Мониторинг на мрежово оборудване чрез SNMPv3 в Zabbix

Тази статия е посветена на характеристиките на мониторинга на мрежовото оборудване с помощта на протокола SNMPv3. Ще говорим за SNMPv3, ще споделя опита си в създаването на пълноценни шаблони в Zabbix и ще покажа какво може да се постигне при организиране на разпределено предупреждение в голяма мрежа. Протоколът SNMP е основният при наблюдение на мрежово оборудване, а Zabbix е чудесен за наблюдение на голям брой обекти и обобщаване на големи обеми входящи показатели.

Няколко думи за SNMPv3

Нека започнем с предназначението на протокола SNMPv3 и характеристиките на неговото използване. Задачите на SNMP са наблюдение на мрежови устройства и основно управление чрез изпращане на прости команди до тях (например активиране и деактивиране на мрежови интерфейси или рестартиране на устройството).

Основната разлика между протокола SNMPv3 и предишните му версии са класическите функции за сигурност [1-3], а именно:

• Удостоверяване, което определя, че заявката е получена от доверен източник;
• криптиране (Encryption), за предотвратяване на разкриването на предадени данни, когато бъдат прихванати от трети страни;
• интегритет, тоест гаранция, че пакетът не е бил подправен по време на предаване.

SNMPv3 предполага използването на модел на сигурност, при който стратегията за удостоверяване е зададена за даден потребител и групата, към която той принадлежи (в предишните версии на SNMP, заявката от сървъра към обекта за наблюдение сравняваше само „общност“, текст низ с „парола“, предаван в чист текст (обикновен текст)).

SNMPv3 въвежда концепцията за нива на сигурност - приемливи нива на сигурност, които определят конфигурацията на оборудването и поведението на SNMP агента на наблюдавания обект. Комбинацията от модел на сигурност и ниво на сигурност определя кой механизъм за сигурност се използва при обработката на SNMP пакет [4].

Таблицата описва комбинации от модели и SNMPv3 нива на сигурност (реших да оставя първите три колони както в оригинала):

Съответно ще използваме SNMPv3 в режим на удостоверяване с помощта на криптиране.

Конфигуриране на SNMPv3

Мрежовото оборудване за наблюдение изисква една и съща конфигурация на протокола SNMPv3 както на сървъра за наблюдение, така и на наблюдавания обект.

Нека започнем с настройката на мрежово устройство на Cisco, неговата минимална необходима конфигурация е както следва (за конфигурация използваме CLI, опростих имената и паролите, за да избегна объркване):

snmp-server group snmpv3group v3 priv read snmpv3name 
snmp-server user snmpv3user snmpv3group v3 auth md5 md5v3v3v3 priv des des56v3v3v3
snmp-server view snmpv3name iso included

Първият ред snmp-сървърна група – дефинира групата от потребители на SNMPv3 (snmpv3group), режима на четене (четене) и правото на достъп на групата snmpv3group за преглед на определени клонове на MIB дървото на наблюдавания обект (snmpv3name след това в конфигурацията указва до кои клонове на MIB дървото групата има достъп, snmpv3group ще може да получи достъп).

Вторият ред snmp-server user – дефинира потребителя snmpv3user, неговото членство в групата snmpv3group, както и използването на md5 удостоверяване (паролата за md5 е md5v3v3v3) и des криптиране (паролата за des е des56v3v3v3). Разбира се, по-добре е да използвате aes вместо des; давам го тук само като пример. Освен това, когато дефинирате потребител, можете да добавите списък за достъп (ACL), който регулира IP адресите на сървърите за наблюдение, които имат право да наблюдават това устройство - това също е най-добрата практика, но няма да усложнявам нашия пример.

Изгледът на snmp-сървър на третия ред дефинира кодово име, което указва клонове на snmpv3name MIB дърво, така че те да могат да бъдат заявени от потребителската група snmpv3group. ISO, вместо да дефинира стриктно един клон, позволява на потребителската група snmpv3group да има достъп до всички обекти в MIB дървото на обекта за наблюдение.

Подобна настройка за оборудване на Huawei (също в CLI) изглежда така:

snmp-agent mib-view included snmpv3name iso
snmp-agent group v3 snmpv3group privacy read-view snmpv3name
snmp-agent usm-user v3 snmpv3user group snmpv3group
snmp-agent usm-user v3 snmpv3user authentication-mode md5 
            md5v3v3v3
snmp-agent usm-user v3 snmpv3user privacy-mode des56
            des56v3v3v3

След като настроите мрежовите устройства, трябва да проверите за достъп от сървъра за наблюдение чрез протокола SNMPv3, ще използвам snmpwalk:

snmpwalk -v 3 -u snmpv3user -l authPriv -A md5v3v3v3 -a md5 -x des -X des56v3v3v3 10.10.10.252

По-визуален инструмент за заявяване на конкретни OID обекти с помощта на MIB файлове е snmpget:

