ການຕິດຕາມອຸປະກອນເຄືອຂ່າຍຜ່ານ SNMPv3 ໃນ Zabbix

ບົດ​ຄວາມ​ນີ້​ແມ່ນ​ອຸ​ທິດ​ຄຸນ​ສົມ​ບັດ​ຂອງ​ການ​ຕິດ​ຕາມ​ກວດ​ກາ​ອຸ​ປະ​ກອນ​ເຄືອ​ຂ່າຍ​ໂດຍ​ນໍາ​ໃຊ້​ອະ​ນຸ​ສັນ​ຍາ SNMPv3​. ພວກເຮົາຈະເວົ້າກ່ຽວກັບ SNMPv3, ຂ້ອຍຈະແບ່ງປັນປະສົບການຂອງຂ້ອຍໃນການສ້າງແມ່ແບບເຕັມຮູບແບບໃນ Zabbix, ແລະຂ້ອຍຈະສະແດງສິ່ງທີ່ສາມາດບັນລຸໄດ້ໃນເວລາທີ່ຈັດການແຈ້ງເຕືອນທີ່ແຈກຢາຍຢູ່ໃນເຄືອຂ່າຍຂະຫນາດໃຫຍ່. ອະນຸສັນຍາ SNMP ເປັນຕົ້ນຕໍໃນເວລາທີ່ຕິດຕາມກວດກາອຸປະກອນເຄືອຂ່າຍ, ແລະ Zabbix ແມ່ນດີສໍາລັບການກວດສອບຈໍານວນຂະຫນາດໃຫຍ່ຂອງວັດຖຸແລະສະຫຼຸບປະລິມານຂະຫນາດໃຫຍ່ຂອງ metrics ຂາເຂົ້າ.

ສອງສາມຄໍາກ່ຽວກັບ SNMPv3

ໃຫ້ເລີ່ມຕົ້ນດ້ວຍຈຸດປະສົງຂອງໂປໂຕຄອນ SNMPv3 ແລະລັກສະນະຂອງການນໍາໃຊ້ຂອງມັນ. ວຽກງານຂອງ SNMP ແມ່ນການຕິດຕາມອຸປະກອນເຄືອຂ່າຍ ແລະການຈັດການຂັ້ນພື້ນຖານໂດຍການສົ່ງຄຳສັ່ງງ່າຍໆໃຫ້ກັບພວກມັນ (ຕົວຢ່າງ, ເປີດ ແລະປິດການໃຊ້ງານເຄືອຂ່າຍເຊື່ອມຕໍ່, ຫຼືປິດເປີດອຸປະກອນຄືນໃໝ່).

ຄວາມແຕກຕ່າງຕົ້ນຕໍລະຫວ່າງໂປໂຕຄອນ SNMPv3 ແລະຮຸ່ນກ່ອນຫນ້າຂອງມັນແມ່ນຫນ້າທີ່ຄວາມປອດໄພຄລາສສິກ [1-3], ຄື:

• ການກວດສອບຄວາມຖືກຕ້ອງ, ເຊິ່ງກໍານົດວ່າການຮ້ອງຂໍໄດ້ຮັບຈາກແຫຼ່ງທີ່ເຊື່ອຖືໄດ້;
• ການເຂົ້າລະຫັດ (Encryption), ເພື່ອປ້ອງກັນການເປີດເຜີຍຂໍ້ມູນການຖ່າຍທອດເມື່ອຖືກຂັດຂວາງໂດຍພາກສ່ວນທີສາມ;
• ຄວາມຊື່ສັດ, ນັ້ນແມ່ນ, ການຮັບປະກັນວ່າແພັກເກັດບໍ່ໄດ້ຖືກລົບກວນໃນລະຫວ່າງການສົ່ງ.

SNMPv3 ຫມາຍເຖິງການນໍາໃຊ້ແບບຈໍາລອງຄວາມປອດໄພທີ່ຍຸດທະສາດການກວດສອບຖືກຕັ້ງໄວ້ສໍາລັບຜູ້ໃຊ້ແລະກຸ່ມທີ່ລາວຢູ່ໃນ (ໃນຮຸ່ນກ່ອນຫນ້າຂອງ SNMP, ຄໍາຮ້ອງຂໍຈາກເຄື່ອງແມ່ຂ່າຍກັບວັດຖຸຕິດຕາມກວດກາທຽບກັບ "ຊຸມຊົນ", ຂໍ້ຄວາມ. ສະຕຣິງທີ່ມີ "ລະຫັດຜ່ານ" ສົ່ງໃນຂໍ້ຄວາມທີ່ຊັດເຈນ (ຂໍ້ຄວາມທໍາມະດາ)).

