Console do Site

Capturado em 28/07/2026 a partir de um CE deste deployment. sitecli/capture-manifest.json registra qual nó, e scripts/capture-sitecli.sh --check reverifica a superfície de comandos contra um CE ativo.

Todo Customer Edge serve o Console do Site da F5 em https://<sli-ip>:65500. Neste deployment, normalmente é a rota a se tentar primeiro.

É o que exige menos de você: nenhuma chave SSH para distribuir, nenhum host de salto para manter, nenhum IP público no nó e nenhuma substituição de VM para habilitá-lo. Quem pode se conectar passa a ser uma decisão de RBAC do Azure. E não é necessário que o site esteja registrado: esta página foi capturada inicialmente enquanto os três sites reportavam site_state: FAILED, e reverificada sem alterações contra os mesmos nós depois que eles estavam ONLINE.

O detalhe é que o Console do Site responde apenas no endereço interno (SLI) do nó, acessível somente de dentro da VNet. O Azure Bastion fecha essa lacuna sem colocar mais nada na rede.

O que está verificado aqui, e o que não está

Todo comando e toda saída desta página foram executados contra f5-xc-ce-vm-01 neste deployment e estão reproduzidos literalmente, inclusive as falhas.

A autenticação está verificada: a credencial admin do appliance retorna 200 através do túnel. O que não é exercitado é o console em si — nada abaixo descreve o que você pode ver ou fazer depois de estar dentro.

O RBAC do Azure não está verificado. Toda execução foi feita como proprietário da assinatura, portanto o requisito de Reader no passo 2 é o requisito documentado pela Microsoft, e não algo medido aqui.

O Bastion é opt-in e não é implantado por padrão

enable_bastion tem valor padrão false, portanto em um terraform apply padrão não há host Bastion e terraform output -raw bastion_name é null. Defina enable_bastion = true em terraform/terraform.tfvars — está true neste deployment.

O motivo de ser opt-in é custo, não risco: um host de SKU Standard cobra uma taxa fixa por hora a partir do momento em que é provisionado, independentemente de alguém abrir um túnel — USD 0,29/hora em eastus para as duas unidades de escala incluídas (preço de tabela, 2026-07), cerca de USD 212 por mês. Desligue-o novamente quando a demo não precisar de acesso ao console.

Antes de começar

1. Faça login no Azure e adicione a extensão do Bastion. O tunelamento é um recurso de cliente nativo e a extensão não é instalada por padrão.

   az login
   az extension add --name bastion

2. Tenha a função Reader na máquina virtual do CE, em sua interface de rede e no host Bastion. Este é o requisito documentado pela Microsoft e está não verificado aqui — toda execução neste deployment foi feita como proprietário da assinatura, portanto nenhuma função menor foi demonstrada como suficiente ou insuficiente.

3. Confirme que o Bastion está implantado e é capaz. A SKU Basic não suporta nem tunelamento nem conexão baseada em IP, portanto Standard e True aqui são ambos essenciais.

   az network bastion list -g "$(terraform output -raw resource_group_name)" \
     --query "[].{name:name, sku:sku.name, tunneling:enableTunneling}" -o table

   Name               Sku       Tunneling
   -----------------  --------  -----------
   mcn-ce-ha-bastion  Standard  True

Abrir o túnel

Obtenha os valores a partir de terraform output em vez de digitá-los — o id do recurso não é algo para montar à mão.

