ការត្រួតពិនិត្យឧបករណ៍បណ្តាញតាមរយៈ SNMPv3 នៅក្នុង Zabbix

អត្ថបទនេះត្រូវបានឧទ្ទិសដល់លក្ខណៈពិសេសនៃការត្រួតពិនិត្យឧបករណ៍បណ្តាញដោយប្រើពិធីការ SNMPv3 ។ យើងនឹងនិយាយអំពី SNMPv3 ខ្ញុំនឹងចែករំលែកបទពិសោធន៍របស់ខ្ញុំក្នុងការបង្កើតគំរូពេញលេញនៅក្នុង Zabbix ហើយខ្ញុំនឹងបង្ហាញពីអ្វីដែលអាចសម្រេចបាននៅពេលរៀបចំការជូនដំណឹងចែកចាយនៅក្នុងបណ្តាញដ៏ធំមួយ។ ពិធីការ SNMP គឺជាកត្តាសំខាន់នៅពេលត្រួតពិនិត្យឧបករណ៍បណ្តាញ ហើយ Zabbix គឺល្អសម្រាប់ត្រួតពិនិត្យវត្ថុមួយចំនួនធំ និងសង្ខេបបរិមាណដ៏ធំនៃម៉ែត្រចូល។

ពាក្យពីរបីអំពី SNMPv3

ចូរចាប់ផ្តើមជាមួយនឹងគោលបំណងនៃពិធីការ SNMPv3 និងលក្ខណៈពិសេសនៃការប្រើប្រាស់របស់វា។ ភារកិច្ចរបស់ SNMP គឺត្រួតពិនិត្យឧបករណ៍បណ្តាញ និងការគ្រប់គ្រងមូលដ្ឋានដោយផ្ញើពាក្យបញ្ជាសាមញ្ញទៅពួកគេ (ឧទាហរណ៍ បើក និងបិទចំណុចប្រទាក់បណ្តាញ ឬបិទដំណើរការឧបករណ៍ឡើងវិញ)។

ភាពខុសគ្នាសំខាន់រវាងពិធីការ SNMPv3 និងកំណែមុនរបស់វាគឺជាមុខងារសុវត្ថិភាពបុរាណ [1-3] ពោលគឺ៖

• ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ ដែលកំណត់ថាសំណើត្រូវបានទទួលពីប្រភពដែលគួរឱ្យទុកចិត្ត។
• ការអ៊ិនគ្រីប (អ៊ិនគ្រីប) ដើម្បីការពារការបង្ហាញទិន្នន័យដែលបានបញ្ជូននៅពេលដែលស្ទាក់ចាប់ដោយភាគីទីបី។
• ភាពសុចរិត នោះគឺជាការធានាថា កញ្ចប់ព័ត៌មានមិនត្រូវបានរំខានក្នុងអំឡុងពេលបញ្ជូន។

SNMPv3 បង្កប់ន័យការប្រើប្រាស់គំរូសុវត្ថិភាពដែលយុទ្ធសាស្រ្តផ្ទៀងផ្ទាត់ត្រូវបានកំណត់សម្រាប់អ្នកប្រើប្រាស់ដែលបានផ្តល់ឱ្យ និងក្រុមដែលគាត់ជាកម្មសិទ្ធិ (នៅក្នុងកំណែមុនរបស់ SNMP សំណើពីម៉ាស៊ីនមេទៅវត្ថុត្រួតពិនិត្យប្រៀបធៀបតែ "សហគមន៍" ដែលជាអត្ថបទ ខ្សែអក្សរដែលមាន "ពាក្យសម្ងាត់" ត្រូវបានបញ្ជូនជាអត្ថបទច្បាស់លាស់ (អត្ថបទធម្មតា)) ។

SNMPv3 ណែនាំគោលគំនិតនៃកម្រិតសុវត្ថិភាព - កម្រិតសុវត្ថិភាពដែលអាចទទួលយកបាន ដែលកំណត់ការកំណត់រចនាសម្ព័ន្ធឧបករណ៍ និងអាកប្បកិរិយារបស់ភ្នាក់ងារ SNMP នៃវត្ថុត្រួតពិនិត្យ។ ការរួមបញ្ចូលគ្នានៃគំរូសុវត្ថិភាព និងកម្រិតសុវត្ថិភាពកំណត់ថាយន្តការសុវត្ថិភាពណាមួយត្រូវបានប្រើប្រាស់នៅពេលដំណើរការកញ្ចប់ព័ត៌មាន SNMP [4] ។

