Automação de infraestrutura e redes com Python

Boa parte do trabalho de infraestrutura é extrair informação de texto: um IP em uma linha de log, um horário, um código de status. As expressões regulares, o famoso regex, são a ferramenta certa para isso. Com o módulo re do Python, você valida formatos, busca padrões e extrai exatamente o que precisa de arquivos grandes.

Combinado com a leitura de arquivos linha a linha, o regex transforma um log bruto de firewall em um resumo útil: os IPs que mais tentaram conexão, os horários de pico, as regras mais acionadas.

Vale aterrissar isso em um caso real. Em ambientes de pfSense que a OpenSourceBrasil acompanha, um roteiro comum é ler o log de filtro do firewall, isolar as conexões bloqueadas na interface de internet, extrair o IP de origem de cada linha com uma expressão regular e contar quantas vezes cada IP aparece. Em poucas dezenas de linhas de Python, o resultado é uma lista ordenada dos endereços que mais bateram na porta, útil para decidir o que merece um bloqueio permanente ou uma investigação.

O mesmo script cresce com pouco esforço: filtrar por período, cruzar os IPs com uma lista de reputação, gerar um CSV para a equipe e agendar a execução. Cada etapa usa um recurso deste guia, e o conjunto substitui uma tarefa manual que tomaria a manhã inteira.

JSON é a língua franca das APIs e dos arquivos de configuração modernos. CSV é o formato das planilhas e de muitos relatórios. Python trata os dois com módulos da biblioteca padrão, sem instalar nada. Isso permite consumir a resposta de uma API de equipamento ou de nuvem, cruzar com um inventário em CSV e gerar um relatório consolidado.

Firewalls modernos, serviços de nuvem e ferramentas de segurança expõem APIs. Com Python, você consulta essas APIs, coleta status e métricas e automatiza ações que antes exigiam cliques na interface. É assim que se monta, por exemplo, um script que verifica o estado de vários túneis de VPN e avisa quando algum cai.

A biblioteca requests é o padrão de fato para isso. Com ela, uma chamada GET ou POST cabe em uma linha, e a resposta em JSON vira dicionário Python direto. Dois cuidados fazem diferença em produção: definir um timeout em toda chamada, para o script não travar quando o outro lado não responde, e conferir o código de status antes de confiar no corpo da resposta. O token de acesso da API nunca deve ficar no código; leia de uma variável de ambiente ou de um cofre de segredos.

Nem todo equipamento tem API. Para roteadores, switches e firewalls que só falam por linha de comando, o caminho é SSH. A biblioteca paramiko cuida da conexão de baixo nível em Python. Acima dela, netmiko entende as particularidades de cada fabricante (Cisco, Juniper, MikroTik e outros), o que evita tratar prompt e paginação na mão. Com poucas linhas, dá para coletar a configuração de dezenas de equipamentos e salvar cada uma em arquivo.

Quando o objetivo é padronizar a coleta entre fabricantes diferentes, a biblioteca napalm oferece uma camada comum: os mesmos comandos retornam dados no mesmo formato, independente do equipamento. Vale um alerta de segurança: automação por SSH costuma rodar com credenciais de acesso privilegiado, então o script precisa tratar essas senhas com o mesmo cuidado de qualquer segredo, e a conta usada deve ter só a permissão necessária para a tarefa.

Assim que um script depende de uma biblioteca externa, surge a necessidade de organizar isso. Ambientes virtuais dão a cada projeto sua própria caixa de dependências, sem misturar versões nem sujar o Python do sistema. Junto com o pip e um arquivo de requisitos, isso torna o script reproduzível em outra máquina, o que importa quando a automação sai do seu computador e vai para um servidor.

Scripts crescem. Um arquivo de mil linhas vira pesadelo de manutenção. Separar o código em módulos, com funções bem nomeadas e responsabilidades claras, é o que mantém a automação sustentável. A biblioteca padrão do Python já traz módulos prontos para datas, coleções e muito mais, o que evita reinventar a roda.

Uma divisão que funciona bem: um módulo para falar com o mundo externo (ler arquivo, chamar API, conectar por SSH), outro para a lógica que trata os dados, e um arquivo principal curto que apenas amarra as duas partes. Assim a lógica fica testável sem depender da rede, e trocar a fonte de dados não exige mexer no resto. Argumentos de linha de comando, tratados com o módulo argparse, tornam o script reaproveitável sem editar código a cada uso.

Um script de automação que roda com privilégios em produção pode causar estrago se estiver errado. Testes automatizados reduzem esse risco: você verifica que a lógica se comporta como esperado antes de soltar em ambiente real. Não precisa cobrir tudo, mas testar as partes críticas evita surpresas caras.