コマンド
設定コマンド 設定コマンド 設定コマンド
ログイン ログイン ログイン
モード移行 モード移行 モード移行
コミット コミット
共通メソッド
として抽象化コミット
設定コマンドはごく一部
表示コマンドは一部
多機能で厚い抽象化Pythonライブラリ

19. NAPALM 概要
 表示コマンドの抽象化
 各ベンダーのshowコマンドを意識せずに情報取得できる
 出力結果は共通フォーマットにパースされる
 設定コマンドの抽象化
 組み込みの各ベンダー用テンプレートで実現
 set_hostname、set_ntp_peers、delete_ntp_peers
 set_probes、schedule_probes、delete_probes
 その他
 CLIでNAPALMの機能を利用するコマンドもある
 AnsibleからNAPALMの機能を利用するサードパーティモ
ジュールもある
19※v1.2時点。詳細: https://napalm.readthedocs.io/en/latest/support/index.html#available-configuration-templates
set host-name RT1
hostname RT1
NAPALM
各ベンダー向けの設定
ホスト名を
RT1にする
A | B
1 | 2
A 1
B 2
NAPALM
各ベンダーのshow結果（バラバラ） 共通フォーマット
{
"A": 1,
"B": 2
}
skip

20. NAPALM 対応機種
20
 EOS
 JunOS
 IOS-XR
 FortiOS
 NXOS
※v1.2 2017/10/02時点時点。
一覧: https://napalm.readthedocs.io/en/latest/support/index.html
 IOS
 Pluribus
 PANOS
 MikroTik
 VyOS

21. NAPALM 情報取得メソッド対応表1/2
21
※v1.2 2017/10/02時点。詳細・引用元:
https://napalm.readthedocs.io/en/latest/support/index.html
EOS FORTIOS IOS IOSXR JUNOS NXOS PANOS PLURIBUS ROS VYOS
get_arp_table ✅ ❌ ✅ ✅ ✅ ✅ ✅ ❌ ❌ ✅
get_bgp_config ✅ ❌ ❌ ✅ ✅ ❌ ❌ ❌ ❌ ❌
get_bgp_neighbors ✅ ✅ ✅ ✅ ✅ ✅ ✅ ❌ ❌ ❌
get_bgp_neighbors_detail ✅ ❌ ❌ ✅ ✅ ❌ ❌ ❌ ❌ ❌
get_config ✅ ✅ ✅ ✅ ✅ ✅ ✅ ✅ ✅ ❌
get_environment ✅ ✅ ✅ ✅ ✅ ❌ ❌ ❌ ❌ ✅
get_facts ✅ ✅ ✅ ✅ ✅ ✅ ✅ ✅ ✅ ✅
get_firewall_policies ❌ ✅ ❌ ❌ ❌ ❌ ❌ ❌ ❌ ❌
get_interfaces ✅ ✅ ✅ ✅ ✅ ✅ ✅ ✅ ✅ ✅
get_interfaces_counters ✅ ✅ ✅ ✅ ✅ ❌ ❌ ❌ ❌ ❌
get_interfaces_ip ✅ ❌ ✅ ✅ ✅ ✅ ✅ ❌ ❌ ✅
get_lldp_neighbors ✅ ❌ ✅ ✅ ✅ ✅ ✅ ✅ ✅ ❌
get_lldp_neighbors_detail ✅ ❌ ✅ ✅ ☠ ✅ ✅ ❌ ✅ ❌
ベンダーによって対応の差がある

22. NAPALM 情報取得メソッド対応表2/2
22
※v1.2 2017/10/02時点
詳細・引用元: https://napalm.readthedocs.io/en/latest/support/index.html
EOS FORTIOS IOS IOSXR JUNOS NXOS PANOS PLURIBUS ROS VYOS
get_mac_address_table ✅ ❌ ✅ ✅ ☠ ✅ ✅ ❌ ✅ ❌
get_network_instances ✅ ❌ ❌ ❌ ✅ ❌ ❌ ❌ ❌ ❌
get_ntp_peers ❌ ❌ ❌ ✅ ✅ ✅ ✅ ❌ ❌ ✅
get_ntp_servers ✅ ❌ ✅ ✅ ✅ ✅ ✅ ❌ ✅ ❌
get_ntp_stats ✅ ❌ ✅ ✅ ✅ ✅ ✅ ❌ ✅ ❌
get_optics ✅ ❌ ✅ ❌ ✅ ❌ ❌ ❌ ❌ ❌
get_probes_config ❌ ❌ ❌ ✅ ✅ ❌ ❌ ❌ ❌ ❌
get_probes_results ❌ ❌ ❌ ✅ ✅ ❌ ❌ ❌ ❌ ❌
get_route_to ✅ ❌ ❌ ✅ ✅ ❌ ❌ ✅ ❌ ❌
get_snmp_information ✅ ❌ ✅ ✅ ✅ ✅ ✅ ❌ ✅ ✅
get_users ✅ ❌ ❌ ✅ ✅ ✅ ✅ ❌ ✅ ✅
is_alive ✅ ✅ ✅ ✅ ✅ ✅ ✅ ✅ ✅ ✅
ping ✅ ❌ ✅ ❌ ✅ ❌ ❌ ❌ ❌ ✅
traceroute ✅ ❌ ✅ ✅ ✅ ✅ ✅ ❌ ❌ ❌

