Zabbix मा SNMPv3 मार्फत नेटवर्क उपकरण निगरानी

यो लेख SNMPv3 प्रोटोकल प्रयोग गरी नेटवर्क उपकरणहरूको निगरानी गर्ने सुविधाहरूमा समर्पित छ। हामी SNMPv3 को बारेमा कुरा गर्नेछौं, म Zabbix मा पूर्ण टेम्प्लेटहरू सिर्जना गर्ने मेरो अनुभव साझा गर्नेछु, र म ठूलो नेटवर्कमा वितरित चेतावनीहरू व्यवस्थित गर्दा के हासिल गर्न सकिन्छ भनेर देखाउनेछु। नेटवर्क उपकरणहरू अनुगमन गर्दा SNMP प्रोटोकल मुख्य हो, र Zabbix ठूलो संख्यामा वस्तुहरू निगरानी गर्न र आगमन मेट्रिक्सको ठूलो मात्रा संक्षेप गर्नको लागि उत्कृष्ट छ।

SNMPv3 को बारेमा केहि शब्दहरू

SNMPv3 प्रोटोकलको उद्देश्य र यसको प्रयोगका सुविधाहरूबाट सुरु गरौं। SNMP को कार्यहरू नेटवर्क यन्त्रहरू र आधारभूत व्यवस्थापनलाई तिनीहरूमा साधारण आदेशहरू पठाएर निगरानी गर्ने हो (उदाहरणका लागि, नेटवर्क इन्टरफेसहरू सक्षम र असक्षम गर्ने, वा यन्त्र रिबुट गर्ने)।

SNMPv3 प्रोटोकल र यसको अघिल्लो संस्करणहरू बीचको मुख्य भिन्नता क्लासिक सुरक्षा प्रकार्यहरू हो [१-३], अर्थात्:

• प्रमाणीकरण, जसले अनुरोध विश्वसनीय स्रोतबाट प्राप्त भएको हो भनेर निर्धारण गर्दछ;
• एन्क्रिप्शन (इन्क्रिप्शन), तेस्रो पक्षहरू द्वारा अवरोध गर्दा प्रसारित डाटाको खुलासा रोक्नको लागि;
• अखण्डता, अर्थात्, प्रसारणको क्रममा प्याकेटमा छेडछाड गरिएको छैन भन्ने ग्यारेन्टी।

SNMPv3 ले सुरक्षा मोडेलको प्रयोगलाई बुझाउँछ जसमा दिइएको प्रयोगकर्ता र उसको समूहको लागि प्रमाणीकरण रणनीति सेट गरिएको छ (SNMP को अघिल्लो संस्करणहरूमा, "समुदाय" को तुलनामा सर्भरबाट अनुगमन वस्तुको लागि अनुरोध, पाठ स्पष्ट पाठ (सादा पाठ)) मा प्रसारित "पासवर्ड" संग स्ट्रिङ।

SNMPv3 ले सुरक्षा स्तरहरूको अवधारणा प्रस्तुत गर्दछ - स्वीकार्य सुरक्षा स्तरहरू जसले उपकरणको कन्फिगरेसन र निगरानी वस्तुको SNMP एजेन्टको व्यवहार निर्धारण गर्दछ। सुरक्षा मोडेल र सुरक्षा स्तरको संयोजनले SNMP प्याकेट प्रशोधन गर्दा कुन सुरक्षा संयन्त्र प्रयोग गरिन्छ भनेर निर्धारण गर्दछ [4]।

तालिकाले मोडेलहरू र SNMPv3 सुरक्षा स्तरहरूको संयोजन वर्णन गर्दछ (मैले मूल रूपमा पहिलो तीन स्तम्भहरू छोड्ने निर्णय गरें):

तदनुसार, हामी एन्क्रिप्शन प्रयोग गरेर प्रमाणीकरण मोडमा SNMPv3 प्रयोग गर्नेछौं।

SNMPv3 कन्फिगर गर्दै

निगरानी नेटवर्क उपकरण दुवै अनुगमन सर्भर र निगरानी वस्तु मा SNMPv3 प्रोटोकल को समान कन्फिगरेसन आवश्यक छ।

