Zabbix मध्ये SNMPv3 द्वारे नेटवर्क उपकरणांचे निरीक्षण करणे

हा लेख SNMPv3 प्रोटोकॉल वापरून नेटवर्क उपकरणांचे निरीक्षण करण्याच्या वैशिष्ट्यांसाठी समर्पित आहे. आम्ही SNMPv3 बद्दल बोलू, मी Zabbix मध्‍ये पूर्ण टेम्प्लेट तयार करण्‍याचा माझा अनुभव सामायिक करेन आणि मोठ्या नेटवर्कमध्‍ये डिस्ट्रिब्युटेड अलर्टिंग आयोजित करताना काय साध्य करता येईल हे मी दाखवेन. नेटवर्क उपकरणांचे परीक्षण करताना एसएनएमपी प्रोटोकॉल मुख्य आहे आणि मोठ्या संख्येने ऑब्जेक्ट्सचे निरीक्षण करण्यासाठी आणि मोठ्या प्रमाणात येणार्‍या मेट्रिक्सचा सारांश देण्यासाठी Zabbix उत्तम आहे.

SNMPv3 बद्दल काही शब्द

चला SNMPv3 प्रोटोकॉलचा उद्देश आणि त्याच्या वापराच्या वैशिष्ट्यांसह प्रारंभ करूया. SNMP ची कार्ये नेटवर्क उपकरणांचे निरीक्षण करणे आणि त्यांना साध्या आदेश पाठवून मूलभूत व्यवस्थापन करणे (उदाहरणार्थ, नेटवर्क इंटरफेस सक्षम आणि अक्षम करणे किंवा डिव्हाइस रीबूट करणे).

SNMPv3 प्रोटोकॉल आणि त्याच्या मागील आवृत्त्यांमधील मुख्य फरक म्हणजे क्लासिक सुरक्षा फंक्शन्स [१-३], म्हणजे:

• प्रमाणीकरण, जे निर्धारित करते की विनंती विश्वसनीय स्त्रोताकडून प्राप्त झाली होती;
• एनक्रिप्शन (एनक्रिप्शन), तृतीय पक्षांद्वारे अडथळा आणल्यास प्रसारित डेटाचे प्रकटीकरण टाळण्यासाठी;
• अखंडता, म्हणजे, प्रेषणादरम्यान पॅकेटमध्ये छेडछाड झालेली नाही याची हमी.

SNMPv3 हे सुरक्षा मॉडेलचा वापर सूचित करते ज्यामध्ये दिलेल्या वापरकर्त्यासाठी आणि तो ज्या गटाशी संबंधित आहे त्यासाठी प्रमाणीकरण धोरण सेट केले आहे (SNMP च्या मागील आवृत्त्यांमध्ये, सर्व्हरकडून मॉनिटरिंग ऑब्जेक्टला केलेली विनंती फक्त “समुदाय” च्या तुलनेत, एक मजकूर स्पष्ट मजकूर (साधा मजकूर)) मध्ये प्रसारित "पासवर्ड" सह स्ट्रिंग.

SNMPv3 सुरक्षा स्तरांची संकल्पना सादर करते - स्वीकार्य सुरक्षा स्तर जे उपकरणांचे कॉन्फिगरेशन आणि मॉनिटरिंग ऑब्जेक्टच्या SNMP एजंटचे वर्तन निर्धारित करतात. SNMP पॅकेट [4] वर प्रक्रिया करताना सुरक्षा मॉडेल आणि सुरक्षा पातळीचे संयोजन निर्धारित करते की कोणती सुरक्षा यंत्रणा वापरली जाते.

सारणी मॉडेल आणि SNMPv3 सुरक्षा स्तरांच्या संयोजनाचे वर्णन करते (मी मूळ प्रमाणे पहिले तीन स्तंभ सोडण्याचा निर्णय घेतला):

त्यानुसार, आम्ही एन्क्रिप्शन वापरून प्रमाणीकरण मोडमध्ये SNMPv3 वापरू.

SNMPv3 कॉन्फिगर करत आहे

मॉनिटरिंग नेटवर्क उपकरणांसाठी मॉनिटरिंग सर्व्हर आणि मॉनिटर केलेल्या ऑब्जेक्टवर SNMPv3 प्रोटोकॉलचे समान कॉन्फिगरेशन आवश्यक आहे.