តារាងពិពណ៌នាអំពីបន្សំនៃម៉ូដែល និងកម្រិតសុវត្ថិភាព SNMPv3 (ខ្ញុំបានសម្រេចចិត្តចាកចេញពីជួរទាំងបីដំបូងដូចនៅក្នុងដើម):

ដូច្នោះហើយ យើងនឹងប្រើ SNMPv3 នៅក្នុងរបៀបផ្ទៀងផ្ទាត់ដោយប្រើការអ៊ិនគ្រីប។

ការកំណត់រចនាសម្ព័ន្ធ SNMPv3

ការត្រួតពិនិត្យឧបករណ៍បណ្តាញតម្រូវឱ្យមានការកំណត់រចនាសម្ព័ន្ធដូចគ្នានៃពិធីការ SNMPv3 ទាំងនៅលើម៉ាស៊ីនមេត្រួតពិនិត្យ និងវត្ថុដែលបានត្រួតពិនិត្យ។

ចូរចាប់ផ្តើមជាមួយនឹងការដំឡើងឧបករណ៍បណ្តាញ Cisco ការកំណត់រចនាសម្ព័ន្ធដែលត្រូវការអប្បបរមារបស់វាមានដូចខាងក្រោម (សម្រាប់ការកំណត់យើងប្រើ CLI ខ្ញុំបានសម្រួលឈ្មោះ និងពាក្យសម្ងាត់ដើម្បីជៀសវាងការភាន់ច្រឡំ)៖

snmp-server group snmpv3group v3 priv read snmpv3name 
snmp-server user snmpv3user snmpv3group v3 auth md5 md5v3v3v3 priv des des56v3v3v3
snmp-server view snmpv3name iso included

បន្ទាត់ទីមួយ snmp-server group - កំណត់ក្រុមអ្នកប្រើប្រាស់ SNMPv3 (snmpv3group) របៀបអាន (អាន) និងសិទ្ធិចូលប្រើរបស់ក្រុម snmpv3group ដើម្បីមើលសាខាមួយចំនួននៃមែកធាង MIB នៃវត្ថុត្រួតពិនិត្យ (snmpv3name បន្ទាប់មកនៅក្នុង ការកំណត់រចនាសម្ព័ន្ធបញ្ជាក់ថាតើមែកធាង MIB ណាដែលក្រុមអាចចូលប្រើ snmpv3group នឹងអាចចូលប្រើបាន)។

បន្ទាត់ទីពីរ snmp-server user – កំណត់អ្នកប្រើប្រាស់ snmpv3user សមាជិកភាពរបស់គាត់នៅក្នុងក្រុម snmpv3group ក៏ដូចជាការប្រើប្រាស់ md5 authentication (password for md5 is md5v3v3v3) និង des encryption (password for des is des56v3v3v3)។ ជាការពិតណាស់ វាជាការប្រសើរក្នុងការប្រើ aes ជំនួសឱ្យ des; ខ្ញុំកំពុងផ្តល់ឱ្យវានៅទីនេះគ្រាន់តែជាឧទាហរណ៍មួយ។ ដូចគ្នានេះផងដែរនៅពេលកំណត់អ្នកប្រើប្រាស់ អ្នកអាចបន្ថែមបញ្ជីចូលដំណើរការ (ACL) ដែលគ្រប់គ្រងអាសយដ្ឋាន IP នៃម៉ាស៊ីនមេត្រួតពិនិត្យដែលមានសិទ្ធិត្រួតពិនិត្យឧបករណ៍នេះ - នេះក៏ជាការអនុវត្តល្អបំផុតផងដែរ ប៉ុន្តែខ្ញុំនឹងមិនធ្វើឱ្យឧទាហរណ៍របស់យើងស្មុគស្មាញនោះទេ។

បន្ទាត់ទីបី snmp-server view កំណត់ឈ្មោះកូដដែលបញ្ជាក់សាខានៃមែកធាង snmpv3name MIB ដូច្នេះពួកគេអាចសួរដោយក្រុមអ្នកប្រើប្រាស់ snmpv3group ។ ISO ជំនួសឱ្យការកំណត់យ៉ាងតឹងរឹងនូវសាខាតែមួយ អនុញ្ញាតឱ្យក្រុមអ្នកប្រើប្រាស់ snmpv3group ចូលប្រើវត្ថុទាំងអស់នៅក្នុងមែកធាង MIB នៃវត្ថុត្រួតពិនិត្យ។

