SNMP et données d’état des appareils

SNMP (protocole simple de gestion de réseau) est le protocole standard utilisé pour recueillir les données d'état et de fonctionnement d'appareils réseau tels que les routeurs, les commutateurs, les pare-feu et les serveurs. Un gestionnaire central communique avec de petits logiciels appelés agents, exécutés sur chaque appareil, et leur demande des valeurs telles que la charge du CPU, l'état des interfaces et les compteurs de trafic. SNMP est la base de la plupart des systèmes de surveillance.

SNMP comporte deux rôles. Le gestionnaire (également appelé système de gestion de réseau, ou NMS) est le serveur de surveillance qui demande et stocke les données. L'agent est un logiciel installé sur chaque appareil géré ; il répond à ces demandes et peut envoyer des alertes. Le gestionnaire interroge de nombreux agents ; chaque agent ne transmet des informations que sur son propre appareil. Ce modèle gestionnaire-agent peut s'adapter à des milliers d'appareils.

Chaque agent expose les données au moyen d'une MIB (base d'informations de gestion), un catalogue structuré de tout ce qui peut être consulté. Chaque valeur possède un OID (identifiant d'objet), une adresse composée de nombres séparés par des points, comme 1.3.6.1.2.1.1.3.0 pour le temps de fonctionnement du système. Le gestionnaire demande un OID précis et l'agent renvoie sa valeur actuelle. Les MIB et les OID donnent à SNMP un langage commun entre les fournisseurs.

SNMP utilise un petit ensemble de messages :

• Lecture — le gestionnaire demande une valeur.
• GetNext / GetBulk — parcourir efficacement de nombreuses valeurs.
• Écriture — le gestionnaire modifie une valeur accessible en écriture.
• Notification / Inform — l'agent signale un événement au gestionnaire.

Les lectures et les écritures sont lancées par le gestionnaire ; les notifications sont lancées par l'agent.

Lorsque le gestionnaire interroge les appareils, il envoie des demandes Get selon une fréquence définie et enregistre les réponses. Au fil du temps, ces relevés permettent de créer des graphiques du CPU, de la mémoire et de la bande passante. L'interrogation est fiable pour suivre les tendances, mais présente un léger retard, car vous ne découvrez une modification qu'à l'interrogation suivante. L'interrogation SNMP utilise normalement le port UDP 161 sur l'agent.

Un trap est un message non sollicité qu’un agent envoie dès qu’un événement notable se produit, par exemple lorsqu’une interface tombe ou qu’une alimentation tombe en panne. Les traps parviennent au gestionnaire sur le port UDP 162. Comme les traps utilisent UDP, leur livraison n’est pas garantie ; un inform est une version accusée de réception d’un trap, que le gestionnaire confirme avoir reçu.

Trois versions sont importantes. SNMPv1 et SNMPv2c utilisent une chaîne de communauté en clair comme mot de passe, ce qui est dangereux puisqu’elle circule sans chiffrement. SNMPv3 ajoute l’authentification et le chiffrement, protégeant à la fois les données et les identifiants. Pour l’examen comme en pratique, SNMPv3 est le choix recommandé pour tout déploiement moderne et sécurisé.

Dans v1 et v2c, une chaîne de communauté contrôle l’accès. Une chaîne en lecture seule autorise l’interrogation ; une chaîne en lecture-écriture autorise également les opérations Set. Les valeurs par défaut courantes « public » (lecture) et « private » (écriture) sont largement connues ; les conserver représente donc un risque sérieux. Modifiez toujours les valeurs par défaut et, mieux encore, passez à SNMPv3.

SNMP expose de nombreuses données sur l’état des équipements : état actif ou inactif des interfaces, nombre d’octets et de paquets par interface, compteurs d’erreurs et de rejets, utilisation du CPU et de la mémoire, température et durée de fonctionnement. Un outil de supervision combine ces données dans des graphiques et des alertes. Par exemple, l’augmentation des erreurs d’une interface peut indiquer un câble défectueux, tandis qu’une hausse de l’utilisation du CPU peut signaler la surcharge d’un équipement.

SNMP est excellent pour les compteurs numériques et les états, mais ce n’est pas la seule source de données. Syslog transporte des messages textuels d’événements, et NetFlow décrit qui communique avec qui et en quelle quantité. Une plateforme de supervision complète combine les indicateurs d’état SNMP, les événements syslog et les données de flux. Savoir quelle source répond à quelle question est une compétence essentielle pour résoudre les problèmes.

Comme SNMP peut lire et même modifier les paramètres des équipements, sécurisez-le avec soin : utilisez SNMPv3 pour le chiffrement et l’authentification, limitez l’accès au réseau de gestion à l’aide de listes de contrôle d’accès, modifiez les chaînes de communauté par défaut et désactivez SNMP lorsqu’il n’est pas nécessaire. Une configuration SNMP mal sécurisée peut divulguer des informations sur la topologie ou permettre à un attaquant de reconfigurer les équipements.

Testez vos connaissances sur SNMP.

Vous avez découvert SNMP. Points clés :

• Un gestionnaire interroge les agents des équipements pour obtenir des données d’état.
• Les valeurs sont stockées dans une MIB et sont désignées par des OID.
• Get/Set sont initiés par le gestionnaire ; les traps sont des alertes initiées par les agents (port 162, interrogation sur le 161).
• v1/v2c utilisent des chaînes de communauté en clair ; SNMPv3 ajoute la sécurité.
• Combinez SNMP avec syslog et les données de flux pour obtenir une visibilité complète.