चला सिस्को नेटवर्क उपकरण सेट करण्यापासून सुरुवात करूया, त्याचे किमान आवश्यक कॉन्फिगरेशन खालीलप्रमाणे आहे (कॉन्फिगरेशनसाठी आम्ही CLI वापरतो, मी गोंधळ टाळण्यासाठी नावे आणि संकेतशब्द सरलीकृत केले आहेत):

snmp-server group snmpv3group v3 priv read snmpv3name 
snmp-server user snmpv3user snmpv3group v3 auth md5 md5v3v3v3 priv des des56v3v3v3
snmp-server view snmpv3name iso included

पहिली ओळ snmp-server गट – SNMPv3 वापरकर्त्यांचा गट (snmpv3group), रीड मोड (वाचन), आणि मॉनिटरिंग ऑब्जेक्टच्या MIB ट्रीच्या काही शाखा पाहण्यासाठी snmpv3group गटाचा प्रवेश उजवीकडे परिभाषित करतो (snmpv3name नंतर कॉन्फिगरेशन निर्दिष्ट करते की MIB झाडाच्या कोणत्या शाखांमध्ये गट प्रवेश करू शकतो snmpv3group प्रवेश मिळवण्यास सक्षम असेल).

दुसरी ओळ snmp-server वापरकर्ता - वापरकर्ता snmpv3user, snmpv3group गटातील त्याची सदस्यत्व तसेच md5 प्रमाणीकरणाचा वापर (md5 साठी पासवर्ड md5v3v3v3 आहे) आणि des encryption (des साठी पासवर्ड des56v3v3 आहे) परिभाषित करतो. अर्थात, des ऐवजी aes वापरणे चांगले आहे; मी ते येथे फक्त एक उदाहरण म्हणून देत आहे. तसेच, वापरकर्ता परिभाषित करताना, आपण एक प्रवेश सूची (ACL) जोडू शकता जी मॉनिटरिंग सर्व्हरचे IP पत्ते नियंत्रित करते ज्यांना या डिव्हाइसचे परीक्षण करण्याचा अधिकार आहे - हे देखील सर्वोत्तम सराव आहे, परंतु मी आमचे उदाहरण गुंतागुंत करणार नाही.

तिसरी ओळ snmp-server दृश्य एक कोड नाव परिभाषित करते जे snmpv3name MIB ट्रीच्या शाखा निर्दिष्ट करते जेणेकरून ते snmpv3group वापरकर्ता गटाद्वारे विचारले जाऊ शकतात. ISO, एकच शाखा काटेकोरपणे परिभाषित करण्याऐवजी, snmpv3group वापरकर्ता गटाला मॉनिटरिंग ऑब्जेक्टच्या MIB ट्रीमधील सर्व ऑब्जेक्ट्समध्ये प्रवेश करण्याची परवानगी देते.

Huawei उपकरणांसाठी एक समान सेटअप (CLI मध्ये देखील) असे दिसते:

snmp-agent mib-view included snmpv3name iso
snmp-agent group v3 snmpv3group privacy read-view snmpv3name
snmp-agent usm-user v3 snmpv3user group snmpv3group
snmp-agent usm-user v3 snmpv3user authentication-mode md5 
            md5v3v3v3
snmp-agent usm-user v3 snmpv3user privacy-mode des56
            des56v3v3v3

नेटवर्क उपकरणे सेट केल्यानंतर, तुम्हाला SNMPv3 प्रोटोकॉलद्वारे मॉनिटरिंग सर्व्हरवरून प्रवेश तपासण्याची आवश्यकता आहे, मी snmpwalk वापरेन:

snmpwalk -v 3 -u snmpv3user -l authPriv -A md5v3v3v3 -a md5 -x des -X des56v3v3v3 10.10.10.252

MIB फाइल्स वापरून विशिष्ट OID ऑब्जेक्ट्सची विनंती करण्यासाठी अधिक व्हिज्युअल साधन म्हणजे snmpget:

