Zabbix에서 SNMPv3를 통해 네트워크 장비 모니터링

이 글에서는 SNMPv3 프로토콜을 이용한 네트워크 장비 모니터링 기능에 대해 다룹니다. SNMPv3에 대해 살펴보고, Zabbix에서 완전한 템플릿을 만드는 과정을 공유하며, 대규모 네트워크에서 분산 알림을 구성할 때 어떤 이점을 얻을 수 있는지 살펴보겠습니다. SNMP 프로토콜은 네트워크 장비 모니터링에 중요한 역할을 하며, Zabbix는 많은 수의 객체를 모니터링하고 방대한 양의 수신 메트릭을 일반화하는 데 매우 유용합니다.

SNMPv3에 대한 몇 마디

SNMPv3 프로토콜의 목적과 사용 기능부터 살펴보겠습니다. SNMP의 기능은 네트워크 장치를 모니터링하고 간단한 명령(예: 네트워크 인터페이스 활성화 및 비활성화, 장치 재부팅)을 전송하여 기본적인 관리를 수행하는 것입니다.

SNMPv3와 이전 버전 간의 주요 차이점은 다음과 같은 기존 보안 기능[1-3]입니다.

• 인증은 요청이 신뢰할 수 있는 출처에서 수신되었는지 확인하는 것입니다.
• 암호화(Encryption)는 제3자가 전송된 데이터를 가로채더라도 해당 데이터가 공개되는 것을 방지하기 위한 기술입니다.
• 무결성은 패킷이 전송 중에 변조되지 않았음을 보장하는 것입니다.

SNMPv3는 특정 사용자와 해당 사용자가 속한 그룹에 대한 인증 전략이 수립되는 보안 모델을 사용합니다(이전 버전의 SNMP에서는 서버에서 모니터링 객체로 보내는 요청에서 일반 텍스트로 전송된 "비밀번호"가 포함된 문자열인 "커뮤니티"만 비교되었습니다).

SNMPv3는 보안 수준이라는 개념을 도입했습니다. 보안 수준은 모니터링 대상 장비의 구성과 SNMP 에이전트의 동작을 결정하는 허용 가능한 보안 수준입니다. 보안 모델과 보안 수준의 조합은 SNMP 패킷 처리 시 사용되는 보안 메커니즘을 결정합니다[4].

이 표에서는 SNMPv3 모델과 보안 수준의 조합을 설명합니다(처음 세 열은 원본 그대로 두기로 했습니다).

따라서 암호화를 통한 인증 모드에서 SNMPv3를 사용합니다.

SNMPv3 구성

네트워크 장비를 모니터링하려면 모니터링 서버와 모니터링 대상 객체 모두에서 동일한 SNMPv3 프로토콜 설정이 필요합니다.

먼저 Cisco 네트워크 장치를 설정하는 것부터 시작해 보겠습니다. 필요한 최소 구성은 다음과 같습니다(구성에는 CLI를 사용하며, 혼란을 피하기 위해 이름과 비밀번호를 단순화했습니다).

snmp-server group snmpv3group v3 priv read snmpv3name 
snmp-server user snmpv3user snmpv3group v3 auth md5 md5v3v3v3 priv des des56v3v3v3
snmp-server view snmpv3name iso included

첫 번째 줄 snmp-server group – SNMPv3 사용자 그룹(snmpv3group), 읽기 모드(read), 모니터링 객체의 MIB 트리의 특정 분기를 볼 수 있는 snmpv3group 그룹의 액세스 권한을 정의합니다(구성의 후반부에서 snmpv3name은 snmpv3group 그룹이 액세스할 수 있는 MIB 트리의 분기를 지정합니다).