Сега нека да преминем към настройването на типичен елемент от данни за SNMPv3 в шаблона Zabbix. За простота и независимост на MIB използвам цифрови OID:

Използвам персонализирани макроси в ключови полета, защото те ще бъдат еднакви за всички елементи от данни в шаблона. Можете да ги зададете в рамките на шаблон, ако всички мрежови устройства във вашата мрежа имат едни и същи SNMPv3 параметри, или в рамките на мрежов възел, ако SNMPv3 параметрите за различни обекти за наблюдение са различни:

Моля, имайте предвид, че системата за наблюдение има само потребителско име и пароли за удостоверяване и криптиране. Потребителската група и обхватът на MIB обектите, до които е разрешен достъп, са посочени в обекта за наблюдение.
Сега нека да преминем към попълване на шаблона.

Zabbix шаблон за анкета

Едно просто правило, когато създавате каквито и да е шаблони за анкети, е да ги направите възможно най-подробни:

Обръщам голямо внимание на инвентара, за да улесня работата с голяма мрежа. Повече за това малко по-късно, но засега – тригери:

За по-лесно визуализиране на задействания, системните макроси {HOST.CONN} са включени в имената им, така че не само имената на устройствата, но и IP адресите се показват на таблото за управление в секцията за предупреждения, въпреки че това е по-скоро въпрос на удобство, отколкото на необходимост . За да определя дали дадено устройство е недостъпно, в допълнение към обичайната ехо заявка, използвам проверка за недостъпност на хоста с помощта на SNMP протокола, когато обектът е достъпен чрез ICMP, но не отговаря на SNMP заявки - тази ситуация е възможна, например , когато IP адресите се дублират на различни устройства, поради неправилно конфигурирани защитни стени или неправилни SNMP настройки на обекти за наблюдение. Ако използвате проверка на достъпността на хоста само чрез ICMP, по време на разследване на инциденти в мрежата данните за наблюдение може да не са налични, така че тяхното получаване трябва да се следи.

Нека да преминем към откриване на мрежови интерфейси - за мрежовото оборудване това е най-важната функция за наблюдение. Тъй като на едно мрежово устройство може да има стотици интерфейси, е необходимо да се филтрират ненужните, за да не се претрупва визуализацията или базата данни.

Използвам стандартната функция за откриване на SNMP с повече откриваеми параметри за по-гъвкаво филтриране:

discovery[{#IFDESCR},1.3.6.1.2.1.2.2.1.2,{#IFALIAS},1.3.6.1.2.1.31.1.1.1.18,{#IFADMINSTATUS},1.3.6.1.2.1.2.2.1.7]

С това откритие можете да филтрирате мрежовите интерфейси по техните типове, персонализирани описания и състояния на административни портове. Филтрите и регулярните изрази за филтриране в моя случай изглеждат така:

Ако бъдат открити, следните интерфейси ще бъдат изключени:

• ръчно деактивиран (adminstatus<>1), благодарение на IFADMINSTATUS;
• без текстово описание, благодарение на IFALIAS;
• със символа * в описанието на текста, благодарение на IFALIAS;
• които са сервизни или технически, благодарение на IFDESCR (в моя случай в регулярните изрази IFALIAS и IFDESCR се проверяват от един псевдоним на регулярен израз).

Шаблонът за събиране на данни по протокола SNMPv3 е почти готов. Няма да се спираме по-подробно на прототипите на елементи от данни за мрежови интерфейси, нека да преминем към резултатите.

Резултати от мониторинга

Като начало направете инвентаризация на малка мрежа:

Ако подготвите шаблони за всяка серия от мрежови устройства, можете да постигнете лесно за анализиране оформление на обобщени данни за текущия софтуер, серийни номера и известие за чистач, идващ на сървъра (поради ниския ъптайм). Откъс от моя списък с шаблони е по-долу:

И сега - основният панел за наблюдение, с тригери, разпределени по ниво на тежест:

Благодарение на интегриран подход към шаблони за всеки модел устройство в мрежата е възможно да се гарантира, че в рамките на една система за мониторинг ще бъде организиран инструмент за прогнозиране на повреди и аварии (ако са налични подходящи сензори и показатели). Zabbix е много подходящ за наблюдение на мрежови, сървърни и сервизни инфраструктури, а задачата за поддръжка на мрежово оборудване ясно демонстрира неговите възможности.

Списък на използваните източници:1. Hucaby D. Официално ръководство за сертифициране на CCNP Routing and Switching SWITCH 300-115. Cisco Press, 2014 г. стр. 325-329.
2. RFC 3410. tools.ietf.org/html/rfc3410
3. RFC 3415. tools.ietf.org/html/rfc3415
4. Ръководство за конфигуриране на SNMP, Cisco IOS XE версия 3SE. Глава: SNMP версия 3. www.cisco.com/c/en/us/td/docs/ios-xml/ios/snmp/configuration/xe-3se/3850/snmp-xe-3se-3850-book/nm-snmp-snmpv3.html

Източник: www.habr.com