सिस्को नेटवर्क उपकरण सेटअप गर्न सुरु गरौं, यसको न्यूनतम आवश्यक कन्फिगरेसन निम्नानुसार छ (कन्फिगरेसनको लागि हामीले CLI प्रयोग गर्छौं, मैले भ्रमबाट बच्न नाम र पासवर्डहरू सरल बनाएको छु):

snmp-server group snmpv3group v3 priv read snmpv3name 
snmp-server user snmpv3user snmpv3group v3 auth md5 md5v3v3v3 priv des des56v3v3v3
snmp-server view snmpv3name iso included

पहिलो रेखा snmp-सर्भर समूह - SNMPv3 प्रयोगकर्ताहरूको समूह परिभाषित गर्दछ (snmpv3group), पढ्ने मोड (पढ्नुहोस्), र अनुगमन वस्तुको MIB रूखको निश्चित शाखाहरू हेर्नको लागि snmpv3group समूहको पहुँच दायाँ (snmpv3name त्यसपछि कन्फिगरेसनले समूहले पहुँच गर्न सक्ने MIB रूखको कुन शाखाहरू snmpv3group पहुँच प्राप्त गर्न सक्षम हुनेछ भनेर निर्दिष्ट गर्दछ)।

दोस्रो लाइन snmp-सर्भर प्रयोगकर्ता - प्रयोगकर्ता snmpv3user परिभाषित गर्दछ, snmpv3group समूहमा उसको सदस्यता, साथै md5 प्रमाणीकरणको प्रयोग (md5 को लागि पासवर्ड md5v3v3v3 हो) र des encryption (des का लागि पासवर्ड des56v3v3v3 हो)। निस्सन्देह, यो des को सट्टा aes प्रयोग गर्न राम्रो छ; म यसलाई यहाँ उदाहरणको रूपमा दिँदैछु। साथै, प्रयोगकर्तालाई परिभाषित गर्दा, तपाइँ पहुँच सूची (ACL) थप्न सक्नुहुन्छ जसले निगरानी सर्भरहरूको आईपी ठेगानाहरू विनियमित गर्दछ जुन यस उपकरणको निगरानी गर्ने अधिकार छ - यो पनि उत्तम अभ्यास हो, तर म हाम्रो उदाहरणलाई जटिल बनाउँदैन।

तेस्रो रेखा snmp-सर्भर दृश्यले कोड नाम परिभाषित गर्दछ जसले snmpv3name MIB रूखको शाखाहरू निर्दिष्ट गर्दछ ताकि तिनीहरू snmpv3group प्रयोगकर्ता समूहद्वारा सोध्न सकिन्छ। ISO, एकल शाखालाई कडाईका साथ परिभाषित गर्नुको सट्टा, snmpv3group प्रयोगकर्ता समूहलाई अनुगमन वस्तुको MIB रूखमा सबै वस्तुहरू पहुँच गर्न अनुमति दिन्छ।

Huawei उपकरणको लागि समान सेटअप (CLI मा पनि) यस्तो देखिन्छ:

snmp-agent mib-view included snmpv3name iso
snmp-agent group v3 snmpv3group privacy read-view snmpv3name
snmp-agent usm-user v3 snmpv3user group snmpv3group
snmp-agent usm-user v3 snmpv3user authentication-mode md5 
            md5v3v3v3
snmp-agent usm-user v3 snmpv3user privacy-mode des56
            des56v3v3v3

नेटवर्क उपकरणहरू सेटअप गरेपछि, तपाईंले SNMPv3 प्रोटोकल मार्फत निगरानी सर्भरबाट पहुँचको लागि जाँच गर्न आवश्यक छ, म snmpwalk प्रयोग गर्नेछु:

snmpwalk -v 3 -u snmpv3user -l authPriv -A md5v3v3v3 -a md5 -x des -X des56v3v3v3 10.10.10.252

MIB फाइलहरू प्रयोग गरेर विशिष्ट OID वस्तुहरू अनुरोध गर्नको लागि थप दृश्य उपकरण snmpget हो:

अब Zabbix टेम्प्लेट भित्र SNMPv3 को लागि एक विशिष्ट डेटा तत्व सेटअप गर्न अगाडि बढौं। सरलता र MIB स्वतन्त्रताको लागि, म डिजिटल OIDs प्रयोग गर्छु:

