Zabbix में SNMPv3 के माध्यम से नेटवर्क उपकरण की निगरानी

यह आलेख SNMPv3 प्रोटोकॉल का उपयोग करके नेटवर्क उपकरण की निगरानी की सुविधाओं के लिए समर्पित है। हम SNMPv3 के बारे में बात करेंगे, मैं Zabbix में पूर्ण टेम्पलेट बनाने में अपना अनुभव साझा करूंगा, और दिखाऊंगा कि बड़े नेटवर्क में वितरित अलर्ट का आयोजन करके क्या हासिल किया जा सकता है। नेटवर्क उपकरण की निगरानी करते समय एसएनएमपी प्रोटोकॉल मुख्य है, और ज़ैबिक्स बड़ी संख्या में वस्तुओं की निगरानी करने और आने वाले मेट्रिक्स की बड़ी मात्रा को सारांशित करने के लिए बहुत अच्छा है।

SNMPv3 के बारे में कुछ शब्द

आइए SNMPv3 प्रोटोकॉल के उद्देश्य और इसके उपयोग की विशेषताओं से शुरुआत करें। एसएनएमपी का कार्य नेटवर्क उपकरणों और बुनियादी प्रबंधन को सरल कमांड भेजकर निगरानी करना है (उदाहरण के लिए, नेटवर्क इंटरफेस को सक्षम और अक्षम करना, या डिवाइस को रीबूट करना)।

SNMPv3 प्रोटोकॉल और इसके पिछले संस्करणों के बीच मुख्य अंतर क्लासिक सुरक्षा फ़ंक्शन [1-3] है, अर्थात्:

• प्रमाणीकरण, जो यह निर्धारित करता है कि अनुरोध किसी विश्वसनीय स्रोत से प्राप्त हुआ था;
• एन्क्रिप्शन (एन्क्रिप्शन), तीसरे पक्ष द्वारा इंटरसेप्ट किए जाने पर प्रसारित डेटा के प्रकटीकरण को रोकने के लिए;
• अखंडता, यानी यह गारंटी कि ट्रांसमिशन के दौरान पैकेट के साथ छेड़छाड़ नहीं की गई है।

एसएनएमपीवी3 का तात्पर्य एक सुरक्षा मॉडल के उपयोग से है जिसमें किसी दिए गए उपयोगकर्ता और उस समूह के लिए प्रमाणीकरण रणनीति निर्धारित की जाती है जिससे वह संबंधित है (एसएनएमपी के पिछले संस्करणों में, सर्वर से मॉनिटरिंग ऑब्जेक्ट के अनुरोध की तुलना केवल "समुदाय" से की जाती है, एक पाठ स्पष्ट पाठ (सादा पाठ) में प्रेषित "पासवर्ड" के साथ स्ट्रिंग)।

एसएनएमपीवी3 सुरक्षा स्तरों की अवधारणा का परिचय देता है - स्वीकार्य सुरक्षा स्तर जो उपकरण के विन्यास और निगरानी वस्तु के एसएनएमपी एजेंट के व्यवहार को निर्धारित करते हैं। सुरक्षा मॉडल और सुरक्षा स्तर का संयोजन यह निर्धारित करता है कि एसएनएमपी पैकेट को संसाधित करते समय किस सुरक्षा तंत्र का उपयोग किया जाता है [4]।

तालिका मॉडलों और SNMPv3 सुरक्षा स्तरों के संयोजन का वर्णन करती है (मैंने पहले तीन कॉलमों को मूल की तरह छोड़ने का निर्णय लिया है):

तदनुसार, हम एन्क्रिप्शन का उपयोग करके प्रमाणीकरण मोड में SNMPv3 का उपयोग करेंगे।

SNMPv3 को कॉन्फ़िगर करना

मॉनिटरिंग नेटवर्क उपकरण के लिए मॉनिटरिंग सर्वर और मॉनिटर किए गए ऑब्जेक्ट दोनों पर SNMPv3 प्रोटोकॉल के समान कॉन्फ़िगरेशन की आवश्यकता होती है।