ការដំឡើងស្រដៀងគ្នាសម្រាប់ឧបករណ៍ Huawei (ក៏មាននៅក្នុង CLI) មើលទៅដូចនេះ៖

snmp-agent mib-view included snmpv3name iso
snmp-agent group v3 snmpv3group privacy read-view snmpv3name
snmp-agent usm-user v3 snmpv3user group snmpv3group
snmp-agent usm-user v3 snmpv3user authentication-mode md5 
            md5v3v3v3
snmp-agent usm-user v3 snmpv3user privacy-mode des56
            des56v3v3v3

បន្ទាប់ពីដំឡើងឧបករណ៍បណ្តាញ អ្នកត្រូវពិនិត្យមើលការចូលប្រើពីម៉ាស៊ីនមេត្រួតពិនិត្យតាមរយៈពិធីការ SNMPv3 ខ្ញុំនឹងប្រើ snmpwalk៖

snmpwalk -v 3 -u snmpv3user -l authPriv -A md5v3v3v3 -a md5 -x des -X des56v3v3v3 10.10.10.252

ឧបករណ៍ដែលមើលឃើញបន្ថែមទៀតសម្រាប់ការស្នើសុំវត្ថុ OID ជាក់លាក់ដោយប្រើឯកសារ MIB គឺ snmpget៖

ឥឡូវនេះ ចូរបន្តទៅការរៀបចំធាតុទិន្នន័យធម្មតាសម្រាប់ SNMPv3 នៅក្នុងគំរូ Zabbix ។ សម្រាប់ភាពសាមញ្ញ និងឯករាជ្យរបស់ MIB ខ្ញុំប្រើ OIDs ឌីជីថល៖

ខ្ញុំប្រើម៉ាក្រូផ្ទាល់ខ្លួននៅក្នុងវាលគន្លឹះ ព្រោះវានឹងដូចគ្នាសម្រាប់ធាតុទិន្នន័យទាំងអស់នៅក្នុងគំរូ។ អ្នកអាចកំណត់ពួកវានៅក្នុងគំរូ ប្រសិនបើឧបករណ៍បណ្តាញទាំងអស់នៅក្នុងបណ្តាញរបស់អ្នកមានប៉ារ៉ាម៉ែត្រ SNMPv3 ដូចគ្នា ឬនៅក្នុងថ្នាំងបណ្តាញ ប្រសិនបើប៉ារ៉ាម៉ែត្រ SNMPv3 សម្រាប់វត្ថុត្រួតពិនិត្យផ្សេងគ្នាគឺខុសគ្នា៖

សូមចំណាំថាប្រព័ន្ធត្រួតពិនិត្យមានតែឈ្មោះអ្នកប្រើប្រាស់ និងពាក្យសម្ងាត់សម្រាប់ការផ្ទៀងផ្ទាត់ និងការអ៊ិនគ្រីបប៉ុណ្ណោះ។ ក្រុមអ្នកប្រើប្រាស់ និងវិសាលភាពនៃវត្ថុ MIB ដែលត្រូវបានអនុញ្ញាតត្រូវបានបញ្ជាក់នៅលើវត្ថុត្រួតពិនិត្យ។
ឥឡូវនេះសូមបន្តទៅការបំពេញគំរូ។

គំរូនៃការស្ទង់មតិ Zabbix

ច្បាប់សាមញ្ញមួយនៅពេលបង្កើតគំរូស្ទង់មតិគឺធ្វើឱ្យពួកវាលម្អិតតាមដែលអាចធ្វើទៅបាន៖

ខ្ញុំយកចិត្តទុកដាក់យ៉ាងខ្លាំងចំពោះសារពើភ័ណ្ឌដើម្បីធ្វើឱ្យវាកាន់តែងាយស្រួលក្នុងការធ្វើការជាមួយបណ្តាញធំ។ បន្ថែមទៀតអំពីរឿងនេះបន្តិចក្រោយមក ប៉ុន្តែសម្រាប់ពេលនេះ – កេះ៖