SNMPv3 ແນະນໍາແນວຄວາມຄິດຂອງລະດັບຄວາມປອດໄພ - ລະດັບຄວາມປອດໄພທີ່ຍອມຮັບໄດ້ທີ່ກໍານົດການຕັ້ງຄ່າຂອງອຸປະກອນແລະພຶດຕິກໍາຂອງຕົວແທນ SNMP ຂອງວັດຖຸຕິດຕາມກວດກາ. ການປະສົມປະສານຂອງແບບຈໍາລອງຄວາມປອດໄພແລະລະດັບຄວາມປອດໄພກໍານົດວ່າກົນໄກຄວາມປອດໄພໃດຖືກນໍາໃຊ້ໃນເວລາປຸງແຕ່ງແພັກເກັດ SNMP [4].

ຕາຕະລາງອະທິບາຍການປະສົມປະສານຂອງແບບຈໍາລອງແລະລະດັບຄວາມປອດໄພ SNMPv3 (ຂ້ອຍໄດ້ຕັດສິນໃຈອອກຈາກສາມຄໍລໍາທໍາອິດຄືກັບຕົ້ນສະບັບ):

ຕາມນັ້ນແລ້ວ, ພວກເຮົາຈະໃຊ້ SNMPv3 ໃນໂຫມດການກວດສອບຄວາມຖືກຕ້ອງໂດຍໃຊ້ການເຂົ້າລະຫັດ.

ກຳນົດຄ່າ SNMPv3

ການຕິດຕາມອຸປະກອນເຄືອຂ່າຍຮຽກຮ້ອງໃຫ້ມີການຕັ້ງຄ່າດຽວກັນຂອງໂປໂຕຄອນ SNMPv3 ໃນທັງເຊີບເວີຕິດຕາມກວດກາ ແລະວັດຖຸທີ່ຕິດຕາມ.

ເລີ່ມຕົ້ນດ້ວຍການຕັ້ງຄ່າອຸປະກອນເຄືອຂ່າຍ Cisco, ການຕັ້ງຄ່າຕໍາ່ສຸດທີ່ຂອງມັນມີດັ່ງນີ້ (ສໍາລັບການຕັ້ງຄ່າພວກເຮົາໃຊ້ CLI, ຂ້ອຍໄດ້ປັບປຸງຊື່ ແລະລະຫັດຜ່ານເພື່ອຫຼີກເວັ້ນການສັບສົນ):

snmp-server group snmpv3group v3 priv read snmpv3name 
snmp-server user snmpv3user snmpv3group v3 auth md5 md5v3v3v3 priv des des56v3v3v3
snmp-server view snmpv3name iso included

ແຖວທຳອິດກຸ່ມເຊີບເວີ snmp – ກຳນົດກຸ່ມຜູ້ໃຊ້ SNMPv3 (snmpv3group), ໂໝດອ່ານ (ອ່ານ), ແລະສິດການເຂົ້າເຖິງຂອງກຸ່ມ snmpv3group ເພື່ອເບິ່ງສາຂາຂອງຕົ້ນໄມ້ MIB ຂອງວັດຖຸຕິດຕາມກວດກາ (snmpv3name ຈາກນັ້ນຢູ່ໃນ ການຕັ້ງຄ່າກໍານົດສາຂາຂອງຕົ້ນໄມ້ MIB ທີ່ກຸ່ມສາມາດເຂົ້າເຖິງ snmpv3group ຈະສາມາດເຂົ້າຫາໄດ້).