आइए सिस्को नेटवर्क डिवाइस स्थापित करने से शुरुआत करें, इसका न्यूनतम आवश्यक कॉन्फ़िगरेशन इस प्रकार है (कॉन्फ़िगरेशन के लिए हम सीएलआई का उपयोग करते हैं, भ्रम से बचने के लिए मैंने नाम और पासवर्ड को सरल बनाया है):

snmp-server group snmpv3group v3 priv read snmpv3name 
snmp-server user snmpv3user snmpv3group v3 auth md5 md5v3v3v3 priv des des56v3v3v3
snmp-server view snmpv3name iso included

पहली पंक्ति snmp-सर्वर समूह - SNMPv3 उपयोगकर्ताओं के समूह (snmpv3group), रीड मोड (पढ़ें), और मॉनिटरिंग ऑब्जेक्ट के MIB ट्री की कुछ शाखाओं को देखने के लिए snmpv3group समूह के एक्सेस अधिकार को परिभाषित करता है (snmpv3name फिर में) कॉन्फ़िगरेशन निर्दिष्ट करता है कि समूह एमआईबी ट्री की किन शाखाओं तक पहुंच सकता है, snmpv3group पहुंच प्राप्त करने में सक्षम होगा)।

दूसरी पंक्ति snmp-सर्वर उपयोगकर्ता - उपयोगकर्ता snmpv3user, snmpv3group समूह में उसकी सदस्यता, साथ ही md5 प्रमाणीकरण (md5 के लिए पासवर्ड md5v3v3v3 है) और des एन्क्रिप्शन (des के लिए पासवर्ड des56v3v3v3 है) के उपयोग को परिभाषित करता है। बेशक, डेस के बजाय एईएस का उपयोग करना बेहतर है; मैं इसे यहां केवल एक उदाहरण के रूप में दे रहा हूं। साथ ही, उपयोगकर्ता को परिभाषित करते समय, आप एक एक्सेस सूची (एसीएल) जोड़ सकते हैं जो मॉनिटरिंग सर्वर के आईपी पते को नियंत्रित करती है जिनके पास इस डिवाइस की निगरानी करने का अधिकार है - यह भी सर्वोत्तम अभ्यास है, लेकिन मैं हमारे उदाहरण को जटिल नहीं बनाऊंगा।

तीसरी पंक्ति snmp-सर्वर दृश्य एक कोड नाम को परिभाषित करता है जो snmpv3name MIB ट्री की शाखाओं को निर्दिष्ट करता है ताकि उन्हें snmpv3group उपयोगकर्ता समूह द्वारा क्वेरी किया जा सके। आईएसओ, एकल शाखा को कड़ाई से परिभाषित करने के बजाय, snmpv3group उपयोगकर्ता समूह को मॉनिटरिंग ऑब्जेक्ट के एमआईबी ट्री में सभी ऑब्जेक्ट तक पहुंचने की अनुमति देता है।

हुआवेई उपकरण के लिए एक समान सेटअप (सीएलआई में भी) इस तरह दिखता है:

snmp-agent mib-view included snmpv3name iso
snmp-agent group v3 snmpv3group privacy read-view snmpv3name
snmp-agent usm-user v3 snmpv3user group snmpv3group
snmp-agent usm-user v3 snmpv3user authentication-mode md5 
            md5v3v3v3
snmp-agent usm-user v3 snmpv3user privacy-mode des56
            des56v3v3v3

नेटवर्क डिवाइस स्थापित करने के बाद, आपको SNMPv3 प्रोटोकॉल के माध्यम से मॉनिटरिंग सर्वर से पहुंच की जांच करनी होगी, मैं snmpwalk का उपयोग करूंगा:

snmpwalk -v 3 -u snmpv3user -l authPriv -A md5v3v3v3 -a md5 -x des -X des56v3v3v3 10.10.10.252

MIB फ़ाइलों का उपयोग करके विशिष्ट OID ऑब्जेक्ट का अनुरोध करने के लिए एक अधिक विज़ुअल टूल snmpget है:

अब आइए Zabbix टेम्पलेट के भीतर SNMPv3 के लिए एक विशिष्ट डेटा तत्व स्थापित करने के लिए आगे बढ़ें। सरलता और एमआईबी स्वतंत्रता के लिए, मैं डिजिटल ओआईडी का उपयोग करता हूं:

मैं मुख्य फ़ील्ड में कस्टम मैक्रोज़ का उपयोग करता हूं क्योंकि वे टेम्पलेट में सभी डेटा तत्वों के लिए समान होंगे। यदि आपके नेटवर्क के सभी नेटवर्क उपकरणों में समान SNMPv3 पैरामीटर हैं, या नेटवर्क नोड के भीतर, यदि विभिन्न मॉनिटरिंग ऑब्जेक्ट के लिए SNMPv3 पैरामीटर भिन्न हैं, तो आप उन्हें एक टेम्पलेट के भीतर सेट कर सकते हैं:

कृपया ध्यान दें कि निगरानी प्रणाली में प्रमाणीकरण और एन्क्रिप्शन के लिए केवल उपयोगकर्ता नाम और पासवर्ड हैं। उपयोगकर्ता समूह और एमआईबी ऑब्जेक्ट का दायरा, जिस तक पहुंच की अनुमति है, मॉनिटरिंग ऑब्जेक्ट पर निर्दिष्ट है।
अब टेम्पलेट भरने के लिए आगे बढ़ते हैं।

ज़ैबिक्स पोल टेम्पलेट

कोई भी सर्वेक्षण टेम्पलेट बनाते समय एक सरल नियम यह है कि उन्हें यथासंभव विस्तृत बनाया जाए:

बड़े नेटवर्क के साथ काम करना आसान बनाने के लिए मैं इन्वेंट्री पर बहुत ध्यान देता हूं। इस पर और अधिक जानकारी थोड़ी देर बाद, लेकिन अभी के लिए - ट्रिगर्स:

ट्रिगर्स के विज़ुअलाइज़ेशन में आसानी के लिए, सिस्टम मैक्रोज़ {HOST.CONN} को उनके नामों में शामिल किया गया है ताकि न केवल डिवाइस के नाम, बल्कि आईपी पते भी अलर्ट अनुभाग में डैशबोर्ड पर प्रदर्शित हों, हालांकि यह आवश्यकता से अधिक सुविधा का मामला है . यह निर्धारित करने के लिए कि क्या कोई डिवाइस अनुपलब्ध है, सामान्य इको अनुरोध के अलावा, मैं एसएनएमपी प्रोटोकॉल का उपयोग करके होस्ट अनुपलब्धता के लिए एक जांच का उपयोग करता हूं, जब ऑब्जेक्ट आईसीएमपी के माध्यम से पहुंच योग्य है लेकिन एसएनएमपी अनुरोधों का जवाब नहीं देता है - यह स्थिति संभव है, उदाहरण के लिए , जब आईपी पते गलत तरीके से कॉन्फ़िगर किए गए फ़ायरवॉल, या मॉनिटरिंग ऑब्जेक्ट पर गलत एसएनएमपी सेटिंग्स के कारण विभिन्न उपकरणों पर डुप्लिकेट किए जाते हैं। यदि आप केवल ICMP के माध्यम से होस्ट उपलब्धता जांच का उपयोग करते हैं, तो नेटवर्क पर घटनाओं की जांच के समय, निगरानी डेटा उपलब्ध नहीं हो सकता है, इसलिए उनकी प्राप्ति की निगरानी की जानी चाहिए।

आइए नेटवर्क इंटरफेस का पता लगाने के लिए आगे बढ़ें - नेटवर्क उपकरण के लिए यह सबसे महत्वपूर्ण निगरानी कार्य है। चूँकि एक नेटवर्क डिवाइस पर सैकड़ों इंटरफ़ेस हो सकते हैं, इसलिए अनावश्यक इंटरफ़ेस को फ़िल्टर करना आवश्यक है ताकि विज़ुअलाइज़ेशन अव्यवस्थित न हो या डेटाबेस अव्यवस्थित न हो।

