Следење на мрежна опрема преку SNMPv3 во Zabbix

Оваа статија е посветена на карактеристиките на следење мрежна опрема со помош на протоколот SNMPv3. Ќе зборуваме за SNMPv3, ќе го споделам моето искуство во креирањето на полноправни шаблони во Zabbix и ќе покажам што може да се постигне кога се организираат дистрибуирани предупредувања во голема мрежа. Протоколот SNMP е главниот при следење на мрежната опрема, а Zabbix е одличен за следење на голем број објекти и сумирање на големи количини на дојдовни метрики.

Неколку зборови за SNMPv3

Да почнеме со целта на протоколот SNMPv3 и карактеристиките на неговата употреба. Задачите на SNMP се следење на мрежните уреди и основно управување со испраќање едноставни команди до нив (на пример, овозможување и оневозможување на мрежните интерфејси или рестартирање на уредот).

Главната разлика помеѓу протоколот SNMPv3 и неговите претходни верзии се класичните безбедносни функции [1-3], имено:

• Автентикација, која одредува дека барањето е примено од доверлив извор;
• енкрипција (Encryption), за да се спречи откривање на пренесените податоци кога се пресретнати од трети лица;
• интегритет, односно гаранција дека пакетот не е манипулиран за време на преносот.

SNMPv3 подразбира употреба на безбедносен модел во кој стратегијата за автентикација е поставена за даден корисник и групата на која тој припаѓа (во претходните верзии на SNMP, барањето од серверот до објектот за следење споредува само „заедница“, текст низа со „лозинка“ пренесена во јасен текст (обичен текст)).

SNMPv3 го воведува концептот на безбедносни нивоа - прифатливи безбедносни нивоа кои ја одредуваат конфигурацијата на опремата и однесувањето на агентот SNMP на објектот за следење. Комбинацијата на безбедносен модел и безбедносно ниво одредува кој безбедносен механизам се користи при обработка на пакет SNMP [4].

Табелата опишува комбинации на модели и нивоа на безбедност SNMPv3 (решив да ги оставам првите три колони како во оригиналот):

Според тоа, ќе користиме SNMPv3 во режим на автентикација користејќи шифрирање.

Конфигурирање на SNMPv3

Опремата за следење на мрежата бара иста конфигурација на протоколот SNMPv3 и на серверот за следење и на набљудуваниот објект.

Да започнеме со поставување на мрежен уред на Cisco, неговата минимална потребна конфигурација е како што следува (за конфигурација го користиме CLI, ги поедноставив имињата и лозинките за да избегнат забуна):

snmp-server group snmpv3group v3 priv read snmpv3name 
snmp-server user snmpv3user snmpv3group v3 auth md5 md5v3v3v3 priv des des56v3v3v3
snmp-server view snmpv3name iso included

Првата линија snmp-сервер група – ја дефинира групата SNMPv3 корисници (snmpv3group), режимот за читање (читање) и правото на пристап на групата snmpv3group за прегледување на одредени гранки на MIB дрвото на објектот за следење (snmpv3name потоа во конфигурацијата одредува до кои гранки од дрвото MIB групата може да пристапи snmpv3group ќе може да добие пристап).

Втората линија snmp-сервер корисник – го дефинира корисникот snmpv3user, неговото членство во групата snmpv3, како и употребата на md5 автентикација (лозинката за md5 е md5v3v3v3) и des шифрирањето (лозинката за des е des56v3v3v3). Се разбира, подобро е да се користи aes наместо des; јас го давам овде само како пример. Исто така, кога дефинирате корисник, можете да додадете листа за пристап (ACL) која ги регулира IP адресите на серверите за следење кои имаат право да го следат овој уред - ова е исто така најдобра практика, но нема да го комплицирам нашиот пример.

Приказот на snmp-серверот од третата линија дефинира кодно име кое ги одредува гранките на дрвото snmpv3name MIB, така што тие може да бидат побарани од корисничката група snmpv3group. ISO, наместо строго да дефинира една гранка, ѝ овозможува на корисничката група snmpv3group да пристапи до сите објекти во дрвото MIB на објектот за следење.

Слично поставување за опремата на Huawei (исто така во CLI) изгледа вака:

snmp-agent mib-view included snmpv3name iso
snmp-agent group v3 snmpv3group privacy read-view snmpv3name
snmp-agent usm-user v3 snmpv3user group snmpv3group
snmp-agent usm-user v3 snmpv3user authentication-mode md5 
            md5v3v3v3
snmp-agent usm-user v3 snmpv3user privacy-mode des56
            des56v3v3v3

Откако ќе ги поставите мрежните уреди, треба да проверите дали има пристап од серверот за следење преку протоколот SNMPv3, ќе користам snmpwalk:

snmpwalk -v 3 -u snmpv3user -l authPriv -A md5v3v3v3 -a md5 -x des -X des56v3v3v3 10.10.10.252

Повизуелна алатка за барање специфични OID објекти користејќи MIB датотеки е snmpget:

Сега да продолжиме со поставување на типичен податочен елемент за SNMPv3, во шаблонот Zabbix. За едноставност и независност на MIB, користам дигитални OID:

Користам сопствени макроа во клучните полиња бидејќи тие ќе бидат исти за сите податочни елементи во шаблонот. Можете да ги поставите во шаблон, ако сите мрежни уреди во вашата мрежа ги имаат истите параметри SNMPv3 или во мрежен јазол, ако параметрите SNMPv3 за различни објекти за следење се различни:

Имајте предвид дека системот за следење има само корисничко име и лозинки за автентикација и шифрирање. Корисничката група и опсегот на MIB објекти до кои е дозволен пристап се наведени на објектот за следење.
Сега да продолжиме со пополнување на шаблонот.

