🥇Võrgu seadmete jälgimine SNMPv3 abil Zabbixis

See artikkel käsitleb võrgu seadmete jälgimist SNMPv3 protokolli abil. Räägime SNMPv3-st, jagan oma kogemusi täisfunktsionaalsete mallide loomisel Zabbixis ning näitan, mida on võimalik saavutada ulatusliku häirete korraldamisel suures võrgus. SNMP protokoll on peamine võrgu seadmete jälgimise vahend ja Zabbix sobib suurepäraselt suure hulga objektide jälgimiseks ning saab kokku võtta märkimisväärseid andmevooge.

Mõned sõnad SNMPv3-st

Alustame SNMPv3 protokolli eesmärkidest ja selle kasutamise eripäradest. SNMP ülesanne on võrgu seadmete jälgimine ja baasjuhtimine, edastades neile lihtsaid käsklusi (näiteks võrguliideste sisselülitamine ja väljalülitamine või seadme taaskäivitamine).

SNMPv3 protokolli peamine erinevus eelnevate versioonidega võrreldes on klassikalised turbefunktsioonid [1-3], nimelt:

autentimine (Authentication), mis määrab, et päring on saadud usaldusväärsest allikast;
krüpteerimine (Encryption), et vältida edastatavate andmete avalikustamist kolmandate isikute poolt nende vahendusel;
täiuslikkus (Integrity), mis tähendab garantiid, et pakett ei ole edastamise ajal altereeritud.

SNMPv3 eeldab turvamudeli kasutamist, kus autentimise strateegia kehtestatakse kindla kasutaja ja rühma jaoks, kuhu ta kuulub (varasemates SNMP versioonides võrreldi serveri ja jälgimisobjekti vahelises päringus ainult „community” — tekstipõhist stringi, mis sisaldas „parooli”, edastatud selges tekstis).

SNMPv3 tutvustab turbe tasemete mõistet — lubatud turbe tasemeid, mis määravad seadme konfigureerimise ja SNMP-agensi käitumise jälgimisobjekti suhtes. Turvamudeli ja turbe taseme kombinatsioon määrab, milline turvamehhanism kasutatakse SNMP paketi töötlemisel [4].

Tabelis on kirjeldatud SNMPv3 mudelite ja turbe tasemete kombinatsioone (esimesed kolm veergu olen otsustanud jätta originaalis):

Seetõttu kasutame SNMPv3 autentimise režiimis koos krüpteerimisega.

SNMPv3 seadistamine

Võrgu seadmete jälgimine eeldab SNMPv3 protokolli sama seadistust nii jälgimiserveris kui jälgitavas objektis.

Alustame Cisco võrgu seadme seadistamisega, selle minimaalne vajalik konfigureerimine näeb välja järgmiselt (konfigureerimiseks kasutame CLI-d, nimed ja paroolid on lihtsustatud segaduse vältimiseks):

snmp-server group snmpv3group v3 priv read snmpv3name 
snmp-server user snmpv3user snmpv3group v3 auth md5 md5v3v3v3 priv des des56v3v3v3
snmp-server view snmpv3name iso included

Esimene rida snmp-server group – defineerib SNMPv3 kasutajate grupi (snmpv3group), lugemisrežiimi (read) ja grupi snmpv3group juurdepääsuõigused jälgimise objekti MIB-puu teatud harude vaatamiseks (snmpv3name määratleb edaspidi, millistele MIB-puu harudele grupil snmpv3group on juurdepääs).

Teine rida snmp-server user määratleb kasutaja snmpv3user, tema kuuluvuse grupi snmpv3group ning autentimise meetodi md5 (md5 parool on md5v3v3v3) ja krüpteerimise meetodi des (des parool on des56v3v3v3). Muidugi, des-i asemel on soovitatav kasutada aes-i, toome selle siin lihtsalt näitena. Samuti, kasutaja määratlemisel on võimalik lisada juurdepääsu nimekiri (ACL), mis määratleb monitooringu serverite IP-aadressid, millel on õigus selle seadme monitooringuks – see on samuti parim praktika, kuid ma ei soovi meie näidet keerulisemaks teha.

Kolmas rida snmp-server view määratleb koodinime, mis määrab snmpv3name MIB-puude harud, et neid saaks küsida kasutajategruppe snmpv3group. ISO, selle asemel, et rangelt määratleda mingit kindlat haru, võimaldab kasutajate grupil snmpv3group pääseda ligi kõikidele objekti MIB-puude objektidele.