23. NAPALMによる状態表示例（コード）
23
import napalm
from pprint import pprint
# ドライバ名を指定してドライバを取得
driver = napalm.get_network_driver("ios")
device = driver(hostname="10.0.0.254", # ログイン先
username="test", # ログインユーザー名
password="test", # ログインパスワード
optional_args={"secret": "test"} # enableパスワード
)
# 接続・ログイン
device.open()
# メソッド経由でインターフェース情報を取得
output = device.get_interfaces()
# 実行結果の表示
pprint(output)
# 切断
device.close()
junos
panos
など
「show interfaces」を抽象化
（IOSの場合）

24. NAPALMによる状態表示例（結果）
24
> python napalm_show.py
{'BRI0': {'description': 'N/A',
'is_enabled': False,
'is_up': False,
'last_flapped': -1.0,
'mac_address': 'N/A',
'speed': 0},
（略）
'GigabitEthernet0': {'description': 'N/A',
'is_enabled': True,
'is_up': True,
'last_flapped': -1.0,
'mac_address': '60:73:5C:XX:XX:XX',
'speed': 1000},
'Vlan1': {'description': 'N/A',
'is_enabled': True,
'is_up': False,
'last_flapped': -1.0,
'mac_address': '60:73:5C:XX:XX:XX',
'speed': 100}}
コマンド実行結果が各ベンダー
共通フォーマットにパース
されて表示される
スクリプト実行

25. NAPALMによる設定変更例（コード）
25
import napalm
from pprint import pprint
# ドライバ名を指定してドライバを取得
driver = napalm.get_network_driver("ios")
device = driver(hostname="10.0.0.254", # ログインntc123先
username="test", # ログインユーザー名
password="test", # ログインパスワード
optional_args={"secret": "test", "inline_transfer": True} # enableパスワード
)
# 接続・ログイン
device.open()
# NAPALM 組み込みのNTPピア設定テンプレートを利用し、パラメータを割り当てる
device.load_template("set_ntp_peers", peers=["10.0.0.1 ", "10.0.0.2"])
# 現状コンフィグと候補コンフィグの差分表示
print(device.compare_config())
# コンフィグの反映
device.commit_config()
# 切断
device.close()
■ios用のNTPピア設定組み込みテンプレート
{% for peer in peers %}
ntp peer {{peer}}
{% endfor %}

26. NAPALMによる設定変更例（結果）
26
> python napalm_config.py
+ntp peer 10.0.0.1
+ntp peer 10.0.0.2
差分が表示される
router1# sh run | inc ntp
ntp peer 10.0.0.1
ntp peer 10.0.0.2
設定が入る
NW機器側で確認
スクリプト実行

27. NAPALM のお気に入りポイント
27
Validate機能がある
参考：https://napalm.readthedocs.io/en/latest/validate/index.html
 例えば、想定のtraceroute結果をYAMLで定義して、その通りか
どうかを確認できる。
 Ansibleからは「napalm_validate」モジュールでvalidate機能を呼び出せる
(1) コマンド実行
NAPALM
(2) 結果取得
NW機器
(3) validate
IOS、Junos・・等

