如何在Ansible中实现向主机组委派带端口循环的连通性测试任务？

我创建了如下包含字典列表的YAML文件：

connections:
  - { src: group1, dest: group2, type: tcp, port: [22,23,34] }
  - { src: group2, dest: group3, type: tcp, port: [22,23] } 

我需要编写Ansible任务，实现从一个主机组连接到另一个主机组，检查端口连通性。要求遍历目标组的每台主机及对应端口，目前我能使用with_subelements实现端口循环，但不清楚如何结合主机组循环。以下是我理论上需要实现的任务：

- name: Group1 connection test
  hosts: group1
  gather_facts: no
  become: no
  vars_files:
    - ports.yml
  tasks:
    # 我理论上需要实现的逻辑
    - name: Group1 connection
      shell: nc -l -p "{{ item.1 }}"
      with_subelements:
        - "{{ connections }}"
        - port
      poll: 0
      async: 60
      delegate_to: "{{ group2 }}"

- name: Group2 connection test
  hosts: group2
  gather_facts: no
  become: no
  vars_files:
    - ports.yml
  tasks:
    # 我理论上需要实现的逻辑
    - name: Group1 connection
      shell: nc -l -p "{{ item.1 }}"
      with_subelements:
        - "{{ connections }}"
        - port
      poll: 0
      async: 60
      delegate_to: "{{ group1 }}"

请问该需求是否可实现？实际场景中的最优实现方式是什么？

这个需求完全可以实现，而且不需要手动拆分多个重复的Play。最优方案是利用Ansible内置的groups变量和嵌套循环，结合官方的wait_for模块（比nc命令更贴合Ansible的设计思想）来完成，既简洁又易维护。

核心思路 #

1. 用groups变量动态获取目标组的所有主机，不用硬编码主机列表
2. 通过过滤器实现连接规则、目标主机、端口的三层嵌套遍历
3. 用wait_for替代nc命令，避免手动维护异步监听进程，更符合幂等性要求

完整Playbook示例 #

- name: 跨主机组端口连通性检查
  hosts: all
  gather_facts: no
  vars_files:
    - ports.yml
  tasks:
    - name: 遍历所有规则，检查端口连通性
      wait_for:
        host: "{{ dest_host }}"
        port: "{{ port }}"
        timeout: 10
        state: started
      loop: "{{ connections | subelements('port') | product(groups[item.0.dest]) | map('flatten') }}"
      vars:
        conn_rule: "{{ item.0.0 }}"
        port: "{{ item.0.1 }}"
        dest_host: "{{ item.1 }}"
      when: inventory_hostname in groups[conn_rule.src]
      delegate_to: "{{ inventory_hostname }}"

代码说明 #

• connections | subelements('port')：先把每个连接规则和对应的端口展开，得到形如({src: group1, dest: group2...}, 22)的元组列表
• product(groups[item.0.dest])：将每个规则+端口组合，和目标组的所有主机做笛卡尔积，实现遍历目标组每台主机
• map('flatten')：把嵌套的元组扁平化，方便后续提取变量
• when: inventory_hostname in groups[conn_rule.src]：确保只有源组内的主机才执行对应检查，避免无效任务
• delegate_to: "{{ inventory_hostname }}"：从当前源主机发起对目标主机的端口连接检查，符合“源组→目标组”的检查逻辑

为什么这是最优方案 #

• 动态性强：新增或修改主机组、连接规则时，Playbook无需改动
• 可读性高：用官方模块替代原生命令，逻辑清晰，便于团队协作维护
• 幂等性保障：wait_for模块本身是幂等的，重复执行不会产生副作用
• 覆盖全面：自动遍历所有源主机、目标主机和对应端口，不会遗漏任何检查场景

内容的提问来源于stack exchange，提问作者KDongo