SNMP und Daten zum Gerätezustand

SNMP (Simple Network Management Protocol) ist das Standardprotokoll zum Erfassen von Zustands- und Statusdaten aus Netzwerkgeräten wie Routern, Switches, Firewalls und Servern. Ein zentraler Manager kommuniziert mit kleinen Agenten, die auf den einzelnen Geräten ausgeführt werden, und fragt Werte wie CPU-Auslastung, Schnittstellenstatus und Datenverkehrszähler ab. SNMP bildet das Rückgrat der meisten Überwachungssysteme.

SNMP kennt zwei Rollen. Der Manager (auch Network Management System oder NMS genannt) ist der Überwachungsserver, der Daten anfordert und speichert. Der Agent ist eine Software auf jedem verwalteten Gerät, die diese Anfragen beantwortet und Warnungen senden kann. Der Manager fragt zahlreiche Agenten ab; jeder Agent berichtet nur über sein eigenes Gerät. Dieses Manager-Agent-Modell lässt sich auf Tausende von Geräten skalieren.

Jeder Agent stellt Daten über eine MIB (Management Information Base) bereit, einen strukturierten Katalog aller auslesbaren Informationen. Jeder Wert besitzt eine OID (Object Identifier), eine aus durch Punkten getrennten Zahlen bestehende Adresse wie 1.3.6.1.2.1.1.3.0 für die Betriebszeit des Systems. Der Manager fordert eine bestimmte OID an, und der Agent gibt ihren aktuellen Wert zurück. MIBs und OIDs verleihen SNMP eine gemeinsame Sprache über Herstellergrenzen hinweg.

SNMP verwendet eine kleine Gruppe von Nachrichten:

• Get — der Manager fordert einen Wert an.
• GetNext / GetBulk — mehrere Werte werden effizient durchlaufen.
• Set — der Manager ändert einen beschreibbaren Wert.
• Trap / Inform — der Agent meldet dem Manager ein Ereignis.

Get und Set werden vom Manager initiiert; Traps werden vom Agenten initiiert.

Beim Polling sendet der Manager nach einem Zeitplan Get-Anfragen und zeichnet die Antworten auf. Im Laufe der Zeit bilden diese Messwerte Diagramme zu CPU, Arbeitsspeicher und Bandbreite. Polling eignet sich zuverlässig für Trends, reagiert aber leicht verzögert, da Sie von einer Änderung erst bei der nächsten Abfrage erfahren. SNMP-Polling läuft normalerweise über den UDP-Port 161 des Agenten.

Ein Trap ist eine unaufgeforderte Nachricht, die ein Agent in dem Moment sendet, in dem etwas Bemerkenswertes passiert, etwa wenn eine Schnittstelle ausfällt oder eine Stromversorgung versagt. Traps erreichen den Manager über den UDP-Port 162. Da Traps UDP verwenden, ist ihre Zustellung nicht garantiert; ein Inform ist eine bestätigte Variante eines Traps, deren Empfang der Manager bestätigt.

Drei Versionen sind relevant. SNMPv1 und SNMPv2c verwenden einen unverschlüsselten Community-String als Passwort. Das ist unsicher, weil er unverschlüsselt übertragen wird. SNMPv3 ergänzt Authentifizierung und Verschlüsselung und schützt damit sowohl die Daten als auch die Zugangsdaten. In Prüfungen und in der Praxis ist SNMPv3 die empfohlene Wahl für jede moderne, sichere Implementierung.

In v1 und v2c steuert ein Community-String den Zugriff. Ein Read-only-String erlaubt das Abfragen von Werten; ein Read-write-String erlaubt zusätzlich Set-Operationen. Die verbreiteten Standardwerte „public“ (Lesen) und „private“ (Schreiben) sind allgemein bekannt. Sie unverändert zu lassen, stellt daher ein erhebliches Risiko dar. Ändern Sie Standardwerte immer und wechseln Sie möglichst zu SNMPv3.

SNMP stellt umfangreiche Zustandsdaten von Geräten bereit: den Up-/Down-Status von Schnittstellen, Bytes und Pakete pro Schnittstelle, Fehler- und Discard-Zähler, CPU- und Speicherauslastung, Temperatur sowie Betriebszeit. Ein Monitoring-Tool fasst diese Daten in Diagrammen und Warnmeldungen zusammen. Steigende Schnittstellenfehler können beispielsweise auf ein defektes Kabel hindeuten, während eine zunehmende CPU-Auslastung vor einer Überlastung des Geräts warnen kann.

SNMP eignet sich hervorragend für numerische Zähler und Statusinformationen, ist aber nicht die einzige Datenquelle. Syslog überträgt textbasierte Ereignismeldungen, während NetFlow beschreibt, wer mit wem kommuniziert und in welchem Umfang. Eine vollständige Monitoring-Plattform kombiniert SNMP-Zustandsmetriken, Syslog-Ereignisse und Flow-Daten. Zu wissen, welche Quelle welche Frage beantwortet, ist eine wichtige Fähigkeit bei der Fehlersuche.

Da SNMP Geräteeinstellungen auslesen und sogar ändern kann, müssen Sie es sorgfältig absichern: Verwenden Sie SNMPv3 für Verschlüsselung und Authentifizierung, beschränken Sie den Zugriff mit ACLs auf das Managementnetz, ändern Sie die Standard-Community-Strings und deaktivieren Sie SNMP, wo es nicht benötigt wird. Eine unzureichend abgesicherte SNMP-Konfiguration kann Topologiedetails preisgeben oder einem Angreifer erlauben, Geräte neu zu konfigurieren.

Testen Sie Ihr SNMP-Wissen.

Sie haben SNMP kennengelernt. Die wichtigsten Punkte:

• Ein Manager fragt Agenten auf Geräten nach Zustandsdaten ab.
• Werte befinden sich in einer MIB und werden über OIDs adressiert.
• Get/Set werden vom Manager initiiert; Traps sind vom Agenten initiierte Warnmeldungen (Port 162, Abfragen über 161).
• v1/v2c verwenden unverschlüsselte Community-Strings; SNMPv3 ergänzt Sicherheitsfunktionen.
• Kombinieren Sie SNMP mit Syslog- und Flow-Daten, um vollständige Transparenz zu erhalten.