Я убрал валидацию  nginx -t, так как nginx -s reload  и так её делает. А если валидация не прошла, то не делает ничего. И сыпет ошибку на  handler.
Просто исправляю ошибку в конфиге и запускаю заново

я делаю релоад через модуль service, а не через command, к тому же не нужно же каждый раз релоадить, если конфиг не изменился

если конфиг не изменился - не релоадиться у меня.

ад какой-то. задача простая, но костыли одни

Здравствуйте!
Прошу подсказать, как будет корректнее, ну или как у вас опыт построен на похожем.
Нужно обновлять/настраивать межсетевой экран на блок всего, кроме разрешённого.
Вижу два пути:
1) создавать группы (http, https, ssh, http(8080) и т.п.), писать плейбук под группы и потом узлы помещать в эти группы;
2) или у каждого узла объявлять переменную с списком портов, а в плейбуке использовать эту переменную как параметр для настройки межсетевого экрана.
Может есть ещё варианты?

подскажите плиз, почему из простой задачи (пул конфиг нжинкс)—>(если конфиги изменились, то валидация через nginx -t)—>(если валидация пройдена, то релоад nginx)—>(проверка доступности nginx)—>(переход к следующему хосту) выходит свистопляска с хендлерами? что вызывать в хендлерах? как добиться идемпотентости, если, например, что-то пойдет не так после пула конфига и не зарелоадится нжинкс, то второй запуск не зарелоадит, если релоад в хендлерах. как вы решаете эту задачу?

Могу ошибаться, но nginx -t вы должны сделать сами после правки конфига на тестовом узле, а никак не отправлять не проверенный конфиг на боевые сервера

я не файлами оперирую. точнее файлами, но не через темплейты, а через гит

допустим, изменения прилетели и выполнился нотифай, который закончился ошибкой. что даст повторный запуск плейбука? нотифай не сработает, изменений же нет

допустим, изменения прилетели и выполнился нотифай, который закончился ошибкой. что даст повторный запуск плейбука? нотифай не сработает, изменений же нет