ქსელის აღჭურვილობის მონიტორინგი SNMPv3-ის საშუალებით Zabbix-ში

ეს სტატია ეძღვნება SNMPv3 პროტოკოლის გამოყენებით ქსელური აღჭურვილობის მონიტორინგის მახასიათებლებს. ჩვენ ვისაუბრებთ SNMPv3-ზე, მე გაგიზიარებთ გამოცდილებას Zabbix-ში სრულფასოვანი შაბლონების შექმნის საქმეში და გაჩვენებთ, რისი მიღწევაა შესაძლებელი დიდ ქსელში განაწილებული გაფრთხილების ორგანიზებისას. SNMP პროტოკოლი მთავარია ქსელის აღჭურვილობის მონიტორინგის დროს, ხოლო Zabbix შესანიშნავია დიდი რაოდენობით ობიექტების მონიტორინგისთვის და შემომავალი მეტრიკის დიდი მოცულობის შეჯამებისთვის.

რამდენიმე სიტყვა SNMPv3-ის შესახებ

დავიწყოთ SNMPv3 პროტოკოლის დანიშნულებით და მისი გამოყენების მახასიათებლებით. SNMP-ის ამოცანებია ქსელის მოწყობილობების მონიტორინგი და ძირითადი მენეჯმენტი მათთვის მარტივი ბრძანებების გაგზავნით (მაგალითად, ქსელის ინტერფეისების ჩართვა და გამორთვა, ან მოწყობილობის გადატვირთვა).

მთავარი განსხვავება SNMPv3 პროტოკოლსა და მის წინა ვერსიებს შორის არის უსაფრთხოების კლასიკური ფუნქციები [1-3], კერძოდ:

• ავთენტიფიკაცია, რომელიც განსაზღვრავს, რომ მოთხოვნა მიღებულია სანდო წყაროდან;
• დაშიფვრა (Encryption), მესამე მხარის მიერ გადაცემისას გადაცემული მონაცემების გამჟღავნების თავიდან ასაცილებლად;
• მთლიანობა, ანუ გარანტია იმისა, რომ პაკეტი არ დაირღვა გადაცემის დროს.

SNMPv3 გულისხმობს უსაფრთხოების მოდელის გამოყენებას, რომელშიც ავტორიზაციის სტრატეგია დაყენებულია მოცემული მომხმარებლისთვის და იმ ჯგუფისთვის, რომელსაც ის ეკუთვნის (SNMP-ის წინა ვერსიებში სერვერის მოთხოვნა მონიტორინგის ობიექტთან შედარებით მხოლოდ „საზოგადოებას“ ადარებს. სტრიქონი "პაროლით" გადაცემული წმინდა ტექსტით (უბრალო ტექსტი)).

SNMPv3 შემოაქვს უსაფრთხოების დონის კონცეფციას - უსაფრთხოების მისაღები დონეები, რომლებიც განსაზღვრავს აღჭურვილობის კონფიგურაციას და მონიტორინგის ობიექტის SNMP აგენტის ქცევას. უსაფრთხოების მოდელისა და უსაფრთხოების დონის კომბინაცია განსაზღვრავს უსაფრთხოების რომელი მექანიზმი გამოიყენება SNMP პაკეტის დამუშავებისას [4].

ცხრილი აღწერს მოდელების კომბინაციებს და SNMPv3 უსაფრთხოების დონეებს (მე გადავწყვიტე დავტოვო პირველი სამი სვეტი, როგორც ორიგინალში):

შესაბამისად, ჩვენ გამოვიყენებთ SNMPv3 ავთენტიფიკაციის რეჟიმში დაშიფვრის გამოყენებით.

მიმდინარეობს SNMPv3-ის კონფიგურაცია

ქსელის აღჭურვილობის მონიტორინგისთვის საჭიროა SNMPv3 პროტოკოლის იგივე კონფიგურაცია როგორც მონიტორინგის სერვერზე, ასევე მონიტორინგის ობიექტზე.