आता Zabbix टेम्प्लेटमध्ये SNMPv3 साठी ठराविक डेटा घटक सेट करण्यासाठी पुढे जाऊ या. साधेपणा आणि MIB स्वातंत्र्यासाठी, मी डिजिटल OIDs वापरतो:

मी मुख्य फील्डमध्ये सानुकूल मॅक्रो वापरतो कारण ते टेम्पलेटमधील सर्व डेटा घटकांसाठी समान असतील. तुमच्या नेटवर्कमधील सर्व नेटवर्क डिव्हाइसेसमध्ये समान SNMPv3 पॅरामीटर्स असल्यास, किंवा नेटवर्क नोडमध्ये, भिन्न मॉनिटरिंग ऑब्जेक्ट्ससाठी SNMPv3 पॅरामीटर्स भिन्न असल्यास, तुम्ही त्यांना टेम्पलेटमध्ये सेट करू शकता:

कृपया लक्षात घ्या की मॉनिटरिंग सिस्टममध्ये प्रमाणीकरण आणि कूटबद्धीकरणासाठी फक्त वापरकर्तानाव आणि संकेतशब्द आहेत. वापरकर्ता गट आणि एमआयबी ऑब्जेक्ट्सची व्याप्ती ज्यामध्ये प्रवेशास परवानगी आहे ते मॉनिटरिंग ऑब्जेक्टवर निर्दिष्ट केले आहे.
आता टेम्प्लेट भरण्याकडे वळू.

Zabbix मतदान टेम्पलेट

कोणतेही सर्वेक्षण टेम्पलेट तयार करताना एक साधा नियम म्हणजे ते शक्य तितके तपशीलवार करणे:

मोठ्या नेटवर्कसह काम करणे सोपे करण्यासाठी मी इन्व्हेंटरीकडे खूप लक्ष देतो. यावर थोड्या वेळाने अधिक, परंतु आत्तासाठी - ट्रिगर:

ट्रिगर्सच्या सहजतेने व्हिज्युअलायझेशनसाठी, सिस्टम मॅक्रो {HOST.CONN} त्यांच्या नावांमध्ये समाविष्ट केले आहेत जेणेकरुन केवळ डिव्हाइसची नावेच नव्हे तर आयपी पत्ते देखील अॅलर्टिंग विभागात डॅशबोर्डवर प्रदर्शित केले जातील, जरी ही गरजेपेक्षा सोयीची बाब आहे. . डिव्हाइस अनुपलब्ध आहे की नाही हे निर्धारित करण्यासाठी, नेहमीच्या प्रतिध्वनी विनंतीव्यतिरिक्त, मी SNMP प्रोटोकॉल वापरून होस्ट अनुपलब्धतेची तपासणी करतो, जेव्हा ऑब्जेक्ट ICMP द्वारे प्रवेशयोग्य असतो परंतु SNMP विनंत्यांना प्रतिसाद देत नाही - ही परिस्थिती शक्य आहे, उदाहरणार्थ , जेव्हा चुकीच्या कॉन्फिगर केलेल्या फायरवॉलमुळे किंवा मॉनिटरिंग ऑब्जेक्ट्सवर चुकीच्या SNMP सेटिंग्जमुळे वेगवेगळ्या डिव्हाइसेसवर IP पत्ते डुप्लिकेट केले जातात. जर तुम्ही होस्ट उपलब्धता तपासणी फक्त ICMP द्वारे वापरत असाल तर, नेटवर्कवरील घटनांची तपासणी करताना, मॉनिटरिंग डेटा उपलब्ध नसू शकतो, त्यामुळे त्यांच्या पावतीचे परीक्षण करणे आवश्यक आहे.

चला नेटवर्क इंटरफेस शोधण्याकडे वळू - नेटवर्क उपकरणांसाठी हे सर्वात महत्वाचे मॉनिटरिंग फंक्शन आहे. नेटवर्क डिव्हाइसवर शेकडो इंटरफेस असू शकतात, त्यामुळे व्हिज्युअलायझेशन किंवा डेटाबेसमध्ये गोंधळ होऊ नये म्हणून अनावश्यक ते फिल्टर करणे आवश्यक आहे.