ຜູ້ໃຊ້ snmp-server ແຖວທີສອງ - ກໍານົດຜູ້ໃຊ້ snmpv3user, ສະມາຊິກຂອງລາວຢູ່ໃນກຸ່ມ snmpv3group, ເຊັ່ນດຽວກັນກັບການນໍາໃຊ້ການກວດສອບຄວາມຖືກຕ້ອງຂອງ md5 (ລະຫັດຜ່ານສໍາລັບ md5 ແມ່ນ md5v3v3v3) ແລະການເຂົ້າລະຫັດລັບ (ລະຫັດຜ່ານສໍາລັບ des ແມ່ນ des56v3v3v3). ແນ່ນອນ, ມັນດີກວ່າທີ່ຈະໃຊ້ aes ແທນ des; ຂ້ອຍໃຫ້ມັນຢູ່ທີ່ນີ້ເປັນຕົວຢ່າງ. ນອກຈາກນີ້, ໃນເວລາທີ່ກໍານົດຜູ້ໃຊ້, ທ່ານສາມາດເພີ່ມບັນຊີລາຍຊື່ການເຂົ້າເຖິງ (ACL) ທີ່ຄວບຄຸມທີ່ຢູ່ IP ຂອງເຄື່ອງແມ່ຂ່າຍຕິດຕາມກວດກາທີ່ມີສິດໃນການກວດສອບອຸປະກອນ - ນີ້ຍັງເປັນການປະຕິບັດທີ່ດີທີ່ສຸດ, ແຕ່ຂ້ອຍຈະບໍ່ສັບສົນກັບຕົວຢ່າງຂອງພວກເຮົາ.

ແຖວທີສາມ snmp-server view ກໍານົດຊື່ລະຫັດທີ່ກໍານົດສາຂາຂອງຕົ້ນໄມ້ snmpv3name MIB ເພື່ອໃຫ້ພວກເຂົາສາມາດສອບຖາມໄດ້ໂດຍກຸ່ມຜູ້ໃຊ້ snmpv3group. ISO, ແທນທີ່ຈະກໍານົດຢ່າງເຂັ້ມງວດສາຂາດຽວ, ອະນຸຍາດໃຫ້ກຸ່ມຜູ້ໃຊ້ snmpv3group ເຂົ້າເຖິງວັດຖຸທັງຫມົດໃນຕົ້ນໄມ້ MIB ຂອງວັດຖຸຕິດຕາມກວດກາ.

ການຕັ້ງຄ່າທີ່ຄ້າຍຄືກັນສໍາລັບອຸປະກອນ Huawei (ຍັງຢູ່ໃນ CLI) ເບິ່ງຄືວ່ານີ້:

snmp-agent mib-view included snmpv3name iso
snmp-agent group v3 snmpv3group privacy read-view snmpv3name
snmp-agent usm-user v3 snmpv3user group snmpv3group
snmp-agent usm-user v3 snmpv3user authentication-mode md5 
            md5v3v3v3
snmp-agent usm-user v3 snmpv3user privacy-mode des56
            des56v3v3v3

ຫຼັງຈາກການຕັ້ງຄ່າອຸປະກອນເຄືອຂ່າຍ, ທ່ານຈໍາເປັນຕ້ອງກວດເບິ່ງການເຂົ້າເຖິງຈາກເຄື່ອງແມ່ຂ່າຍຕິດຕາມກວດກາໂດຍຜ່ານໂປໂຕຄອນ SNMPv3, ຂ້ອຍຈະໃຊ້ snmpwalk:

snmpwalk -v 3 -u snmpv3user -l authPriv -A md5v3v3v3 -a md5 -x des -X des56v3v3v3 10.10.10.252

ເຄື່ອງມືທີ່ມີສາຍຕາເພີ່ມເຕີມສໍາລັບການຮ້ອງຂໍວັດຖຸ OID ສະເພາະໂດຍໃຊ້ໄຟລ໌ MIB ແມ່ນ snmpget:

ຕອນນີ້ໃຫ້ພວກເຮົາກ້າວໄປສູ່ການຕັ້ງຄ່າອົງປະກອບຂໍ້ມູນປົກກະຕິສໍາລັບ SNMPv3, ພາຍໃນແມ່ແບບ Zabbix. ສໍາລັບຄວາມງ່າຍດາຍແລະຄວາມເປັນເອກະລາດ MIB, ຂ້ອຍໃຊ້ OIDs ດິຈິຕອນ:

ຂ້ອຍໃຊ້ macros ແບບກຳນົດເອງໃນຊ່ອງຂໍ້ມູນຫຼັກ ເພາະວ່າພວກມັນຈະຄືກັນສຳລັບອົງປະກອບຂໍ້ມູນທັງໝົດໃນແມ່ແບບ. ທ່ານສາມາດກໍານົດພວກມັນພາຍໃນແມ່ແບບ, ຖ້າອຸປະກອນເຄືອຂ່າຍທັງຫມົດໃນເຄືອຂ່າຍຂອງທ່ານມີພາລາມິເຕີ SNMPv3 ດຽວກັນ, ຫຼືພາຍໃນໂຫນດເຄືອຂ່າຍ, ຖ້າຕົວກໍານົດການ SNMPv3 ສໍາລັບວັດຖຸຕິດຕາມກວດກາທີ່ແຕກຕ່າງກັນ:

ກະ​ລຸ​ນາ​ສັງ​ເກດ​ວ່າ​ລະ​ບົບ​ຕິດ​ຕາມ​ກວດ​ກາ​ມີ​ພຽງ​ແຕ່​ຊື່​ຜູ້​ໃຊ້​ແລະ​ລະ​ຫັດ​ຜ່ານ​ສໍາ​ລັບ​ການ​ກວດ​ສອບ​ແລະ​ການ​ເຂົ້າ​ລະ​ຫັດ​. ກຸ່ມຜູ້ໃຊ້ ແລະຂອບເຂດຂອງວັດຖຸ MIB ທີ່ອະນຸຍາດໃຫ້ເຂົ້າເຖິງຖືກລະບຸໄວ້ໃນວັດຖຸຕິດຕາມກວດກາ.
ຕອນນີ້ໃຫ້ເຮົາກ້າວໄປສູ່ການຕື່ມແບບຟອມ.

ແມ່ແບບການສຳຫຼວດ Zabbix

ກົດລະບຽບງ່າຍໆໃນເວລາສ້າງແມ່ແບບການສໍາຫຼວດແມ່ນເພື່ອເຮັດໃຫ້ພວກເຂົາລາຍລະອຽດເທົ່າທີ່ເປັນໄປໄດ້:

ຂ້ອຍເອົາໃຈໃສ່ຢ່າງໃຫຍ່ຫຼວງຕໍ່ສິນຄ້າຄົງຄັງເພື່ອເຮັດໃຫ້ມັນງ່າຍຕໍ່ການເຮັດວຽກກັບເຄືອຂ່າຍຂະຫນາດໃຫຍ່. ເພີ່ມ​ເຕີມ​ກ່ຽວ​ກັບ​ເລື່ອງ​ນີ້​ຕໍ່​ມາ​ເລັກ​ນ້ອຍ​, ແຕ່​ສໍາ​ລັບ​ປັດ​ຈຸ​ບັນ - triggers​:

ເພື່ອຄວາມງ່າຍຂອງການເບິ່ງເຫັນ triggers, macros ຂອງລະບົບ {HOST.CONN} ແມ່ນລວມຢູ່ໃນຊື່ຂອງພວກມັນເພື່ອໃຫ້ບໍ່ພຽງແຕ່ຊື່ອຸປະກອນ, ແຕ່ຍັງສະແດງທີ່ຢູ່ IP ຢູ່ໃນ dashboard ໃນສ່ວນການແຈ້ງເຕືອນ, ເຖິງແມ່ນວ່ານີ້ແມ່ນເລື່ອງຂອງຄວາມສະດວກຫຼາຍກ່ວາຄວາມຈໍາເປັນ. . ເພື່ອກໍານົດວ່າອຸປະກອນບໍ່ສາມາດໃຊ້ໄດ້, ນອກເຫນືອຈາກການຮ້ອງຂໍ echo ປົກກະຕິ, ຂ້ອຍໃຊ້ການກວດສອບຄວາມບໍ່ພ້ອມຂອງເຈົ້າພາບໂດຍໃຊ້ໂປໂຕຄອນ SNMP, ເມື່ອວັດຖຸສາມາດເຂົ້າເຖິງໄດ້ຜ່ານ ICMP ແຕ່ບໍ່ຕອບສະຫນອງຕໍ່ຄໍາຮ້ອງຂໍ SNMP - ສະຖານະການນີ້ເປັນໄປໄດ້, ສໍາລັບຕົວຢ່າງ. , ເມື່ອທີ່ຢູ່ IP ຖືກຊ້ໍາກັນໃນອຸປະກອນຕ່າງໆ, ເນື່ອງຈາກໄຟວໍທີ່ຖືກຕັ້ງຄ່າບໍ່ຖືກຕ້ອງ, ຫຼືການຕັ້ງຄ່າ SNMP ບໍ່ຖືກຕ້ອງກ່ຽວກັບວັດຖຸຕິດຕາມກວດກາ. ຖ້າທ່ານໃຊ້ການກວດສອບຄວາມພ້ອມຂອງເຈົ້າພາບພຽງແຕ່ຜ່ານ ICMP, ໃນເວລາສືບສວນເຫດການໃນເຄືອຂ່າຍ, ຂໍ້ມູນການຕິດຕາມອາດຈະບໍ່ມີ, ດັ່ງນັ້ນການຮັບຂອງພວກເຂົາຕ້ອງໄດ້ຮັບການກວດສອບ.