두 번째 줄은 snmp-server user - snmpv3group 그룹에 속하는 사용자 snmpv3user를 정의하고, md5 인증(md5 비밀번호는 md5v3v3v3)과 des 암호화(des 비밀번호는 des56v3v3v3)를 사용하도록 설정합니다. 물론 des 대신 aes를 사용하는 것이 더 좋지만, 여기서는 예시로만 설명합니다. 또한, 사용자를 정의할 때 해당 장치를 모니터링할 권한이 있는 모니터링 서버의 IP 주소를 규제하는 액세스 목록(ACL)을 추가할 수 있습니다. 이 역시 모범 사례이지만, 예시를 복잡하게 설명하지는 않겠습니다.

snmp-server 뷰의 세 번째 줄은 snmpv3group 사용자 그룹이 쿼리할 수 있도록 snmpv3name MIB 트리의 분기를 지정하는 코드 이름을 정의합니다. ISO는 단일 분기를 엄격하게 정의하는 대신, snmpv3group 사용자 그룹이 모니터링 대상 객체의 MIB 트리에 있는 모든 객체에 액세스할 수 있도록 허용합니다.

Huawei 장비에 대한 유사한 설정(CLI에서도 가능)은 다음과 같습니다.

snmp-agent mib-view included snmpv3name iso
snmp-agent group v3 snmpv3group privacy read-view snmpv3name
snmp-agent usm-user v3 snmpv3user group snmpv3group
snmp-agent usm-user v3 snmpv3user authentication-mode md5 
            md5v3v3v3
snmp-agent usm-user v3 snmpv3user privacy-mode des56
            des56v3v3v3

네트워크 장치를 설정한 후에는 SNMPv3 프로토콜을 통해 모니터링 서버에서 접근이 가능한지 확인해야 합니다. 여기서는 snmpwalk를 사용하겠습니다.

snmpwalk -v 3 -u snmpv3user -l authPriv -A md5v3v3v3 -a md5 -x des -X des56v3v3v3 10.10.10.252

MIB 파일을 사용하여 특정 OID 객체를 쿼리하기 위한 보다 시각적인 도구는 snmpget입니다.

이제 Zabbix 템플릿 내에서 SNMPv3의 일반적인 데이터 요소를 구성하는 방법을 살펴보겠습니다. MIB와의 독립성과 편의성을 위해 숫자형 OID를 사용합니다.

템플릿의 모든 데이터 요소에 동일하게 적용되므로 키 필드에 사용자 지정 매크로를 사용합니다. 네트워크의 모든 네트워크 장치에 동일한 SNMPv3 매개변수가 있는 경우 템플릿 내에서, 다른 모니터링 객체의 SNMPv3 매개변수가 다른 경우 네트워크 노드 내에서 설정할 수 있습니다.

모니터링 시스템은 인증 및 암호화를 위해 사용자 이름과 비밀번호만 사용합니다. 사용자 그룹과 접근이 허용되는 MIB 객체의 범위는 모니터링 객체에 지정됩니다.
이제 템플릿을 채우는 단계로 넘어가겠습니다.

Zabbix의 여론조사 템플릿

설문조사 템플릿을 만들 때 가장 간단한 규칙은 가능한 한 자세하게 만드는 것입니다.

저는 인벤토리에 많은 신경을 쓰고 있습니다. 그래야 대규모 네트워크에서 작업하기가 더 수월해질 테니까요. 나중에 더 자세히 설명하겠지만, 지금은 트리거를 예로 들어 보겠습니다.

트리거 시각화의 편의를 위해 트리거 이름에 시스템 매크로 {HOST.CONN}을 포함하여 대시보드의 알림 섹션에 장치 이름뿐만 아니라 IP 주소도 표시합니다. 이는 편의를 위한 조치이지만, 필수 사항보다는 편의를 위한 조치입니다. 장치의 가용성을 확인하기 위해 일반적인 에코 요청 외에도, 객체가 ICMP를 통해 사용 가능하지만 SNMP 요청에 응답하지 않는 경우 SNMP를 통해 노드 가용성 검사를 사용합니다. 이러한 상황은 예를 들어, 잘못 구성된 방화벽이나 모니터링 객체의 잘못된 SNMP 설정으로 인해 여러 장치에서 IP 주소가 중복되는 경우 발생할 수 있습니다. ICMP를 통해서만 노드 가용성 검사를 사용하는 경우, 네트워크에서 사고 조사 시점에 모니터링 데이터가 없을 수 있으므로 해당 데이터 수신을 제어해야 합니다.