1. Leia o nome do host Bastion, o grupo de recursos e o id do recurso da VM do CE de destino.

   cd terraform
   BASTION=$(terraform output -raw bastion_name)
   RG=$(terraform output -raw resource_group_name)
   VM_ID=$(terraform output -json ce_vm_ids | jq -r '.eastus01')

   mcn-ce-ha-bastion
   rg-mcn-ce-ha-<deployer>
   /subscriptions/…/providers/Microsoft.Compute/virtualMachines/f5-xc-ce-vm-01

   O mapa é indexado por site, não por nome de VM

   As chaves de ce_vm_ids são eastus01, eastus02, eastus03 — não os nomes das VMs. Um filtro como jq -r '."f5-xc-ce-vm-01"' retorna null, e o túnel então falha com um id de recurso vazio. Liste-as se estiver em dúvida:

   terraform output -json ce_vm_ids | jq -r 'keys | join(", ")'

   eastus01, eastus02, eastus03

2. Inicie o túnel. Ele mantém a porta aberta até ser interrompido, portanto execute-o em segundo plano ou use um segundo terminal.

   az network bastion tunnel \
     --name "$BASTION" \
     --resource-group "$RG" \
     --target-resource-id "$VM_ID" \
     --resource-port 65500 \
     --port 65500 &

   WARNING: Opening tunnel on port: 65500
   WARNING: Tunnel is ready, connect on port 65500
   WARNING: Ctrl + C to close

   Todas as três linhas têm o prefixo WARNING:. Isso é a Azure CLI escrevendo o progresso no stderr, não um problema. Aguarde Tunnel is ready antes de conectar.

3. Confirme que o listener é local, no loopback:

   lsof -nP -iTCP:65500 -sTCP:LISTEN

   COMMAND   PID  USER  FD  TYPE  DEVICE  SIZE/OFF  NODE  NAME
   Python  41648  you   7u  IPv4  …            0t0   TCP  127.0.0.1:65500 (LISTEN)

4. Abra o console. O túnel o torna local, portanto o endereço é localhost — não o endereço do nó.

   open https://localhost:65500/          # macOS
   xdg-open https://localhost:65500/      # Linux

5. Pare o túnel quando terminar — Ctrl-C, ou kill %1 se você o colocou em segundo plano. Deixá-lo aberto mantém a porta local 65500 e a sessão do Bastion.

O que você verá

Um diálogo de credenciais, não uma página de login. O console usa autenticação HTTP Basic, portanto o navegador exibe seu próprio prompt de usuário e senha. Não há formulário para observar:

curl -skI https://localhost:65500/

HTTP/1.1 401 Unauthorized
WWW-Authenticate: Basic realm="Volterra Site Console"
Content-Type: text/html; charset=utf-8
Content-Length: 0

Um 401 com esse realm é o console funcionando corretamente. É o que uma requisição não autenticada deveria receber — e fornecer a credencial admin à mesma URL responde 200, que é como você confirma a credencial antes de abrir um navegador:

curl -sk -u admin -o /dev/null -w '%{http_code}\n' https://localhost:65500/

Enter host password for user 'admin':
200

-u admin sem dois-pontos faz o curl solicitar a senha em vez de recebê-la pela linha de comando, onde ela acabaria no histórico do shell e na lista de processos.

Um aviso de certificado, por três motivos ao mesmo tempo. Verificando o certificado diretamente:

openssl s_client -connect localhost:65500 -servername localhost </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -issuer -dates

subject=C=US, ST=California, L=Santa Clara, O=Volterra, OU=Volterra Edge Services, CN=site-local.volterra.io
issuer=C=US, ST=California, L=Santa Clara, O=Volterra, OU=Volterra Edge Services, CN=site-local.volterra.io
notBefore=Oct 25 04:51:31 2024 GMT
notAfter=Oct 25 04:51:31 2025 GMT

O subject é igual ao issuer, portanto é autoassinado. O nome é site-local.volterra.io enquanto você está se conectando a localhost, portanto não haverá correspondência. E na build que este deployment executa, o certificado expirou em 25 de outubro de 2025 — o appliance o entrega, e nada neste repositório o renova.

Espere um aviso direto do navegador, e espere-o todas as vezes. A linha do subject acima é a parte útil: é como você confirma que alcançou o appliance e não outra coisa qualquer escutando na porta local 65500.

A credencial de admin

Faça login como admin. Esta documentação não publica a senha, e não deve.