म कुञ्जी फिल्डहरूमा अनुकूलन म्याक्रोहरू प्रयोग गर्छु किनभने तिनीहरू टेम्प्लेटमा सबै डेटा तत्वहरूको लागि समान हुनेछन्। यदि तपाइँको नेटवर्कमा सबै नेटवर्क उपकरणहरूमा समान SNMPv3 प्यारामिटरहरू छन् भने, वा नेटवर्क नोड भित्र, यदि विभिन्न निगरानी वस्तुहरूको लागि SNMPv3 प्यारामिटरहरू फरक छन् भने, तपाइँ तिनीहरूलाई टेम्प्लेट भित्र सेट गर्न सक्नुहुन्छ:

कृपया नोट गर्नुहोस् कि अनुगमन प्रणालीसँग प्रमाणीकरण र गुप्तिकरणको लागि प्रयोगकर्ता नाम र पासवर्डहरू मात्र छन्। प्रयोगकर्ता समूह र MIB वस्तुहरूको दायरा जसमा पहुँच अनुमति दिइएको छ अनुगमन वस्तुमा निर्दिष्ट गरिएको छ।
अब टेम्प्लेट भर्न अगाडि बढौं।

Zabbix पोल टेम्प्लेट

कुनै पनि सर्वेक्षण टेम्प्लेटहरू सिर्जना गर्दा एक साधारण नियम तिनीहरूलाई सकेसम्म विस्तृत रूपमा बनाउनु हो:

ठूलो नेटवर्कसँग काम गर्न सजिलो बनाउनको लागि म सूचीमा धेरै ध्यान दिन्छु। यस बारे अलि पछि, तर अहिलेको लागि - ट्रिगरहरू:

ट्रिगरहरूको भिजुअलाइजेशनको सहजताको लागि, प्रणाली म्याक्रोहरू {HOST.CONN} तिनीहरूको नामहरूमा समावेश गरिएको छ ताकि यन्त्रको नाम मात्र होइन, तर आईपी ठेगानाहरू पनि अलर्टिङ सेक्सनमा ड्यासबोर्डमा प्रदर्शित हुन्छन्, यद्यपि यो आवश्यकता भन्दा बढी सुविधाको कुरा हो। । यन्त्र अनुपलब्ध छ कि छैन भनेर निर्धारण गर्न, सामान्य प्रतिध्वनि अनुरोधको अतिरिक्त, म SNMP प्रोटोकल प्रयोग गरेर होस्ट अनुपलब्धताको लागि जाँच प्रयोग गर्दछु, जब वस्तु ICMP मार्फत पहुँचयोग्य हुन्छ तर SNMP अनुरोधहरूलाई जवाफ दिँदैन - यो अवस्था सम्भव छ, उदाहरणका लागि। , जब IP ठेगानाहरू विभिन्न यन्त्रहरूमा नक्कल हुन्छन्, गलत तरिकाले कन्फिगर गरिएका फायरवालहरू, वा अनुगमन वस्तुहरूमा गलत SNMP सेटिङहरू। यदि तपाइँ ICMP मार्फत मात्र होस्ट उपलब्धता जाँच प्रयोग गर्नुहुन्छ भने, सञ्जालमा घटनाहरूको अनुसन्धानको समयमा, निगरानी डेटा उपलब्ध नहुन सक्छ, त्यसैले तिनीहरूको रसिद निगरानी गर्नुपर्छ।

नेटवर्क इन्टरफेसहरू पत्ता लगाउन अगाडि बढौं - नेटवर्क उपकरणहरूको लागि यो सबैभन्दा महत्त्वपूर्ण निगरानी कार्य हो। नेटवर्क उपकरणमा सयौं इन्टरफेसहरू हुन सक्ने हुनाले, दृश्यलाई अव्यवस्थित गर्न वा डाटाबेसलाई अव्यवस्थित नगर्नका लागि अनावश्यकहरूलाई फिल्टर गर्न आवश्यक छ।

म मानक SNMP खोज प्रकार्य प्रयोग गर्दैछु, थप खोज योग्य प्यारामिटरहरू सहित, थप लचिलो फिल्टरिङको लागि:

discovery[{#IFDESCR},1.3.6.1.2.1.2.2.1.2,{#IFALIAS},1.3.6.1.2.1.31.1.1.1.18,{#IFADMINSTATUS},1.3.6.1.2.1.2.2.1.7]