დავიწყოთ Cisco-ს ქსელური მოწყობილობის დაყენებით, მისი მინიმალური საჭირო კონფიგურაცია შემდეგია (კონფიგურაციისთვის ვიყენებთ CLI-ს, მე გავამარტივე სახელები და პაროლები, რათა თავიდან ავიცილოთ დაბნეულობა):

snmp-server group snmpv3group v3 priv read snmpv3name 
snmp-server user snmpv3user snmpv3group v3 auth md5 md5v3v3v3 priv des des56v3v3v3
snmp-server view snmpv3name iso included

პირველი ხაზის snmp-სერვერის ჯგუფი - განსაზღვრავს SNMPv3 მომხმარებელთა ჯგუფს (snmpv3group), წაკითხვის რეჟიმს (წაკითხვა) და snmpv3group ჯგუფის წვდომის უფლებას მონიტორინგის ობიექტის MIB ხის გარკვეული ტოტების სანახავად (snmpv3name შემდეგ კონფიგურაცია განსაზღვრავს MIB ხის რომელ ტოტებს შეუძლია წვდომა ჯგუფს snmpv3group-ს შეუძლია მიიღოს წვდომა).

მეორე ხაზის snmp-სერვერის მომხმარებელი – განსაზღვრავს მომხმარებლის snmpv3user, მის წევრობას snmpv3group ჯგუფში, ასევე md5 ავტორიზაციის გამოყენებას (md5-ის პაროლი არის md5v3v3v3) და des encryption (პაროლი des-ისთვის არის des56v3v3v3). რა თქმა უნდა, ჯობია des-ის ნაცვლად aes გამოვიყენოთ; მე ამას მხოლოდ მაგალითის სახით ვაძლევ აქ. ასევე, მომხმარებლის განსაზღვრისას, შეგიძლიათ დაამატოთ წვდომის სია (ACL), რომელიც არეგულირებს მონიტორინგის სერვერების IP მისამართებს, რომლებსაც აქვთ ამ მოწყობილობის მონიტორინგის უფლება - ეს ასევე საუკეთესო პრაქტიკაა, მაგრამ მე არ გავართულებ ჩვენს მაგალითს.

მესამე ხაზის snmp-სერვერის ხედი განსაზღვრავს კოდურ სახელს, რომელიც განსაზღვრავს snmpv3name MIB ხის ტოტებს, რათა მათი მოთხოვნილება იყოს snmpv3group მომხმარებელთა ჯგუფის მიერ. ISO, იმის ნაცვლად, რომ მკაცრად განსაზღვროს ერთი ფილიალი, საშუალებას აძლევს snmpv3group მომხმარებელთა ჯგუფს წვდომა ჰქონდეს მონიტორინგის ობიექტის MIB ხის ყველა ობიექტზე.

Huawei-ს აღჭურვილობის მსგავსი დაყენება (ასევე CLI-ში) ასე გამოიყურება:

snmp-agent mib-view included snmpv3name iso
snmp-agent group v3 snmpv3group privacy read-view snmpv3name
snmp-agent usm-user v3 snmpv3user group snmpv3group
snmp-agent usm-user v3 snmpv3user authentication-mode md5 
            md5v3v3v3
snmp-agent usm-user v3 snmpv3user privacy-mode des56
            des56v3v3v3

ქსელური მოწყობილობების დაყენების შემდეგ, თქვენ უნდა შეამოწმოთ წვდომა მონიტორინგის სერვერიდან SNMPv3 პროტოკოლის საშუალებით, მე გამოვიყენებ snmpwalk-ს:

snmpwalk -v 3 -u snmpv3user -l authPriv -A md5v3v3v3 -a md5 -x des -X des56v3v3v3 10.10.10.252

უფრო ვიზუალური ინსტრუმენტი კონკრეტული OID ობიექტების მოთხოვნისთვის MIB ფაილების გამოყენებით არის snmpget:

ახლა მოდით გადავიდეთ SNMPv3-ისთვის ტიპიური მონაცემთა ელემენტის დაყენებაზე, Zabbix შაბლონში. სიმარტივისა და MIB დამოუკიდებლობისთვის, მე ვიყენებ ციფრულ OID-ებს:

მე ვიყენებ მორგებულ მაკროებს საკვანძო ველებში, რადგან ისინი ერთნაირი იქნება შაბლონის ყველა მონაცემთა ელემენტისთვის. თქვენ შეგიძლიათ დააყენოთ ისინი შაბლონში, თუ თქვენს ქსელში არსებულ ყველა ქსელურ მოწყობილობას აქვს იგივე SNMPv3 პარამეტრები, ან ქსელის კვანძში, თუ SNMPv3 პარამეტრები სხვადასხვა მონიტორინგის ობიექტებისთვის განსხვავებულია:

გთხოვთ გაითვალისწინოთ, რომ მონიტორინგის სისტემას აქვს მხოლოდ მომხმარებლის სახელი და პაროლები ავთენტიფიკაციისა და დაშიფვრისთვის. მომხმარებლის ჯგუფი და MIB ობიექტების ფარგლები, რომლებზეც დაშვებულია წვდომა, მითითებულია მონიტორინგის ობიექტზე.
ახლა მოდით გადავიდეთ შაბლონის შევსებაზე.

Zabbix გამოკითხვის შაბლონი

ნებისმიერი გამოკითხვის შაბლონების შექმნისას მარტივი წესია მათი რაც შეიძლება დეტალური გახდომა:

დიდ ყურადღებას ვაქცევ ინვენტარს, რათა გაადვილდეს დიდ ქსელთან მუშაობა. ამის შესახებ ცოტა მოგვიანებით, მაგრამ ახლა - გამომწვევები:

ტრიგერების ვიზუალიზაციის გასაადვილებლად, სისტემის მაკროები {HOST.CONN} ჩართულია მათ სახელებში, რათა არა მხოლოდ მოწყობილობების სახელები, არამედ IP მისამართები იყოს ნაჩვენები დაფაზე გაფრთხილების განყოფილებაში, თუმცა ეს უფრო მოხერხებულობის საკითხია, ვიდრე აუცილებლობის საკითხი. . იმის დასადგენად, არის თუ არა მოწყობილობა მიუწვდომელი, გარდა ჩვეულებრივი ექო მოთხოვნისა, მე ვიყენებ შემოწმებას ჰოსტის მიუწვდომლობისთვის SNMP პროტოკოლის გამოყენებით, როდესაც ობიექტი ხელმისაწვდომია ICMP-ით, მაგრამ არ პასუხობს SNMP მოთხოვნებს - ეს შესაძლებელია, მაგალითად. , როდესაც IP მისამართები დუბლირებულია სხვადასხვა მოწყობილობებზე, არასწორად კონფიგურირებული ფაირვოლების ან მონიტორინგის ობიექტების არასწორი SNMP პარამეტრების გამო. თუ თქვენ იყენებთ ჰოსტის ხელმისაწვდომობის შემოწმებას მხოლოდ ICMP-ის საშუალებით, ქსელში ინციდენტების გამოძიების დროს, მონიტორინგის მონაცემები შეიძლება არ იყოს ხელმისაწვდომი, ამიტომ მათი მიღება უნდა იყოს მონიტორინგი.

მოდით გადავიდეთ ქსელის ინტერფეისების გამოვლენაზე - ქსელური აღჭურვილობისთვის ეს არის მონიტორინგის ყველაზე მნიშვნელოვანი ფუნქცია. იმის გამო, რომ ქსელურ მოწყობილობაზე შეიძლება იყოს ასობით ინტერფეისი, აუცილებელია არასაჭიროების გაფილტვრა, რათა არ მოხდეს ვიზუალიზაციის დაბინძურება ან მონაცემთა ბაზა.