Шаблон за анкета на Zabbix

Едноставно правило кога креирате какви било шаблони за анкети е да ги направите што е можно подетални:

Посветувам големо внимание на инвентарот за полесно да се работи со голема мрежа. Повеќе за ова малку подоцна, но засега - предизвикувачи:

За полесно визуелизирање на предизвикувачите, системските макроа {HOST.CONN} се вклучени во нивните имиња, така што не само имињата на уредите, туку и IP адресите се прикажуваат на контролната табла во делот за предупредување, иако ова е повеќе прашање на практичност отколку неопходно . За да утврдам дали уредот е недостапен, покрај вообичаеното барање за ехо, користам проверка за недостапност на домаќинот со помош на протоколот SNMP, кога објектот е достапен преку ICMP, но не одговара на барањата SNMP - оваа ситуација е можна, на пример , кога IP-адресите се дуплираат на различни уреди, поради неправилно конфигурирани заштитни ѕидови или неточни поставки за SNMP на објектите за следење. Ако користите проверка на достапноста на домаќинот само преку ICMP, во моментот на истражување на инциденти на мрежата, податоците за следење може да не се достапни, па затоа мора да се следи нивниот прием.

Ајде да продолжиме со откривање на мрежни интерфејси - за мрежната опрема ова е најважната функција за следење. Бидејќи може да има стотици интерфејси на мрежниот уред, неопходно е да се филтрираат непотребните за да не се натрупува визуелизацијата или да не се натрупува базата на податоци.

Ја користам стандардната функција за откривање SNMP, со повеќе параметри што може да се откријат, за пофлексибилно филтрирање:

discovery[{#IFDESCR},1.3.6.1.2.1.2.2.1.2,{#IFALIAS},1.3.6.1.2.1.31.1.1.1.18,{#IFADMINSTATUS},1.3.6.1.2.1.2.2.1.7]

Со ова откритие, можете да ги филтрирате мрежните интерфејси според нивните типови, сопствени описи и статуси на административните порти. Филтрите и регуларните изрази за филтрирање во мојот случај изгледаат вака:

Доколку се откриени, следните интерфејси ќе бидат исклучени:

• рачно оневозможено (adminstatus<>1), благодарение на IFADMINSTATUS;
• без опис на текст, благодарение на ИФАЛИАС;
• имајќи го симболот * во описот на текстот, благодарение на IFALIAS;
• кои се сервисни или технички, благодарение на IFDESCR (во мојот случај, во регуларни изрази IFALIAS и IFDESCR се проверуваат со еден алијас на регуларен израз).

Шаблонот за собирање податоци со помош на протоколот SNMPv3 е речиси готов. Нема да се задржиме подетално на прототиповите на податочни елементи за мрежните интерфејси; ајде да преминеме на резултатите.

Резултати од мониторингот

За почеток, направете попис на мала мрежа:

Ако подготвувате шаблони за секоја серија на мрежни уреди, може да постигнете лесен за анализа распоред на збирни податоци за тековниот софтвер, сериски броеви и известување за чистење што доаѓа на серверот (поради слабото време на работа). Извадок од мојата листа со шаблони е подолу:

И сега - главниот панел за следење, со предизвикувачи распоредени по степен на сериозност:

Благодарение на интегрираниот пристап кон шаблоните за секој модел на уред во мрежата, можно е да се осигура дека, во рамките на еден систем за следење, ќе се организира алатка за предвидување на дефекти и несреќи (доколку се достапни соодветни сензори и метрика). Zabbix е добро прилагоден за следење на мрежни, серверски и сервисни инфраструктури, а задачата за одржување на мрежната опрема јасно ги покажува нејзините способности.

Список на користени извори:1. Hucaby D. CCNP рутирање и префрлување SWITCH 300-115 Официјален сертификат за водич. Cisco Press, 2014. стр. 325-329.
2. RFC 3410. tools.ietf.org/html/rfc3410
3. RFC 3415. tools.ietf.org/html/rfc3415
4. Водич за конфигурација на SNMP, Cisco IOS XE Release 3SE. Поглавје: SNMP верзија 3. www.cisco.com/c/en/us/td/docs/ios-xml/ios/snmp/configuration/xe-3se/3850/snmp-xe-3se-3850-book/nm-snmp-snmpv3.html

Извор: www.habr.com