Zabbix에서 SNMPv3를 통해 네트워크 장비 모니터링

이 기사에서는 SNMPv3 프로토콜을 사용하여 네트워크 장비를 모니터링하는 기능에 대해 다룹니다. SNMPv3에 대해 이야기하고, Zabbix에서 본격적인 템플릿을 만든 경험을 공유하고, 대규모 네트워크에서 분산 경고를 구성할 때 무엇을 얻을 수 있는지 보여 드리겠습니다. SNMP 프로토콜은 네트워크 장비를 모니터링할 때 가장 중요한 프로토콜이며 Zabbix는 많은 수의 개체를 모니터링하고 대량의 들어오는 메트릭을 요약하는 데 적합합니다.

SNMPv3에 대한 몇 마디

SNMPv3 프로토콜의 목적과 그 사용 기능부터 시작하겠습니다. SNMP의 작업은 간단한 명령(예: 네트워크 인터페이스 활성화 및 비활성화, 장치 재부팅)을 전송하여 네트워크 장치 및 기본 관리를 모니터링하는 것입니다.

SNMPv3 프로토콜과 이전 버전 간의 주요 차이점은 다음과 같은 고전적인 보안 기능[1-3]입니다.

• 요청이 신뢰할 수 있는 소스로부터 수신되었는지 확인하는 인증
• 제XNUMX자가 가로챌 때 전송된 데이터가 공개되는 것을 방지하기 위한 암호화(암호화)
• 무결성, 즉 전송 중에 패킷이 변조되지 않았음을 보장합니다.

SNMPv3은 특정 사용자와 그가 속한 그룹에 대해 인증 전략이 설정되는 보안 모델의 사용을 의미합니다(이전 버전의 SNMP에서는 서버에서 모니터링 개체에 대한 요청이 "커뮤니티", 텍스트만 비교됨). 일반 텍스트(일반 텍스트)로 전송되는 "비밀번호"가 포함된 문자열).

SNMPv3에는 보안 수준 개념이 도입되었습니다. 이는 장비 구성과 모니터링 개체의 SNMP 에이전트 동작을 결정하는 허용 가능한 보안 수준입니다. 보안 모델과 보안 수준의 조합에 따라 SNMP 패킷을 처리할 때 어떤 보안 메커니즘이 사용되는지가 결정됩니다[4].

표에서는 모델과 SNMPv3 보안 수준의 조합을 설명합니다(처음 세 열은 원본과 동일하게 유지하기로 결정함).

따라서 암호화를 이용한 인증 모드에서는 SNMPv3를 사용하겠습니다.

SNMPv3 구성

네트워크 장비를 모니터링하려면 모니터링 서버와 모니터링 대상 개체 모두에서 동일한 SNMPv3 프로토콜 구성이 필요합니다.

Cisco 네트워크 장치 설정부터 시작하겠습니다. 최소 필수 구성은 다음과 같습니다(CLI를 사용하는 구성의 경우 혼동을 피하기 위해 이름과 비밀번호를 단순화했습니다).

snmp-server group snmpv3group v3 priv read snmpv3name 
snmp-server user snmpv3user snmpv3group v3 auth md5 md5v3v3v3 priv des des56v3v3v3
snmp-server view snmpv3name iso included

첫 번째 줄 snmp-server group – SNMPv3 사용자 그룹(snmpv3group), 읽기 모드(read) 및 모니터링 개체(snmpv3name, 다음에서 구성은 그룹이 snmpv3group에 액세스할 수 있는 MIB 트리 분기를 지정합니다.

두 번째 줄 snmp-server user – 사용자 snmpv3user, snmpv3group 그룹의 멤버십, md5 인증(md5의 비밀번호는 md5v3v3v3) 및 des 암호화(des의 비밀번호는 des56v3v3v3) 사용을 정의합니다. 물론 des 대신 aes를 사용하는 것이 더 좋지만 여기서는 예시로 제시하겠습니다. 또한 사용자를 정의할 때 이 장치를 모니터링할 권한이 있는 모니터링 서버의 IP 주소를 규제하는 액세스 목록(ACL)을 추가할 수 있습니다. 이는 모범 사례이기도 하지만 예제를 복잡하게 만들지는 않겠습니다.

세 번째 줄 snmp-server 보기는 snmpv3group 사용자 그룹이 쿼리할 수 있도록 snmpv3name MIB 트리의 분기를 지정하는 코드 이름을 정의합니다. ISO는 단일 분기를 엄격하게 정의하는 대신 snmpv3group 사용자 그룹이 모니터링 개체의 MIB 트리에 있는 모든 개체에 액세스할 수 있도록 허용합니다.

Huawei 장비에 대한 유사한 설정(CLI에도 있음)은 다음과 같습니다.

snmp-agent mib-view included snmpv3name iso
snmp-agent group v3 snmpv3group privacy read-view snmpv3name
snmp-agent usm-user v3 snmpv3user group snmpv3group
snmp-agent usm-user v3 snmpv3user authentication-mode md5 
            md5v3v3v3
snmp-agent usm-user v3 snmpv3user privacy-mode des56
            des56v3v3v3

네트워크 장치를 설정한 후 SNMPv3 프로토콜을 통해 모니터링 서버의 액세스를 확인해야 합니다. 저는 snmpwalk를 사용하겠습니다.

snmpwalk -v 3 -u snmpv3user -l authPriv -A md5v3v3v3 -a md5 -x des -X des56v3v3v3 10.10.10.252

MIB 파일을 사용하여 특정 OID 개체를 요청하기 위한 보다 시각적인 도구는 snmpget입니다.

이제 Zabbix 템플릿 내에서 SNMPv3에 대한 일반적인 데이터 요소 설정으로 넘어가겠습니다. 단순성과 MIB 독립성을 위해 디지털 OID를 사용합니다.