ຂໍໃຫ້ກ້າວໄປສູ່ການກວດສອບການໂຕ້ຕອບຂອງເຄືອຂ່າຍ - ສໍາລັບອຸປະກອນເຄືອຂ່າຍນີ້ແມ່ນຫນ້າທີ່ຕິດຕາມກວດກາທີ່ສໍາຄັນທີ່ສຸດ. ເນື່ອງຈາກອາດຈະມີຫຼາຍຮ້ອຍສ່ວນຕິດຕໍ່ໃນອຸປະກອນເຄືອຂ່າຍ, ມັນຈໍາເປັນຕ້ອງໄດ້ກັ່ນຕອງສິ່ງທີ່ບໍ່ຈໍາເປັນອອກເພື່ອບໍ່ໃຫ້ clutter ການເບິ່ງເຫັນຫຼື clutter ຖານຂໍ້ມູນ.

ຂ້ອຍກໍາລັງໃຊ້ຟັງຊັນການຄົ້ນພົບ SNMP ມາດຕະຖານ, ມີຕົວກໍານົດການຄົ້ນພົບໄດ້ຫຼາຍຂຶ້ນ, ສໍາລັບການກັ່ນຕອງທີ່ມີຄວາມຍືດຫຍຸ່ນຫຼາຍ:

discovery[{#IFDESCR},1.3.6.1.2.1.2.2.1.2,{#IFALIAS},1.3.6.1.2.1.31.1.1.1.18,{#IFADMINSTATUS},1.3.6.1.2.1.2.2.1.7]

ດ້ວຍການຄົ້ນພົບນີ້, ທ່ານສາມາດກັ່ນຕອງການໂຕ້ຕອບເຄືອຂ່າຍໂດຍປະເພດຂອງເຂົາເຈົ້າ, ຄໍາອະທິບາຍແບບກໍານົດເອງ, ແລະສະຖານະພອດການບໍລິຫານ. ການກັ່ນຕອງແລະການສະແດງອອກປົກກະຕິສໍາລັບການກັ່ນຕອງໃນກໍລະນີຂອງຂ້ອຍເບິ່ງຄືນີ້:

ຖ້າກວດພົບ, ການໂຕ້ຕອບຕໍ່ໄປນີ້ຈະຖືກຍົກເວັ້ນ:

• ປິດການໃຊ້ງານດ້ວຍຕົນເອງ (adminstatus<>1), ຂອບໃຈ IFADMINSTATUS;
• ໂດຍບໍ່ມີຄໍາອະທິບາຍຂໍ້ຄວາມ, ຂໍຂອບໃຈກັບ IFALIAS;
• ມີສັນຍາລັກ * ໃນຄໍາອະທິບາຍຂໍ້ຄວາມ, ຂອບໃຈ IFALIAS;
• ທີ່ເປັນການບໍລິການຫຼືດ້ານວິຊາການ, ຂໍຂອບໃຈກັບ IFDESCR (ໃນກໍລະນີຂອງຂ້າພະເຈົ້າ, ໃນການສະແດງປົກກະຕິ IFALIAS ແລະ IFDESCR ຖືກກວດສອບໂດຍຫນຶ່ງນາມແຝງປົກກະຕິ).