მე ვიყენებ სტანდარტულ SNMP აღმოჩენის ფუნქციას, უფრო აღმოჩენილი პარამეტრებით, უფრო მოქნილი ფილტრაციისთვის:

discovery[{#IFDESCR},1.3.6.1.2.1.2.2.1.2,{#IFALIAS},1.3.6.1.2.1.31.1.1.1.18,{#IFADMINSTATUS},1.3.6.1.2.1.2.2.1.7]

ამ აღმოჩენით, თქვენ შეგიძლიათ გაფილტროთ ქსელის ინტერფეისები მათი ტიპების, მორგებული აღწერილობებისა და ადმინისტრაციული პორტის სტატუსის მიხედვით. ფილტრები და რეგულარული გამონათქვამები ფილტრაციისთვის ჩემს შემთხვევაში ასე გამოიყურება:

აღმოჩენის შემთხვევაში, შემდეგი ინტერფეისები გამოირიცხება:

• ხელით გამორთულია (adminstatus<>1), IFADMINSTATUS-ის წყალობით;
• ტექსტის აღწერილობის გარეშე, მადლობა IFALIAS-ს;
• ტექსტის აღწერილობაში სიმბოლო *, IFALIAS-ის წყალობით;
• რომ არის სერვისული ან ტექნიკური, IFDESCR-ის წყალობით (ჩემს შემთხვევაში, რეგულარულ გამონათქვამებში IFALIAS და IFDESCR მოწმდება ერთი რეგულარული გამოხატვის მეტსახელით).

SNMPv3 პროტოკოლის გამოყენებით მონაცემების შეგროვების შაბლონი თითქმის მზად არის. ჩვენ უფრო დეტალურად არ ვისაუბრებთ მონაცემთა ელემენტების პროტოტიპებზე ქსელის ინტერფეისებისთვის; მოდით გადავიდეთ შედეგებზე.

მონიტორინგის შედეგები

დასაწყისისთვის, აიღეთ მცირე ქსელის ინვენტარიზაცია:

თუ თქვენ მოამზადებთ შაბლონებს ქსელური მოწყობილობების თითოეული სერიისთვის, შეგიძლიათ მიაღწიოთ შემაჯამებელი მონაცემების ადვილად გასაანალიზებელ განლაგებას მიმდინარე პროგრამულ უზრუნველყოფაზე, სერიულ ნომრებზე და სერვერზე მოსვლის შესახებ გამწმენდის შეტყობინებაზე (დაბალი Uptime-ის გამო). ჩემი შაბლონების სიის ამონარიდია ქვემოთ:

ახლა კი - მთავარი მონიტორინგის პანელი, ტრიგერები, რომლებიც განაწილებულია სიმძიმის დონის მიხედვით:

ქსელში თითოეული მოწყობილობის მოდელისთვის შაბლონებთან ინტეგრირებული მიდგომის წყალობით, შესაძლებელია იმის უზრუნველყოფა, რომ ერთი მონიტორინგის სისტემის ფარგლებში ორგანიზებული იქნება ხარვეზებისა და ავარიების პროგნოზირების ინსტრუმენტი (თუ შესაბამისი სენსორები და მეტრიკა არსებობს). Zabbix კარგად არის მორგებული ქსელის, სერვერისა და სერვისის ინფრასტრუქტურის მონიტორინგისთვის და ქსელური აღჭურვილობის შენარჩუნების ამოცანა ნათლად აჩვენებს მის შესაძლებლობებს.

გამოყენებული წყაროების სია:1. Hucaby D. CCNP Routing and Switching SWITCH 300-115 Official Cert Guide. Cisco Press, 2014. გვ. 325-329 წწ.
2. RFC 3410. tools.ietf.org/html/rfc3410
3. RFC 3415. tools.ietf.org/html/rfc3415
4. SNMP კონფიგურაციის სახელმძღვანელო, Cisco IOS XE Release 3SE. თავი: SNMP ვერსია 3. www.cisco.com/c/en/us/td/docs/ios-xml/ios/snmp/configuration/xe-3se/3850/snmp-xe-3se-3850-book/nm-snmp-snmpv3.html

წყარო: www.habr.com