템플릿의 모든 데이터 요소에 대해 동일하기 때문에 키 필드에 사용자 정의 매크로를 사용합니다. 네트워크의 모든 네트워크 장치가 동일한 SNMPv3 매개변수를 갖는 경우 템플릿 내에서 설정할 수 있고, 다양한 모니터링 개체에 대한 SNMPv3 매개변수가 다른 경우 네트워크 노드 내에서 설정할 수 있습니다.

모니터링 시스템에는 인증 및 암호화를 위한 사용자 이름과 비밀번호만 있다는 점에 유의하세요. 모니터링 개체에는 접근이 허용되는 사용자 그룹과 MIB 개체의 범위가 지정됩니다.
이제 템플릿 작성으로 넘어 갑시다.

Zabbix 설문조사 템플릿

설문조사 기본서식을 만들 때 간단한 규칙은 최대한 자세하게 작성하는 것입니다.

대규모 네트워크에서 작업하기 쉽도록 인벤토리에 많은 신경을 씁니다. 이에 대한 자세한 내용은 나중에 설명하겠지만 지금은 – 트리거가 다음과 같습니다.

트리거의 시각화를 쉽게 하기 위해 시스템 매크로 {HOST.CONN}이 이름에 포함되어 장치 이름뿐만 아니라 IP 주소도 경고 섹션의 대시보드에 표시됩니다. 이는 필요보다는 편의성의 문제입니다. . 장치를 사용할 수 없는지 확인하기 위해 일반적인 에코 요청 외에도 ICMP를 통해 객체에 액세스할 수 있지만 SNMP 요청에 응답하지 않는 경우 SNMP 프로토콜을 사용하여 호스트 사용 불가능 여부를 확인합니다. 예를 들어 이러한 상황이 가능합니다. , 잘못 구성된 방화벽 또는 모니터링 개체의 잘못된 SNMP 설정으로 인해 IP 주소가 다른 장치에 중복되는 경우. ICMP를 통해서만 호스트 가용성 확인을 사용하는 경우 네트워크 사고 조사 시 모니터링 데이터가 제공되지 않을 수 있으므로 수신을 모니터링해야 합니다.

네트워크 인터페이스 감지로 넘어가겠습니다. 네트워크 장비의 경우 이는 가장 중요한 모니터링 기능입니다. 네트워크 장치에는 수백 개의 인터페이스가 있을 수 있으므로 시각화나 데이터베이스가 복잡해지지 않도록 불필요한 인터페이스를 필터링해야 합니다.

보다 유연한 필터링을 위해 더 많은 검색 가능한 매개변수와 함께 표준 SNMP 검색 기능을 사용하고 있습니다.

discovery[{#IFDESCR},1.3.6.1.2.1.2.2.1.2,{#IFALIAS},1.3.6.1.2.1.31.1.1.1.18,{#IFADMINSTATUS},1.3.6.1.2.1.2.2.1.7]

이 검색을 통해 유형, 사용자 정의 설명 및 관리 포트 상태를 기준으로 네트워크 인터페이스를 필터링할 수 있습니다. 내 경우 필터링을 위한 필터와 정규식은 다음과 같습니다.

감지되면 다음 인터페이스가 제외됩니다.

• IFADMINSTATUS 덕분에 수동으로 비활성화되었습니다(adminstatus<>1).
• IFALIAS 덕분에 텍스트 설명이 없습니다.
• IFALIAS 덕분에 텍스트 설명에 * 기호가 있습니다.
• 이는 IFDESCR 덕분에 서비스 또는 기술입니다(제 경우에는 정규식 IFALIAS 및 IFDESCR이 하나의 정규식 별칭으로 확인됩니다).

SNMPv3 프로토콜을 사용하여 데이터를 수집하기 위한 템플릿이 거의 준비되었습니다. 네트워크 인터페이스용 데이터 요소의 프로토타입에 대해서는 더 자세히 설명하지 않고 결과만 살펴보겠습니다.

모니터링 결과

먼저 소규모 네트워크의 목록을 작성하십시오.

각 네트워크 장치 시리즈에 대한 템플릿을 준비하면 현재 소프트웨어, 일련 번호 및 서버에 클리너가 오는 알림(낮은 가동 시간으로 인해)에 대한 요약 데이터 레이아웃을 쉽게 분석할 수 있습니다. 내 템플릿 목록의 일부는 다음과 같습니다.

이제 심각도 수준에 따라 트리거가 배포되는 기본 모니터링 패널이 표시됩니다.

네트워크의 각 장치 모델에 대한 템플릿에 대한 통합 접근 방식 덕분에 하나의 모니터링 시스템 프레임워크 내에서 결함 및 사고를 예측하기 위한 도구가 구성되도록 할 수 있습니다(적절한 센서 및 측정 기준이 사용 가능한 경우). Zabbix는 네트워크, 서버 및 서비스 인프라를 모니터링하는 데 매우 적합하며 네트워크 장비를 유지 관리하는 작업은 그 기능을 명확하게 보여줍니다.

사용 된 소스 목록 :1. Hucaby D. CCNP 라우팅 및 스위칭 SWITCH 300-115 공식 인증 가이드. 시스코 프레스, 2014. pp. 325-329.
2. RFC 3410. tools.ietf.org/html/rfc3410
3. RFC 3415. tools.ietf.org/html/rfc3415
4. SNMP 구성 가이드, Cisco IOS XE 릴리스 3SE. 장: SNMP 버전 3. www.cisco.com/c/en/us/td/docs/ios-xml/ios/snmp/configuration/xe-3se/3850/snmp-xe-3se-3850-book/nm-snmp-snmpv3.html

출처 : habr.com