Sarnane seadistamine Huawei seadmetes (samuti CLI-s) näeb välja järgmine:

snmp-agent mib-view included snmpv3name iso
snmp-agent group v3 snmpv3group privacy read-view snmpv3name
snmp-agent usm-user v3 snmpv3user group snmpv3group
snmp-agent usm-user v3 snmpv3user authentication-mode md5 
            md5v3v3v3
snmp-agent usm-user v3 snmpv3user privacy-mode des56
            des56v3v3v3

Pärast võrgu seadmete seadistamist on vajalik kontrollida juurdepääsu monitooringu serverist SNMPv3 protokolli kaudu, kasutan snmpwalk'i:

snmpwalk -v 3 -u snmpv3user -l authPriv -A md5v3v3v3 -a md5 -x des -X des56v3v3v3 10.10.10.252

Kohandatud OID objektide päringute jaoks, kasutades MIB-faile – snmpget:

Liigume edasi SNMPv3 tüüpilise andmeelemendi seadistamise juurde Zabbixi šabloonis. Lihtsuse ja MIB-ist sõltumatuse huvides kasutan numbrilisi OID-e:

Kasutan võtmeväljade jaoks kohandatud makrosid, kuna need on šablooni kõikide andmeelementide jaoks identsed. Need saab määrata šablooni raames, kui teie võrgus on kõigil võrguseadmetel SNMPv3 parameetrid identsed, või võrgusõlme raames, kui erinevate monitooringu objektide SNMPv3 parameetrid on erinevad:

Pange tähele, et monitooringusüsteemil on ainult kasutajanimi ning autentimise ja krüpteerimise paroolid. Kasutajate grupp ja MIB-objektide ala, millele on lubatud juurdepääs, määratakse monitooringu objektil.
Liigume edasi šablooni täitmise juurde.

Zabbixi küsitlusšabloon

Küsimuste mallide loomisel on lihtne reegel: teha need võimalikult detailseteks.

Kiirendateati emotioonide loetelu, et sujuvalt suhelda laia võrgu haldamisega. Sellest räägin natuke hiljem, aga praegu — kiirendajad:

Kiirendajate visuaalseks esitlemiseks on nende nimedesse embedded süsteemi makrod {HOST.CONN}, et juhtpaneelil oleksid näha mitte ainult seadmete nimed, vaid ka IP-aadressid. See on rohkem mugavuse küsimus kui vajaduse. Seadmestiku kättesaamatuse määramiseks kasutan tavapärase echo-päringu kõrval SNMP-protokolli alusel seadme kättesaadavuse kontrolli, kui objekt on ICMP kaudu kergesti kätte saadav, kuid ei vasta SNMP-päringutele. Selline olukord võib tekkida IP-aadresside dubleerimise korral eri seadmetes, vale konfiguratsiooni tõttu tulekindlatesse seintesse või vale SNMP seadistamise tõttu jälgimisobjektidel. Kui kasutada ainult ICMP-puhneri kättesaadavuse kontrolli, võib võrgu õnnetuste uurimise hädaolukordades jääda jälgimise andmeid saamata, seetõttu tuleb nende saabumist jälgida.

Liigume edasi võrgu liideste tuvastamise juurde – see on võrgu seadmete kõige olulisem jälgimisfunktsioon. Kuna võrgu seadmel võib olla sadu liideseid, tuleb filtreerida mittesoovitud, et mitte koormata visuaali ja mitte täita andmebaasi liigse teabega.

Kasutab SNMP jaoks standardset tuvastusfunktsiooni koos suure hulga tuvastatavate parameetritega, et pakkuda paindlikumat filtreerimist:

discovery[{#IFDESCR},1.3.6.1.2.1.2.2.1.2,{#IFALIAS},1.3.6.1.2.1.31.1.1.1.18,{#IFADMINSTATUS},1.3.6.1.2.1.2.2.1.7]

Sellise tuvastamise korral saab võrgu liideseid filtreerida nende tüüpide, kasutajate kirjelduste «description» ja sadamate haldusstaatuste järgi. Muud filtrid ja regulaaravaldised filtreerimiseks näevad välja järgmised:

Tuvastamise käigus jäetakse välja järgmised liidesed:

manuaalselt välja lülitatud (adminstatus<>1), tänu IFADMINSTATUS-ile;
millel ei ole tekstilist kirjeldust, tänu IFALIAS-ile;
mille tekstilises kirjelduse on sümbol *, tänu IFALIAS-ile;
millel on teenuslikud või tehnilised omadused, tänu IFDESCR-ile (minu puhul kontrollitakse regulaaravaldises IFALIAS ja IFDESCR ühe regulaaravaldisena alias).

SNMPv3 protokolli andmete kogumise mall on peaaegu valmis. Ärgem jäägem detailide juurde, rääkides andmeelementide prototüüpidest võrguliideste jaoks, vaid liikugem jõudmiste juurde.

Järeldused jälgimisest

Alustame – väikese võrgu inventeerimisega:

Kui koostada mallid iga seeria võrguseadmete jaoks, saab saavutada analüüsile sobiva kokkuvõtvate andmete paigutuse, sealhulgas praegused tarkvaraversioonid, seerianumbrid ja teated koristajatele serverisse sisenemisest (madala tööaega tõttu). Minu mallide loend on allpool:

Nüüd – peamine jälgimislaud, kus on jaotatud tasemete kaupa olulised signaalid:

Tänu igat tüüpi seadmete mallide komplekssele lähenemisele suudab üks jälgimissüsteem pakkuda töökatkestuste ja avariide ennustamise tööriista (oleneb vastavatest sensoritest ja mõõdikestest). Zabbix sobib hästi võrgutehnika, serverite ja teenuste infrastruktuuri jälgimiseks, ning võrgu seadmete hooldamise ülesanne demonstreerib selgelt selle võimalusi.