Мониторинг на мрежово оборудване чрез SNMPv3 в Zabbix

Тази статия е посветена на особеностите на мониторинга на мрежово оборудване чрез протокола SNMPv3. Ще говорим за SNMPv3, ще споделя опитите си в създаването на пълноценни шаблони в Zabbix и ще покажа какво може да бъде постигнато при организирането на разпределено оповестяване в голяма мрежа. Протоколът SNMP е основен при мониторинга на мрежово оборудване, а Zabbix е отличен за наблюдение на голям брой обекти и обобщаване на значителни обеми на постъпващи метрики.

Няколко думи за SNMPv3

Започваме с назначението на протокола SNMPv3 и особеностите на неговото използване. Задачите на SNMP са мониторинг на мрежови устройства и елементарно управление чрез изпращане на прости команди към тях (например, активиране и деактивиране на мрежови интерфейси или рестартиране на устройството).

Основната разлика между протокола SNMPv3 и предишните му версии е класическите функции за сигурност [1-3], а именно:

• автентикация (Authentication), която определя, че заявката е получена от доверен източник;
• шифроване (Encryption), за предотвратяване на разкриването на предавани данни при тяхното прихващане от трети лица;
• целостност (Integrity), тоест гаранция, че пакетът не е бил фалшифициран при предаване.

SNMPv3 предполага използването на модел на сигурност, при който стратегията за автентикация се задава за определен потребител и групата, към която той принадлежи (в предишните версии на SNMP в заявката от сървъра към обекта на мониторинга се сравняваше само 'community' - текстова низ с 'парола', предавана в открит вид (plain text)).

SNMPv3 въвежда понятието нива на сигурност — допустимите нива на сигурност, които определят настройките на оборудването и поведението на SNMP-агента на обекта на мониторинга. Комбинацията от модела на сигурност и нивото на сигурност определя кой механизъм за сигурност се използва при обработката на SNMP пакета [4].

В таблицата са описани комбинациите от модели и нива на сигурност на SNMPv3 (първите три колони реших да запазя в оригинал):

Съответно, ние ще използваме SNMPv3 в режим на автентикация с прилагане на шифроване.

Настройка на SNMPv3

Мониторинг на мрежово оборудване предполага идентична настройка на протокола SNMPv3 както на сървъра за мониторинг, така и на наблюдавания обект.

Нека започнем с настройката на мрежовото устройство Cisco, минимално необходимата конфигурация изглежда по следния начин (за конфигурирането използваме CLI, имената и паролите са опростени, за да се избегне объркване):

snmp-server group snmpv3group v3 priv read snmpv3name 
snmp-server user snmpv3user snmpv3group v3 auth md5 md5v3v3v3 priv des des56v3v3v3
snmp-server view snmpv3name iso included

Първият ред snmp-server group определя групата SNMPv3 потребители (snmpv3group), режима на четене (read) и правото на достъп на групата snmpv3group да преглежда определени клонове на MIB дървото на обекта за мониторинг (snmpv3name по-късно в конфигурацията задава, до кои клонове на MIB дървото групата snmpv3group ще може да получава достъп).

Вторият ред snmp-server user определя потребителя snmpv3user, неговата принадлежност към групата snmpv3group, както и прилагането на аутентификация md5 (паролата за md5 е md5v3v3v3) и шифроване des (паролата за des е des56v3v3v3). Разбира се, вместо des е по-добре да се използва aes, тук го представям просто за пример. Също така, при определяне на потребителя, може да се добави списък за достъп (ACL), който регламентира IP адресите на мониторинговите сървъри, които имат право да извършват мониторинг на това устройство – това също е добра практика, но няма да усложнявам примера.

Третият ред snmp-server view определя кодовото име, което задава клоновете на MIB дървото snmpv3name, за да могат да бъдат запитвани от групата потребители snmpv3group. ISO, вместо строго определяне на конкретен клон, позволява на групата потребители snmpv3group да получава достъп до всички обекти на MIB дървото на обекта за мониторинг.

Аналогичната настройка за оборудване Huawei (също в CLI) изглежда по следния начин:

snmp-agent mib-view included snmpv3name iso
snmp-agent group v3 snmpv3group privacy read-view snmpv3name
snmp-agent usm-user v3 snmpv3user group snmpv3group
snmp-agent usm-user v3 snmpv3user authentication-mode md5 
            md5v3v3v3
snmp-agent usm-user v3 snmpv3user privacy-mode des56
            des56v3v3v3

След настройката на мрежовите устройства, е необходимо да се провери наличието на достъп от мониторинговия сървър по протокола SNMPv3, ще използвам snmpwalk:

snmpwalk -v 3 -u snmpv3user -l authPriv -A md5v3v3v3 -a md5 -x des -X des56v3v3v3 10.10.10.252

По-изчерпателен инструмент за запитване на конкретни OID обекти, с използване на MIB файлове – snmpget:

Сега да преминем към настройката на типичен елемент от данни за SNMPv3 в рамките на шаблон за Zabbix. За простота и независимост от MIB, използвам цифрови OID:

Използвам потребителски макроси в ключовите полета, тъй като те ще бъдат еднакви за всички данни в шаблона. Можете да ги зададете в рамките на шаблона, ако в мрежата ви всички мрежови устройства имат идентични настройки за SNMPv3, или в рамките на мрежовия възел, ако параметрите за SNMPv3 за различните обекти за мониторинг са различни:

Обърнете внимание, че системата за мониторинг разполага само с потребителското име и паролите за удостоверяване и шифроване. Групата потребители и обхватът на MIB-обектите, за които е разрешен достъп, се задават на обекта за мониторинг.
Сега да преминем към попълване на шаблона.

Шаблон за опрос в Zabbix

Простото правило при създаване на всякакви шаблони за опрос е да ги правите максимално подробни:

Обървам голямо внимание на инвентаризацията, за да е по-удобно да работя с голямата мрежа. За това малко по-късно, а сега – тригери:

За удобство на визуализацията на тригерите в техните наименования са вградени системни макроси {HOST.CONN}, за да се показват на таблото в раздела за предупреждения не само имената на устройствата, но и IP адресите, макар че това е повече въпрос на удобство, отколкото на необходимост. За определяне на недостъпността на устройството, освен обикновения echo-запрос, използвам проверка за недостъпност на възела по протокол SNMP, когато обектът е достъпен чрез ICMP, но не отговаря на SNMP-запроси – такава ситуация може да се случи, например, при дублиране на IP адреси на различни устройства, поради неправилно конфигурирани междусетеви екрани или невярни настройки на SNMP на обектите за мониторинг. Ако се използва проверка за достъпност на възли само по ICMP, в момент на разследване на инциденти в мрежата, данните от мониторинга може да липсват, затова е необходимо да се контролира тяхното постъпване.

Да преминем към откритие на мрежови интерфейси – това е най-важната функция за мониторинг при мрежовото оборудване. Тъй като на мрежовото устройство могат да бъдат стотици интерфейси, е необходимо да се филтрират ненужните, за да не се затрупва визуализацията и да не се натоварва базата данни.

Използвам стандартната функция за откритие за SNMP, с голямо количество откриваеми параметри, за по-гъвкаво филтриране:

discovery[{#IFDESCR},1.3.6.1.2.1.2.2.1.2,{#IFALIAS},1.3.6.1.2.1.31.1.1.1.18,{#IFADMINSTATUS},1.3.6.1.2.1.2.2.1.7]

При такова откритие може да се филтрират мрежовите интерфейси по техните типове, потребителски описания «description» и административни статуси на портовете. Филтрите и регулярните изрази за филтриране в моя случай изглеждат по следния начин:

При откритие ще бъдат изключени следните интерфейси:

• ръчно изключени (adminstatus<>1), благодарение на IFADMINSTATUS;
• без текстово описание, благодарение на IFALIAS;
• с в текстовото описание символ *, благодарение на IFALIAS;
• които са служебни или технически, благодарение на IFDESCR (в моя случай, в регулярните изрази IFALIAS и IFDESCR се проверяват с един регулярния израз alias).

Шаблонът за събиране на данни по протокола SNMPv3 почти е готов. Да не се спираме по-подробно на прототипите на елементите от данни за мрежовите интерфейси, а да преминем към резултатите.

Резултати от мониторинга

Първо – инвентаризация на малка мрежа:

Ако подготвите шаблони за всяка серия мрежови устройства – можете да постигнете удобна за анализ компоновка на обобщени данни за актуалния софтуер, серийни номера и известие за пристигане на хигиениста в сървърната стая (поради малък Uptime). Извадка от моя списък с шаблони по-долу:

А сега – основната контролна табла, с разпределени по нива важност тригери:

Благодарение на комплексния подход към шаблоните за всяка модел на устройства в мрежата, можете да постигнете, че в рамките на една система за мониторинг ще бъде организиран инструмент за прогнозиране на неизправности и аварии (при наличието на съответните сензори и метрики). Zabbix е отличен за мониторинг на мрежови, сървърни и сервисни инфраструктури, а задачата за обслужване на мрежовото оборудване ясно демонстрира нейните възможности.

Списък на използваните източници:1. Hucaby D. CCNP Routing and Switching SWITCH 300-115 Official Cert Guide. Cisco Press, 2014. стр. 325-329.
2. RFC 3410. tools.ietf.org/html/rfc3410
3. RFC 3415. tools.ietf.org/html/rfc3415
4. SNMP Configuration Guide, Cisco IOS XE Release 3SE. Глава: SNMP версия 3. www.cisco.com/c/en/us/td/docs/ios-xml/ios/snmp/configuration/xe-3se/3850/snmp-xe-3se-3850-book/nm-snmp-snmpv3.html

Източник: habr.com