SNMP e dati sullo stato dei dispositivi

SNMP (Simple Network Management Protocol) è il protocollo standard per raccogliere dati sullo stato e sulle condizioni di dispositivi di rete come router, switch, firewall e server. Un manager centrale comunica con piccoli agent software in esecuzione su ciascun dispositivo e richiede valori come il carico della CPU, lo stato delle interfacce e i contatori del traffico. SNMP è il pilastro della maggior parte dei sistemi di monitoraggio.

SNMP prevede due ruoli. Il manager (chiamato anche Network Management System, o NMS) è il server di monitoraggio che richiede e memorizza i dati. L'agent è il software presente su ciascun dispositivo gestito, che risponde a tali richieste e può inviare avvisi. Il manager esegue il polling di numerosi agent; ogni agent comunica solo informazioni sul proprio dispositivo. Questo modello manager-agent può essere esteso a migliaia di dispositivi.

Ogni agent espone i dati tramite una MIB (Management Information Base), un catalogo strutturato di tutto ciò che può essere letto. Ogni valore ha un OID (Object Identifier), un indirizzo numerico separato da punti, come 1.3.6.1.2.1.1.3.0 per l'uptime del sistema. Il manager richiede uno specifico OID e l'agent restituisce il valore corrente. MIB e OID forniscono a SNMP un linguaggio comune tra produttori diversi.

SNMP utilizza un piccolo insieme di messaggi:

• Get — il manager richiede un valore.
• GetNext / GetBulk — consente di scorrere in modo efficiente molti valori.
• Set — il manager modifica un valore scrivibile.
• Trap / Inform — l'agent segnala un evento al manager.

Get e Set vengono avviati dal manager; le trap vengono avviate dall'agent.

Quando il manager esegue il polling, invia richieste Get secondo una pianificazione e registra le risposte. Nel tempo, queste letture consentono di creare grafici relativi a CPU, memoria e larghezza di banda. Il polling è affidabile per analizzare le tendenze, ma presenta un lieve ritardo, poiché un cambiamento viene rilevato solo al polling successivo. Il polling SNMP normalmente utilizza la porta UDP 161 sull'agent.

Un trap è un messaggio non sollecitato che un agent invia nel momento in cui si verifica qualcosa di rilevante, ad esempio quando un'interfaccia si disattiva o un alimentatore si guasta. I trap raggiungono il manager sulla porta UDP 162. Poiché i trap usano UDP, la consegna non è garantita; un inform è una versione con conferma di ricezione di un trap, che il manager conferma di aver ricevuto.

Tre versioni sono importanti. SNMPv1 e SNMPv2c usano una community string in chiaro come password, una soluzione non sicura perché la stringa viene trasmessa senza cifratura. SNMPv3 aggiunge autenticazione e cifratura, proteggendo sia i dati sia le credenziali. Nell'esame e nella pratica, SNMPv3 è la scelta consigliata per qualsiasi distribuzione moderna e sicura.

Nelle versioni v1 e v2c, una community string controlla l'accesso. Una stringa read-only consente il polling; una stringa read-write consente anche le operazioni Set. I valori predefiniti comuni "public" (lettura) e "private" (scrittura) sono ampiamente noti, quindi lasciarli invariati costituisce un rischio serio. Modificate sempre i valori predefiniti e, ancora meglio, passate a SNMPv3.

SNMP espone numerosi dati sullo stato dei dispositivi: stato attivo/inattivo delle interfacce, byte e pacchetti per interfaccia, conteggi di errori e pacchetti scartati, utilizzo di CPU e memoria, temperatura e uptime. Uno strumento di monitoraggio combina questi dati in grafici e avvisi. Ad esempio, l'aumento degli errori di un'interfaccia può indicare un cavo difettoso, mentre un carico crescente sulla CPU può segnalare che il dispositivo è sovraccarico.

SNMP è eccellente per i contatori numerici e lo stato, ma non è l'unica fonte di dati. Syslog trasporta messaggi testuali relativi agli eventi, mentre NetFlow descrive chi comunica con chi e in quale quantità. Una piattaforma di monitoraggio completa combina metriche sullo stato tramite SNMP, eventi syslog e dati di flusso. Sapere quale fonte può rispondere a una determinata domanda è una competenza fondamentale per la risoluzione dei problemi.

Poiché SNMP può leggere e persino modificare le impostazioni dei dispositivi, proteggetelo con attenzione: usate SNMPv3 per la cifratura e l'autenticazione, limitate l'accesso alla rete di gestione tramite ACL, modificate le community string predefinite e disabilitate SNMP dove non è necessario. Una configurazione SNMP protetta in modo insufficiente può divulgare dettagli sulla topologia o consentire a un aggressore di riconfigurare i dispositivi.

Verificate le vostre conoscenze di SNMP.

Avete esplorato SNMP. Punti chiave:

• Un manager esegue il polling degli agent sui dispositivi per ottenere dati sullo stato.
• I valori risiedono in una MIB e sono indirizzati tramite OID.
• Get/Set vengono avviati dal manager; i trap sono avvisi avviati dagli agent (porta 162, polling sulla 161).
• v1/v2c usano community string in chiaro; SNMPv3 aggiunge la sicurezza.
• Combinate SNMP con syslog e dati di flusso per ottenere una visibilità completa.