ដើម្បីភាពងាយស្រួលក្នុងការមើលឃើញនៃកេះ ប្រព័ន្ធម៉ាក្រូ {HOST.CONN} ត្រូវបានដាក់បញ្ចូលក្នុងឈ្មោះរបស់ពួកគេ ដូច្នេះមិនត្រឹមតែឈ្មោះឧបករណ៍ប៉ុណ្ណោះទេ ថែមទាំងអាសយដ្ឋាន IP ត្រូវបានបង្ហាញនៅលើផ្ទាំងគ្រប់គ្រងនៅក្នុងផ្នែកជូនដំណឹង បើទោះបីជានេះជាបញ្ហាងាយស្រួលជាងការចាំបាច់ក៏ដោយ។ . ដើម្បីកំណត់ថាតើឧបករណ៍មួយមិនអាចប្រើបានទេ បន្ថែមពីលើការស្នើសុំអេកូធម្មតា ខ្ញុំប្រើការពិនិត្យមើលភាពមិនអាចប្រើបានរបស់ម៉ាស៊ីនដោយប្រើពិធីការ SNMP នៅពេលដែលវត្ថុអាចចូលប្រើបានតាមរយៈ ICMP ប៉ុន្តែមិនឆ្លើយតបនឹងសំណើ SNMP - ស្ថានភាពនេះគឺអាចធ្វើទៅបានឧទាហរណ៍ នៅពេលដែលអាសយដ្ឋាន IP ត្រូវបានចម្លងនៅលើឧបករណ៍ផ្សេងៗ ដោយសារជញ្ជាំងភ្លើងដែលបានកំណត់រចនាសម្ព័ន្ធមិនត្រឹមត្រូវ ឬការកំណត់ SNMP មិនត្រឹមត្រូវលើវត្ថុត្រួតពិនិត្យ។ ប្រសិនបើអ្នកប្រើការត្រួតពិនិត្យភាពអាចរកបានរបស់ម៉ាស៊ីនតាមរយៈ ICMP ប៉ុណ្ណោះ នៅពេលស៊ើបអង្កេតឧប្បត្តិហេតុនៅលើបណ្តាញ ទិន្នន័យត្រួតពិនិត្យប្រហែលជាមិនមានទេ ដូច្នេះបង្កាន់ដៃរបស់ពួកគេត្រូវតែត្រួតពិនិត្យ។

ចូរបន្តទៅការរកឃើញចំណុចប្រទាក់បណ្តាញ - សម្រាប់ឧបករណ៍បណ្តាញ នេះគឺជាមុខងារត្រួតពិនិត្យដ៏សំខាន់បំផុត។ ដោយសារវាអាចមានចំណុចប្រទាក់រាប់រយនៅលើឧបករណ៍បណ្តាញ វាចាំបាច់ក្នុងការត្រងអ្វីដែលមិនចាំបាច់ ដើម្បីកុំឱ្យពង្រាយការមើលឃើញ ឬពង្រាយមូលដ្ឋានទិន្នន័យ។

ខ្ញុំកំពុងប្រើមុខងារស្វែងរក SNMP ស្តង់ដារ ជាមួយនឹងប៉ារ៉ាម៉ែត្រដែលអាចរកឃើញបន្ថែមទៀត សម្រាប់ការត្រងដែលអាចបត់បែនបានកាន់តែច្រើន៖

discovery[{#IFDESCR},1.3.6.1.2.1.2.2.1.2,{#IFALIAS},1.3.6.1.2.1.31.1.1.1.18,{#IFADMINSTATUS},1.3.6.1.2.1.2.2.1.7]

ជាមួយនឹងការរកឃើញនេះ អ្នកអាចត្រងចំណុចប្រទាក់បណ្តាញតាមប្រភេទរបស់ពួកគេ ការពិពណ៌នាផ្ទាល់ខ្លួន និងស្ថានភាពច្រករដ្ឋបាល។ តម្រង និងកន្សោមធម្មតាសម្រាប់ត្រងនៅក្នុងករណីរបស់ខ្ញុំមើលទៅដូចនេះ៖