मी अधिक लवचिक फिल्टरिंगसाठी, अधिक शोधण्यायोग्य पॅरामीटर्ससह, मानक SNMP शोध कार्य वापरत आहे:

discovery[{#IFDESCR},1.3.6.1.2.1.2.2.1.2,{#IFALIAS},1.3.6.1.2.1.31.1.1.1.18,{#IFADMINSTATUS},1.3.6.1.2.1.2.2.1.7]

या शोधासह, तुम्ही नेटवर्क इंटरफेस त्यांचे प्रकार, सानुकूल वर्णने आणि प्रशासकीय पोर्ट स्थितींनुसार फिल्टर करू शकता. माझ्या बाबतीत फिल्टरिंगसाठी फिल्टर आणि नियमित अभिव्यक्ती यासारखे दिसतात:

आढळल्यास, खालील इंटरफेस वगळले जातील:

• व्यक्तिचलितपणे अक्षम (प्रशासन<>1), IFADMINSTATUS चे आभार;
• मजकूर वर्णनाशिवाय, IFALIAS चे आभार;
• मजकूराच्या वर्णनात * चिन्ह असणे, IFALIAS चे आभार;
• जे सेवा किंवा तांत्रिक आहेत, IFDESCR ला धन्यवाद (माझ्या बाबतीत, रेगुलर एक्सप्रेशन्समध्ये IFALIAS आणि IFDESCR एका रेग्युलर एक्स्प्रेशन उपनामाद्वारे तपासले जातात).

SNMPv3 प्रोटोकॉल वापरून डेटा संकलित करण्यासाठी टेम्पलेट जवळजवळ तयार आहे. आम्ही नेटवर्क इंटरफेससाठी डेटा घटकांच्या प्रोटोटाइपवर अधिक तपशीलवार विचार करणार नाही; चला परिणामांकडे जाऊया.

देखरेखीचे परिणाम

सुरुवातीला, छोट्या नेटवर्कची यादी घ्या:

तुम्ही नेटवर्क डिव्हाइसेसच्या प्रत्येक मालिकेसाठी टेम्पलेट्स तयार केल्यास, तुम्ही सध्याच्या सॉफ्टवेअरवरील सारांश डेटाचे विश्लेषण करण्यासाठी सोपे लेआउट, अनुक्रमांक आणि सर्व्हरवर येणार्‍या क्लिनरची सूचना (कमी अपटाइममुळे) प्राप्त करू शकता. माझ्या टेम्पलेट सूचीचा उतारा खाली आहे:

आणि आता - मुख्य मॉनिटरिंग पॅनेल, तीव्रतेच्या पातळीनुसार वितरीत ट्रिगरसह:

नेटवर्कमधील प्रत्येक डिव्हाइस मॉडेलसाठी टेम्पलेट्सच्या एकात्मिक दृष्टिकोनाबद्दल धन्यवाद, हे सुनिश्चित करणे शक्य आहे की, एका मॉनिटरिंग सिस्टमच्या फ्रेमवर्कमध्ये, दोष आणि अपघातांचा अंदाज लावण्यासाठी एक साधन आयोजित केले जाईल (योग्य सेन्सर्स आणि मेट्रिक्स उपलब्ध असल्यास). Zabbix नेटवर्क, सर्व्हर आणि सेवा पायाभूत सुविधांच्या देखरेखीसाठी योग्य आहे आणि नेटवर्क उपकरणे राखण्याचे कार्य स्पष्टपणे त्याची क्षमता प्रदर्शित करते.

वापरलेल्या स्त्रोतांची यादी:1. Hucaby D. CCNP राउटिंग आणि स्विचिंग SWITCH 300-115 अधिकृत प्रमाणपत्र मार्गदर्शक. सिस्को प्रेस, 2014. pp. ३२५-३२९.
2. RFC 3410. tools.ietf.org/html/rfc3410
3. RFC 3415. tools.ietf.org/html/rfc3415
4. SNMP कॉन्फिगरेशन मार्गदर्शक, सिस्को IOS XE रिलीज 3SE. धडा: SNMP आवृत्ती 3. www.cisco.com/c/en/us/td/docs/ios-xml/ios/snmp/configuration/xe-3se/3850/snmp-xe-3se-3850-book/nm-snmp-snmpv3.html

स्त्रोत: www.habr.com