28. NAPALM まとめ
28
多機能で厚い抽象化Pythonライブラリ

29. 29
4. 比較
全体像 Ansible NAPALM 比較 まとめ

30. 比較 1/2
30
機能 ＼ ツール
Netmiko NAPALM Ansible Salt
種別 Pythonライブラリ Pythonライブラリ 構成管理ツール 構成管理ツール
利用方法 Python のコード
にて自動化
Python のコード
にて自動化
定義ファイル
等にて自動化
定義ファイル
等にて自動化
コーディング不要
× △
一部CLIあり
● ●
マルチ
ベンダー
抽象化
設定
コマンド
×
コマンド直接指定
△
ごく一部
×
ベンダー別
モジュールを利用
（抽象化アプローチが
異なるため *1）
△
ごく一部
表示
コマンド
×
コマンド直接指定
△
一部
×
ベンダー別
モジュールを利用
（抽象化アプローチが
異なるため）
△
一部
基本操作 ● ● ● ●
参考参考
（機能概要からの再掲分）
*1 Ansible2.4 で 共通モジュールが登場

31. 比較 2/2
31
Netmiko NAPALM Ansible Salt
メリット 対応機種が多い マルチベン
ダー環境の情
報取得に強い
シンプルな構
成でスタート
できる
イベントドリ
ブン仕組みや
WebAPI等もあ
り高機能
（NAPALMの特徴も持つ）
デメリット 自分で書くコー
ド量が多い
設定系メソッ
ドが少ない
機種ごとにモ
ジュールを使
い分ける必要
がある
（抽象化アプローチが
異なるため *1）
情報が少ない
Googleヒット件数(*2) 13,800
(+1,400)
174,000
(-12,000)
4,040,000
(+490,000)
523,000
(+34,000)
フォーク数 292
(+27)
427
(+80)
9,021
(+673)
3,795
(+147)
Slackメンバー数
(Network to Code Slack 内)
560
(+69)
842
(+114)
1,112
(+126)
333
(+48)
2017/10/02現在の数値。 ( ) 内は直近2か月半の変動。
*1 Ansible2.4 で 共通モジュールが登場 *2 NAPALM は「NAPALM python」として検索
参考参考

32. ツールの選定ポイント
32
 (1) 管理対象機器に対応しているか
 どの程度対応しているかも確認する
 (2) コードを書くことを良しとするか、しないか
 良しとしない場合はAnsibleやSaltのような構成管理ツール
 (3) シンプル or 高機能
 高機能なものは学習コストが高い。
 (4) どの程度抽象化したいか
 例えば、TeraTermマクロより少し楽になればよい程度であればNetmiko
 (5) 管理対象機器のベンダー数はどの程度か
 Ansibleはベンダーごとにモジュールを使い分ける必要がある
 (6) 既存で導入している構成管理ツールはあるか
 ある場合は統一する方が良いのでは

33. 33
7. まとめ
全体像 Ansible NAPALM 比較 まとめ

34. まとめ
34
Ansible
 シンプルな構成管理ツール
 NAPALM
 多機能で厚い抽象化Pythonライブラリ
様々なNW機器や仕様があるため、
それぞれツールが対応している機器や特徴を理解して
適材適所で活用していきましょう。

35. 参考情報（書籍）
35
2. 「Network Programmability and Automation」
Chapter 1 Software Defined Networking
Chapter 2 Network Automation
Chapter 3 Linux
Chapter 4 Python
Chapter 5 Data Formats
Chapter 6 Network Configuration Templating
Chapter 7 APIs
Chapter 7 APIs
Chapter 8 Source Control
Chapter 9 DevOps
Chapter 10 Continuous Integration
Appendix A Text Editors
Appendix B Docker Networking
Appendix C Open vSwitch
2017年12月発売予定（10月調査時点）
1. 「Ansible: Up and Running, 2nd Edition」
1. http://shop.oreilly.com/product/0636920065500.do
2. https://www.amazon.co.jp/dp/1491931256/
・2nd Edition にてネットワーク機器向けの章が追加
・「ios_config」「ios_facts」の使用例等

36. 参考情報（Web）
36
NAPALM
 続・マルチベンダルータ制御APIライブラリ NAPALMを触って
みた
 http://qiita.com/taijijiji/items/9dfcaa6d868958985095
 NAPALMで作るネットワークオペレーション自動化への道のり
 https://www.slideshare.net/ssuser6a8d29/napalm
 Ansible
 Ansible でネットワーク機器を操作したい時に参考になりそう
な日本語情報
 http://tekunabe.hatenablog.jp/entry/2017/04/06/231243
 全体
 ネットワーク自動化アンケート結果（NetDevOps Survey - Fall
2016）
 https://docs.google.com/forms/d/e/1FAIpQLSdiBNMK0ZUmgBSNEaOWa-
YHGQ4AlZo7EhB52_dXzvMqic3eHA/viewanalytics