ແມ່ແບບການເກັບກຳຂໍ້ມູນໂດຍໃຊ້ໂປຣໂຕຄໍ SNMPv3 ເກືອບພ້ອມແລ້ວ. ພວກເຮົາຈະບໍ່ຢູ່ໃນລາຍລະອຽດເພີ່ມເຕີມກ່ຽວກັບຕົ້ນແບບຂອງອົງປະກອບຂໍ້ມູນສໍາລັບການໂຕ້ຕອບເຄືອຂ່າຍ; ໃຫ້ກ້າວໄປສູ່ຜົນໄດ້ຮັບ.

ຜົນໄດ້ຮັບຂອງການຕິດຕາມ

ເພື່ອເລີ່ມຕົ້ນດ້ວຍ, ເອົາສິນຄ້າຄົງຄັງຂອງເຄືອຂ່າຍຂະຫນາດນ້ອຍ:

ຖ້າທ່ານກະກຽມແມ່ແບບສໍາລັບແຕ່ລະຊຸດຂອງອຸປະກອນເຄືອຂ່າຍ, ທ່ານສາມາດບັນລຸຮູບແບບການວິເຄາະທີ່ງ່າຍດາຍຂອງຂໍ້ມູນສະຫຼຸບກ່ຽວກັບຊອບແວໃນປະຈຸບັນ, ຈໍານວນ serial, ແລະການແຈ້ງເຕືອນຂອງເຄື່ອງເຮັດຄວາມສະອາດທີ່ເຂົ້າມາໃນເຄື່ອງແມ່ຂ່າຍ (ເນື່ອງຈາກເວລາ Uptime ຕໍ່າ). ບົດຄັດຫຍໍ້ຂອງບັນຊີລາຍຊື່ແມ່ແບບຂອງຂ້ອຍແມ່ນຂ້າງລຸ່ມນີ້:

ແລະໃນປັດຈຸບັນ - ກະດານຕິດຕາມຕົ້ນຕໍ, ດ້ວຍຜົນກະທົບຕໍ່ການແຈກຢາຍໂດຍລະດັບຄວາມຮຸນແຮງ:

ຂໍຂອບໃຈກັບວິທີການປະສົມປະສານກັບແມ່ແບບສໍາລັບແຕ່ລະຮູບແບບອຸປະກອນໃນເຄືອຂ່າຍ, ມັນເປັນໄປໄດ້ທີ່ຈະຮັບປະກັນວ່າ, ພາຍໃນຂອບເຂດຂອງລະບົບການຕິດຕາມຫນຶ່ງ, ເຄື່ອງມືສໍາລັບການຄາດເດົາຄວາມຜິດແລະອຸປະຕິເຫດຈະຖືກຈັດຂື້ນ (ຖ້າມີເຊັນເຊີແລະຕົວວັດແທກທີ່ເຫມາະສົມ). Zabbix ແມ່ນເຫມາະສົມດີສໍາລັບການຕິດຕາມເຄືອຂ່າຍ, ເຄື່ອງແມ່ຂ່າຍ, ແລະໂຄງສ້າງພື້ນຖານການບໍລິການ, ແລະວຽກງານຂອງການຮັກສາອຸປະກອນເຄືອຂ່າຍສະແດງໃຫ້ເຫັນເຖິງຄວາມສາມາດຂອງມັນຢ່າງຊັດເຈນ.

ລາຍຊື່ແຫຼ່ງຂໍ້ມູນທີ່ໃຊ້:1. Hucaby D. CCNP Routing and Switching SWITCH 300-115 ຄູ່ມືການຢັ້ງຢືນຢ່າງເປັນທາງການ. Cisco Press, 2014. pp. 325-329.
2. RFC 3410 . tools.ietf.org/html/rfc3410
3. RFC 3415 . tools.ietf.org/html/rfc3415
4. ຄູ່ມືການຕັ້ງຄ່າ SNMP, Cisco IOS XE Release 3SE. ບົດ: SNMP ຮຸ່ນ 3. www.cisco.com/c/en/us/td/docs/ios-xml/ios/snmp/configuration/xe-3se/3850/snmp-xe-3se-3850-book/nm-snmp-snmpv3.html

ແຫຼ່ງຂໍ້ມູນ: www.habr.com