ប្រសិនបើរកឃើញ ចំណុចប្រទាក់ខាងក្រោមនឹងត្រូវបានដកចេញ៖

• បានបិទដោយដៃ (adminstatus<>1) សូមអរគុណដល់ IFADMINSTATUS;
• ដោយគ្មានការពិពណ៌នាអត្ថបទ សូមអរគុណដល់ IFALIAS;
• មាននិមិត្តសញ្ញា * នៅក្នុងការពិពណ៌នាអត្ថបទ សូមអរគុណដល់ IFALIAS;
• នោះគឺជាសេវាកម្ម ឬបច្ចេកទេស សូមអរគុណដល់ IFDESCR (ក្នុងករណីរបស់ខ្ញុំ ក្នុងកន្សោមធម្មតា IFALIAS និង IFDESCR ត្រូវបានពិនិត្យដោយឈ្មោះក្លែងក្លាយនៃកន្សោមធម្មតាមួយ)។

គំរូសម្រាប់ការប្រមូលទិន្នន័យដោយប្រើពិធីការ SNMPv3 ជិតរួចរាល់ហើយ។ យើងនឹងមិនរស់នៅលម្អិតបន្ថែមទៀតលើគំរូនៃធាតុទិន្នន័យសម្រាប់ចំណុចប្រទាក់បណ្តាញទេ សូមបន្តទៅលទ្ធផល។

លទ្ធផលនៃការត្រួតពិនិត្យ

ដើម្បីចាប់ផ្តើមជាមួយ យកសារពើភ័ណ្ឌនៃបណ្តាញតូចមួយ៖

ប្រសិនបើអ្នករៀបចំគំរូសម្រាប់ស៊េរីឧបករណ៍បណ្តាញនីមួយៗ អ្នកអាចសម្រេចបាននូវប្លង់ងាយស្រួលក្នុងការវិភាគនៃទិន្នន័យសង្ខេបនៅលើកម្មវិធីបច្ចុប្បន្ន លេខសៀរៀល និងការជូនដំណឹងអំពីអ្នកសម្អាតដែលចូលមកម៉ាស៊ីនមេ (ដោយសារម៉ោងធ្វើការទាប)។ ការដកស្រង់នៃបញ្ជីគំរូរបស់ខ្ញុំមានដូចខាងក្រោម៖

ហើយឥឡូវនេះ - បន្ទះត្រួតពិនិត្យចម្បង ជាមួយនឹងកេះដែលចែកចាយតាមកម្រិតនៃភាពធ្ងន់ធ្ងរ៖

សូមអរគុណចំពោះវិធីសាស្រ្តរួមបញ្ចូលគ្នាចំពោះគំរូសម្រាប់ម៉ូដែលឧបករណ៍នីមួយៗនៅក្នុងបណ្តាញ វាអាចធ្វើទៅបានដើម្បីធានាថានៅក្នុងក្របខ័ណ្ឌនៃប្រព័ន្ធត្រួតពិនិត្យមួយ ឧបករណ៍សម្រាប់ទស្សន៍ទាយកំហុស និងគ្រោះថ្នាក់នឹងត្រូវបានរៀបចំ (ប្រសិនបើមានឧបករណ៍ចាប់សញ្ញា និងម៉ែត្រសមស្រប)។ Zabbix គឺ​ស័ក្តិសម​ល្អ​សម្រាប់​ការ​ត្រួតពិនិត្យ​បណ្តាញ​ម៉ាស៊ីនមេ និង​ហេដ្ឋារចនាសម្ព័ន្ធ​សេវាកម្ម ហើយ​ភារកិច្ច​នៃ​ការ​ថែទាំ​ឧបករណ៍​បណ្តាញ​បង្ហាញ​យ៉ាង​ច្បាស់​ពី​សមត្ថភាព​របស់វា។

បញ្ជីប្រភពដែលបានប្រើ៖1. Hucaby D. CCNP Routing and Switching SWITCH 300-115 ការណែនាំអំពីវិញ្ញាបនបត្រផ្លូវការ។ Cisco Press, 2014. pp. ៣២៥-៣២៩។
2. RFC 3410 ។ tools.ietf.org/html/rfc3410
3. RFC 3415 ។ tools.ietf.org/html/rfc3415
4. ការណែនាំអំពីការកំណត់រចនាសម្ព័ន្ធ SNMP, Cisco IOS XE Release 3SE ។ ជំពូក៖ SNMP កំណែ ៣. www.cisco.com/c/en/us/td/docs/ios-xml/ios/snmp/configuration/xe-3se/3850/snmp-xe-3se-3850-book/nm-snmp-snmpv3.html

ប្រភព: www.habr.com