यस खोजको साथ, तपाइँ नेटवर्क इन्टरफेसहरू तिनीहरूका प्रकारहरू, अनुकूलन विवरणहरू, र प्रशासनिक पोर्ट स्थितिहरूद्वारा फिल्टर गर्न सक्नुहुन्छ। मेरो मामला मा फिल्टर गर्न को लागी फिल्टर र नियमित अभिव्यक्तिहरु यस्तो देखिन्छ:

यदि पत्ता लाग्यो भने, निम्न इन्टरफेसहरू बहिष्कृत गरिनेछन्:

• म्यानुअल रूपमा असक्षम (प्रशासक स्थिति<>1), IFADMINSTATUS को लागि धन्यवाद;
• पाठ विवरण बिना, IFALIAS को लागी धन्यवाद;
• पाठ विवरणमा प्रतीक * भएको, IFALIAS लाई धन्यवाद;
• जुन सेवा वा प्राविधिक हो, IFDESCR लाई धन्यवाद (मेरो मामलामा, नियमित अभिव्यक्तिमा IFALIAS र IFDESCR लाई एउटा नियमित अभिव्यक्ति उपनामद्वारा जाँच गरिन्छ)।

SNMPv3 प्रोटोकल प्रयोग गरेर डाटा सङ्कलन गर्ने टेम्प्लेट लगभग तयार छ। हामी नेटवर्क इन्टरफेसका लागि डाटा तत्वहरूको प्रोटोटाइपहरूमा थप विवरणमा बस्ने छैनौं; नतिजाहरूमा जाऔं।

अनुगमनको नतिजा

सुरु गर्न, एउटा सानो नेटवर्कको सूची लिनुहोस्:

यदि तपाइँ नेटवर्क उपकरणहरूको प्रत्येक शृङ्खलाका लागि टेम्प्लेटहरू तयार गर्नुहुन्छ भने, तपाइँ हालको सफ्टवेयर, सिरियल नम्बरहरू, र सर्भरमा आउने क्लीनरको सूचना (कम अपटाइमको कारण) मा सारांश डेटाको विश्लेषण गर्न सजिलो लेआउट प्राप्त गर्न सक्नुहुन्छ। मेरो टेम्प्लेट सूचीको अंश तल छ:

र अब - मुख्य निगरानी प्यानल, गम्भीरता स्तर द्वारा वितरित ट्रिगर संग:

नेटवर्कमा प्रत्येक यन्त्र मोडेलका लागि टेम्प्लेटहरूको लागि एक एकीकृत दृष्टिकोणको लागि धन्यवाद, यो सुनिश्चित गर्न सम्भव छ, एक निगरानी प्रणालीको ढाँचा भित्र, त्रुटिहरू र दुर्घटनाहरू भविष्यवाणी गर्ने उपकरण व्यवस्थित गरिनेछ (यदि उपयुक्त सेन्सर र मेट्रिक्स उपलब्ध छन्)। Zabbix नेटवर्क, सर्भर, र सेवा पूर्वाधारहरूको निगरानीको लागि राम्रोसँग उपयुक्त छ, र नेटवर्क उपकरणहरू मर्मत गर्ने कार्यले स्पष्ट रूपमा यसको क्षमताहरू प्रदर्शन गर्दछ।

प्रयोग गरिएका स्रोतहरूको सूची:1. Hucaby D. CCNP राउटिङ र स्विचिङ SWITCH 300-115 आधिकारिक प्रमाणपत्र गाइड। सिस्को प्रेस, २०१४। पीपी। ३२५-३२९।
2. RFC 3410। tools.ietf.org/html/rfc3410
3. RFC 3415। tools.ietf.org/html/rfc3415
4. SNMP कन्फिगरेसन गाइड, सिस्को IOS XE रिलीज 3SE। अध्याय: SNMP संस्करण 3। www.cisco.com/c/en/us/td/docs/ios-xml/ios/snmp/configuration/xe-3se/3850/snmp-xe-3se-3850-book/nm-snmp-snmpv3.html

स्रोत: www.habr.com