네트워크 인터페이스 감지에 대해 알아보겠습니다. 네트워크 장비의 경우, 이는 가장 중요한 모니터링 기능입니다. 네트워크 장비는 수백 개의 인터페이스를 가질 수 있으므로, 시각화와 데이터베이스가 복잡해지지 않도록 불필요한 인터페이스를 필터링하는 것이 중요합니다.

더욱 유연한 필터링을 위해 검색 가능한 매개변수가 많은 표준 SNMP 검색 기능을 사용합니다.

discovery[{#IFDESCR},1.3.6.1.2.1.2.2.1.2,{#IFALIAS},1.3.6.1.2.1.31.1.1.1.18,{#IFADMINSTATUS},1.3.6.1.2.1.2.2.1.7]

이 탐지 기능을 사용하면 네트워크 인터페이스를 유형, 사용자 설명 및 관리 포트 상태별로 필터링할 수 있습니다. 제 경우 필터링에 사용된 필터와 정규 표현식은 다음과 같습니다.

감지되면 다음 인터페이스가 제외됩니다.

• 수동으로 비활성화됨(adminstatus<>1), IFADMINSTATUS 덕분에;
• IFALIAS 덕분에 텍스트 설명이 필요 없습니다.
• IFALIAS 덕분에 텍스트 설명에 * 기호가 추가되었습니다.
• 서비스나 기술적인 문제는 IFDESCR 덕분입니다(제 경우 정규 표현식에서 IFALIAS와 IFDESCR은 하나의 정규 표현식 별칭으로 확인됩니다).

SNMPv3를 통한 데이터 수집 템플릿이 거의 준비되었습니다. 네트워크 인터페이스용 데이터 요소의 프로토타입에 대해서는 더 자세히 다루지 않고, 바로 결과를 살펴보겠습니다.

모니터링 결과

우선, 소규모 네트워크의 목록은 다음과 같습니다.

각 네트워크 장치 시리즈별로 템플릿을 준비하면 현재 소프트웨어, 일련 번호, 그리고 서버실 청소 담당자 도착 알림(가동 시간 부족으로 인한)에 대한 요약 데이터를 분석하는 데 편리한 레이아웃을 구축할 수 있습니다. 제가 작성한 템플릿 목록의 일부는 다음과 같습니다.

이제 중요도 수준에 따라 트리거가 분산된 주요 모니터링 패널이 있습니다.

네트워크 내 각 장치 모델에 대한 템플릿을 통합적으로 관리함으로써, 하나의 모니터링 시스템 내에서 오작동 및 사고 예측 도구를 구축할 수 있습니다(적절한 센서와 지표가 있는 경우). Zabbix는 네트워크, 서버, 서비스 인프라 모니터링에 매우 적합하며, 네트워크 장비 유지보수 작업에서 그 역량을 명확히 보여줍니다.

사용 된 소스 목록 :1. Hucaby D. CCNP 라우팅 및 스위칭 SWITCH 300-115 공식 인증 가이드. Cisco Press, 2014. 325-329쪽.
2. RFC 3410. 도구.ietf.org/html/rfc3410
3. RFC 3415. 도구.ietf.org/html/rfc3415
4. SNMP 구성 가이드, Cisco IOS XE 릴리스 3SE. 장: SNMP 버전 3. www.cisco.com/c/en/us/td/docs/ios-xml/ios/snmp/configuration/xe-3se/3850/snmp-xe-3se-3850-book/nm-snmp-snmpv3.html

출처 : habr.com