SNMP ja laitteiden kuntotiedot

SNMP (Simple Network Management Protocol) on standardiprotokolla, jolla kerätään tila- ja kuntotietoja verkkolaitteista, kuten reitittimistä, kytkimistä, palomuureista ja palvelimista. Keskitetty hallintaohjelma keskustelee jokaisessa laitteessa toimivien pienten agenttien kanssa ja pyytää niiltä esimerkiksi suorittimen kuormituksen, liitäntöjen tilan ja liikennelaskureiden arvoja. SNMP on useimpien valvontajärjestelmien perusta.

SNMP:ssä on kaksi roolia. Hallintaohjelma (jota kutsutaan myös Network Management Systemiksi eli NMS:ksi) on valvontapalvelin, joka pyytää ja tallentaa tietoja. Agentti on jokaisessa hallittavassa laitteessa toimiva ohjelmisto, joka vastaa pyyntöihin ja voi lähettää hälytyksiä. Hallintaohjelma tekee kyselyitä monille agenteille, ja kukin agentti raportoi vain omasta laitteestaan. Tämä hallintaohjelman ja agenttien malli skaalautuu tuhansiin laitteisiin.

Kukin agentti tarjoaa tietoja MIB:n (Management Information Base) kautta. Se on jäsennelty luettelo kaikesta luettavissa olevasta tiedosta. Jokaisella arvolla on OID-tunniste (Object Identifier), pisteillä eroteltu numero-osoite, kuten järjestelmän käytettävyyden ilmaiseva 1.3.6.1.2.1.1.3.0. Hallintaohjelma pyytää tiettyä OID-tunnistetta, ja agentti palauttaa sen nykyisen arvon. MIB:t ja OID-tunnisteet tarjoavat SNMP:lle yhteisen kielen eri valmistajien laitteiden välillä.

SNMP käyttää pientä joukkoa viestejä:

• Get — hallintaohjelma pyytää yhtä arvoa.
• GetNext / GetBulk — käydään tehokkaasti läpi useita arvoja.
• Set — hallintaohjelma muuttaa kirjoitettavissa olevaa arvoa.
• Trap / Inform — agentti raportoi tapahtumasta hallintaohjelmalle.

Get- ja Set-viestit ovat hallintaohjelman aloittamia; trap-viestit ovat agentin aloittamia.

Kun hallintaohjelma tekee kyselyn, se lähettää Get-pyyntöjä aikataulun mukaan ja tallentaa vastaukset. Ajan mittaan näistä lukemista muodostetaan suorittimen, muistin ja kaistanleveyden kuvaajia. Kyselyt soveltuvat hyvin trendien seuraamiseen, mutta niissä on hieman viivettä, koska muutos havaitaan vasta seuraavan kyselyn yhteydessä. SNMP-kyselyt käyttävät agentissa yleensä UDP-porttia 161.

Trap on agentin pyytämättä lähettämä viesti, joka lähetetään heti, kun jotain huomionarvoista tapahtuu, kuten rajapinnan poistuminen käytöstä tai virtalähteen vikaantuminen. Trap-viestit saapuvat managerille UDP-porttiin 162. Koska trap-viestit käyttävät UDP:tä, niiden perillemenoa ei taata; inform on trap-viestin kuitattu versio, jonka manager vahvistaa vastaanottaneensa.

Kolme versiota ovat olennaisia. SNMPv1 ja SNMPv2c käyttävät salaamatonta community string -merkkijonoa salasanana. Tämä on turvatonta, koska merkkijono siirtyy salaamattomana. SNMPv3 lisää todennuksen ja salauksen, joten sekä tiedot että tunnistetiedot ovat suojattuja. Sekä kokeessa että käytännössä SNMPv3 on suositeltu valinta kaikkiin nykyaikaisiin ja turvallisiin käyttöönottoihin.

v1- ja v2c-versioissa community string -merkkijono hallitsee käyttöoikeuksia. read-only -merkkijono sallii kyselyt; read-write -merkkijono sallii lisäksi Set-operaatiot. Yleiset oletusarvot "public" (luku) ja "private" (kirjoitus) tunnetaan laajalti, joten niiden käyttäminen sellaisenaan on vakava riski. Vaihtakaa oletusarvot aina ja siirtykää mieluiten SNMPv3:een.

SNMP paljastaa runsaasti laitteen terveystietoja: rajapinnan käytössä tai poissa käytöstä olemisen, rajapintakohtaiset tavut ja paketit, virheiden ja hylkäysten määrät, suorittimen ja muistin käytön, lämpötilan sekä käyttöajan. Valvontatyökalu kokoaa näistä kaavioita ja hälytyksiä. Esimerkiksi rajapintavirheiden lisääntyminen voi viitata viallista kaapelia kohti, kun taas suorittimen kuormituksen kasvu voi varoittaa ylikuormittuneesta laitteesta.

SNMP soveltuu erinomaisesti numeerisiin laskureihin ja tilatietoihin, mutta se ei ole ainoa tietolähde. Syslog välittää tekstimuotoisia tapahtumaviestejä, ja NetFlow kuvaa, kuka viestii kenen kanssa ja kuinka paljon. Kattava valvonta-alusta yhdistää SNMP:n terveystiedot, syslog-tapahtumat ja vuotiedot. Keskeinen vianmääritystaito on tietää, mikä lähde vastaa mihinkin kysymykseen.

Koska SNMP:llä voi lukea ja jopa muuttaa laitteiden asetuksia, suojatkaa se huolellisesti: käyttäkää SNMPv3:a salaukseen ja todennukseen, rajoittakaa pääsy hallintaverkkoon ACL-luetteloilla, vaihtakaa oletusarvoiset community string -merkkijonot ja poistakaa SNMP käytöstä siellä, missä sitä ei tarvita. Huonosti suojattu SNMP-asennus voi vuotaa tietoja verkkotopologiasta tai antaa hyökkääjälle mahdollisuuden määrittää laitteet uudelleen.

Tutustuitte SNMP:hen. Keskeiset asiat:

• Manager kysyy laitteilta olevilta agenteilta terveystietoja.
• Arvot sijaitsevat MIB:ssä, ja niihin viitataan OID-tunnisteilla.
• Get/Set ovat managerin aloittamia; trap-viestit ovat agentin aloittamia hälytyksiä (portti 162, kyselyt portissa 161).
• v1/v2c käyttävät salaamattomia community string -merkkijonoja; SNMPv3 lisää suojauksen.
• Yhdistäkää SNMP syslog- ja vuotietoihin kattavan näkyvyyden saavuttamiseksi.