Neste deployment essa senha ainda é o padrão de fábrica da F5

Este é um fato medido, não uma suspeita: a credencial padrão de fábrica autentica e retorna 200 em todos os três CEs hoje. A F5 publica esse padrão e exige que ele seja alterado, e isso não foi feito.

A consequência prática é que neste deployment “ter Reader no Bastion” é equivalente a acesso completo ao console do appliance, para qualquer um que conheça um valor que está na documentação pública da F5. Altere-a, e trate essa alteração como parte da implantação de um nó, e não como um endurecimento posterior.

Dois motivos pelos quais não publicá-la importa mais aqui do que pode parecer:

• Esta documentação é pública. Imprimir a senha atual do console da frota transformaria “ter Reader no Bastion” em acesso completo ao appliance para qualquer um que leia a página.
• Uma senha publicada na documentação está errada no momento em que alguém a rotaciona, e errada da forma mais enganosa — o leitor conclui que seu acesso está quebrado, e não que a página está desatualizada.

Depois que ela for rotacionada, obtenha-a de onde sua equipe guarda segredos operacionais.

Definir a senha a partir do Terraform não está verificado

admin_user_credentials.admin_password no objeto do site parece ser a maneira declarativa de definir isso. Não foi confirmado que ela chega ao Console do Site nesta build, portanto não presuma que chegue.

Não interprete a página de SSH como evidência em qualquer direção. Sua constatação de que admin_password “não mudou nada” foi medida contra a autenticação SSH, que o vpm ignora inteiramente para o usuário admin. Isso nada diz sobre o console.

Por que o túnel deve apontar para o id do recurso

--target-resource-id é obrigatório. Apontar para o endereço do nó é recusado — qualquer que seja o endereço usado, portanto deliberadamente nenhum endereço real é impresso aqui:

az network bastion tunnel --name "$BASTION" -g "$RG" \
  --target-ip-address <any-sli-address> --resource-port 65500 --port 65501

ERROR: Custom ports are not allowed. Allowed ports for Tunnel with IP connect is 22, 3389.

O motivo não é que a conexão baseada em IP esteja desabilitada — neste Bastion ip_connect_enabled é true. A Microsoft não suporta portas personalizadas em conexões de cliente nativo baseadas em IP, independentemente dessa configuração (documentação do Azure), e 65500 é uma porta personalizada. Inspecionar a configuração do Bastion aqui não leva a nada; use o id do recurso.

Quando não funciona

Sintoma	Causa	Solução
ERROR: Custom ports are not allowed. Allowed ports for Tunnel with IP connect is 22, 3389.	Uso de --target-ip-address	Use --target-resource-id
ERROR: Defined port is currently unavailable	Outro túnel já está usando essa porta local	Pare o outro túnel, ou passe um --port diferente; --resource-port permanece 65500
terraform output -raw bastion_name é null ou vazio	O Bastion não está implantado	Defina enable_bastion = true e aplique
O túnel inicia, mas o id do recurso está vazio	O filtro jq usou o nome da VM em vez da chave do site	Use a chave eastus01/02/03
401 Unauthorized, realm Volterra Site Console	Não é uma falha — requisição não autenticada	Forneça a credencial admin
O navegador recusa o certificado	Autoassinado, nome divergente e expirado desde out/2025	Esperado; confirme que o subject é CN=site-local.volterra.io e prossiga

Falhas de autorização não foram reproduzidas

RBAC insuficiente é a outra maneira óbvia de isso falhar, mas reproduzi-la significaria remover atribuições de função de um deployment compartilhado, portanto não está documentada aqui com um erro literal. Se o túnel falhar ao iniciar com um erro de autorização, verifique Reader nos três: a VM, sua NIC e o host Bastion.

As outras rotas

Debug APIScripted and repeatable, needs no VNet access. 34 commands, and the site must be ONLINE.

SSHThe full on-box Site CLI. Needs a key present from first boot and a host inside the VNet.

Serial consoleFor a node with no working network path at all. One session per VM, 2,048-character paste cap.