SNMP y datos del estado de los dispositivos

SNMP (Simple Network Management Protocol) es el protocolo estándar para recopilar datos sobre el estado y el funcionamiento de dispositivos de red, como routers, switches, firewalls y servidores. Un manager central se comunica con pequeños agents de software que se ejecutan en cada dispositivo y solicita valores como la carga de la CPU, el estado de las interfaces y los contadores de tráfico. SNMP es la base de la mayoría de los sistemas de supervisión.

SNMP tiene dos roles. El manager (también llamado Network Management System o NMS) es el servidor de supervisión que solicita y almacena los datos. El agent es el software instalado en cada dispositivo administrado que responde a esas solicitudes y puede enviar alertas. El manager consulta a muchos agents; cada agent informa únicamente sobre su propio dispositivo. Este modelo manager-agent se adapta a miles de dispositivos.

Cada agent expone los datos mediante una MIB (Management Information Base), un catálogo estructurado de todo lo que se puede leer. Cada valor tiene un OID (Object Identifier), una dirección numérica separada por puntos, como 1.3.6.1.2.1.1.3.0 para el tiempo de actividad del sistema. El manager solicita un OID específico y el agent devuelve su valor actual. Las MIB y los OID proporcionan a SNMP un lenguaje común entre distintos fabricantes.

SNMP utiliza un conjunto reducido de mensajes:

• Get: el manager solicita un valor.
• GetNext / GetBulk: recorren muchos valores de forma eficiente.
• Set: el manager modifica un valor que admite escritura.
• Trap / Inform: el agent informa de un evento al manager.

Get y Set los inicia el manager; los traps los inicia el agent.

Cuando el manager realiza un sondeo, envía solicitudes Get según un intervalo programado y registra las respuestas. Con el tiempo, estas lecturas generan gráficos de CPU, memoria y ancho de banda. El sondeo es fiable para analizar tendencias, pero presenta un ligero retraso, ya que solo se detecta un cambio en el siguiente sondeo. El sondeo de SNMP normalmente utiliza el puerto UDP 161 del agent.

Un trap es un mensaje no solicitado que un agente envía en el momento en que ocurre algo relevante, como la caída de una interfaz o un fallo en la fuente de alimentación. Los traps llegan al administrador a través del puerto UDP 162. Como los traps utilizan UDP, no se garantiza su entrega; un inform es una versión confirmada de un trap cuya recepción confirma el administrador.

Hay tres versiones importantes. SNMPv1 y SNMPv2c utilizan una community string de texto sin cifrar como contraseña, lo que es inseguro porque se transmite sin cifrado. SNMPv3 añade autenticación y cifrado, protegiendo tanto los datos como las credenciales. En los exámenes y en la práctica, SNMPv3 es la opción recomendada para cualquier implementación moderna y segura.

En v1 y v2c, una community string controla el acceso. Una cadena de solo lectura permite realizar consultas; una cadena de lectura y escritura también permite operaciones Set. Los valores predeterminados habituales, "public" (lectura) y "private" (escritura), son ampliamente conocidos, por lo que mantenerlos supone un riesgo grave. Cambie siempre los valores predeterminados y, mejor aún, migre a SNMPv3.

SNMP expone abundantes datos sobre el estado de los dispositivos: estado activo o inactivo de las interfaces, bytes y paquetes por interfaz, cantidades de errores y descartes, uso de CPU y memoria, temperatura y tiempo de actividad. Una herramienta de monitorización combina estos datos en gráficos y alertas. Por ejemplo, un aumento de los errores de una interfaz puede indicar un cable defectuoso, mientras que un incremento de la CPU puede advertir que el dispositivo está sobrecargado.

SNMP es excelente para contadores numéricos y estados, pero no es la única fuente de datos. Syslog transporta mensajes de texto sobre eventos, y NetFlow describe quién se comunica con quién y qué cantidad de datos intercambia. Una plataforma de monitorización completa combina métricas de estado de SNMP, eventos de syslog y datos de flujo. Saber qué fuente responde a cada pregunta es una habilidad clave para la resolución de problemas.

Como SNMP puede leer e incluso modificar la configuración de los dispositivos, debe protegerlo cuidadosamente: utilice SNMPv3 para el cifrado y la autenticación, restrinja el acceso a la red de administración mediante ACL, cambie las community strings predeterminadas y desactive SNMP donde no sea necesario. Una configuración de SNMP mal protegida puede revelar detalles de la topología o permitir que un atacante reconfigure los dispositivos.

Compruebe sus conocimientos sobre SNMP.

Ha explorado SNMP. Puntos clave:

• Un manager consulta a los agents de los dispositivos para obtener datos de estado.
• Los valores se almacenan en una MIB y se direccionan mediante OIDs.
• Get/Set son iniciados por el administrador; los traps son alertas iniciadas por el agente (puerto 162; las consultas utilizan el 161).
• v1/v2c utilizan community strings sin cifrar; SNMPv3 añade seguridad.
• Combine SNMP con syslog y datos de flujo para obtener una visibilidad completa.