मैं अधिक लचीले फ़िल्टरिंग के लिए अधिक खोज योग्य मापदंडों के साथ मानक एसएनएमपी खोज फ़ंक्शन का उपयोग कर रहा हूं:

discovery[{#IFDESCR},1.3.6.1.2.1.2.2.1.2,{#IFALIAS},1.3.6.1.2.1.31.1.1.1.18,{#IFADMINSTATUS},1.3.6.1.2.1.2.2.1.7]

इस खोज के साथ, आप नेटवर्क इंटरफेस को उनके प्रकार, कस्टम विवरण और प्रशासनिक पोर्ट स्थितियों के आधार पर फ़िल्टर कर सकते हैं। मेरे मामले में फ़िल्टरिंग के लिए फ़िल्टर और नियमित अभिव्यक्ति इस तरह दिखती हैं:

यदि पता चला, तो निम्नलिखित इंटरफ़ेस को बाहर कर दिया जाएगा:

• मैन्युअल रूप से अक्षम (एडमिनस्टैटस<>1), IFADMINSTATUS को धन्यवाद;
• पाठ विवरण के बिना, IFALIAS को धन्यवाद;
• पाठ विवरण में प्रतीक * का होना, IFALIAS को धन्यवाद;
• वे सेवा या तकनीकी हैं, IFDESCR को धन्यवाद (मेरे मामले में, नियमित अभिव्यक्तियों में IFALIAS और IFDESCR को एक नियमित अभिव्यक्ति उपनाम द्वारा जांचा जाता है)।

SNMPv3 प्रोटोकॉल का उपयोग करके डेटा एकत्र करने का टेम्प्लेट लगभग तैयार है। हम नेटवर्क इंटरफेस के लिए डेटा तत्वों के प्रोटोटाइप पर अधिक विस्तार से ध्यान नहीं देंगे; आइए परिणामों पर आगे बढ़ें।

निगरानी के परिणाम

आरंभ करने के लिए, एक छोटे नेटवर्क की सूची लें:

यदि आप नेटवर्क उपकरणों की प्रत्येक श्रृंखला के लिए टेम्पलेट तैयार करते हैं, तो आप वर्तमान सॉफ़्टवेयर, सीरियल नंबर और सर्वर पर आने वाले क्लीनर की अधिसूचना (कम अपटाइम के कारण) पर सारांश डेटा का एक आसान-से-विश्लेषण लेआउट प्राप्त कर सकते हैं। मेरी टेम्पलेट सूची का एक अंश नीचे है:

और अब - मुख्य निगरानी पैनल, गंभीरता स्तर के अनुसार वितरित ट्रिगर्स के साथ:

नेटवर्क में प्रत्येक डिवाइस मॉडल के लिए टेम्पलेट्स के लिए एक एकीकृत दृष्टिकोण के लिए धन्यवाद, यह सुनिश्चित करना संभव है कि, एक निगरानी प्रणाली के ढांचे के भीतर, दोषों और दुर्घटनाओं की भविष्यवाणी करने के लिए एक उपकरण व्यवस्थित किया जाएगा (यदि उपयुक्त सेंसर और मेट्रिक्स उपलब्ध हैं)। ज़ैबिक्स नेटवर्क, सर्वर और सेवा बुनियादी ढांचे की निगरानी के लिए उपयुक्त है, और नेटवर्क उपकरण बनाए रखने का कार्य इसकी क्षमताओं को स्पष्ट रूप से प्रदर्शित करता है।

उपयोग किए गए स्रोतों की सूची:1. हुकाबी डी. सीसीएनपी रूटिंग और स्विचिंग स्विच 300-115 आधिकारिक प्रमाणपत्र गाइड। सिस्को प्रेस, 2014. पीपी. 325-329.
2. आरएफसी 3410. Tools.ietf.org/html/rfc3410
3. आरएफसी 3415. Tools.ietf.org/html/rfc3415
4. एसएनएमपी कॉन्फ़िगरेशन गाइड, सिस्को आईओएस एक्सई रिलीज 3एसई। अध्याय: एसएनएमपी संस्करण 3. www.cisco.com/c/en/us/td/docs/ios-xml/ios/snmp/configuration/xe-3se/3850/snmp-xe-3se-3850-book/nm-snmp-snmpv3.html

स्रोत: www.habr.com