Ansible如何删除Palo Alto防火墙中不在host_vars内的l3_subinterfaces

核心逻辑为采集设备现有配置和host_vars中的期望配置做差集，遍历差集执行删除操作即可实现全量管控，完整实现步骤如下：

步骤1：采集防火墙现有L3子接口配置 #

在原有创建任务之前新增facts采集任务，通过panos_facts模块获取设备上已存在的所有接口信息：

- name: Gather Palo Alto interface facts
  panos_facts:
    provider: "{{ panos_provider }}"
    gather_subset:
      - interfaces

步骤2：提取期望的子接口名称列表 #

将host_vars中定义的所有子接口按照父接口名.tag的格式生成期望存在的子接口名称列表，用于后续对比：

- name: Generate expected subinterface name list
  set_fact:
    expected_subinterfaces: >-
      {{ (l3_subinterfaces | default([])) 
      | map(attribute='parent_if') 
      | zip(l3_subinterfaces | map(attribute='tag')) 
      | map('join', '.') 
      | list }}

步骤3：计算需要删除的子接口差集 #

筛选出设备上存在、但不在期望列表中的L3子接口，避免误删其他类型的接口：

- name: Calculate unmanaged subinterfaces to delete
  set_fact:
    to_delete_subinterfaces: >-
      {{ ansible_facts.net_interfaces 
      | selectattr('type', 'equalto', 'l3-subinterface') 
      | map(attribute='name') 
      | difference(expected_subinterfaces) 
      | list }}

步骤4：新增删除多余子接口的任务 #

在原有创建接口任务之前执行删除操作，清理未在host_vars中定义的子接口：

- name: Delete unmanaged l3_subinterfaces
  panos_l3_subinterface:
    provider: "{{ panos_provider }}"
    name: "{{ item }}"
    state: absent
  with_items: "{{ to_delete_subinterfaces }}"
  when: to_delete_subinterfaces | length > 0

注意事项 #

• 正式执行前建议添加--check参数运行playbook，验证待删除的接口列表是否符合预期，避免误删业务接口
• 如果你的子接口都归属特定父接口，可在筛选差集时增加父接口前缀过滤条件，进一步缩小操作范围
• 该「采集facts→计算差集→删除冗余资源」的逻辑可复用到路由、安全策略等其他资源的管控，实现完全的基础设施即代码管控效果

内容的提问来源于stack exchange，提问作者Björn Timmer