SNMP og data om enheters tilstand

Hver agent eksponerer data gjennom en MIB (Management Information Base), en strukturert katalog over alt som kan leses. Hver verdi har en OID (Object Identifier), en adresse med punktseparerte tall, som 1.3.6.1.2.1.1.3.0 for systemets oppetid. Manageren ber om en bestemt OID, og agenten returnerer den gjeldende verdien. MIB-er og OID-er gir SNMP et felles språk på tvers av leverandører.

SNMP bruker et lite sett med meldinger:

• Get — manageren ber om én verdi.
• GetNext / GetBulk — går effektivt gjennom mange verdier.
• Set — manageren endrer en skrivbar verdi.
• Trap / Inform — agenten rapporterer en hendelse til manageren.

Get og Set startes av manageren, mens traps startes av agenten.

Når manageren utfører polling, sender den Get-forespørsler etter en fast plan og registrerer svarene. Over tid danner disse målingene grafer over CPU, minne og båndbredde. Polling er pålitelig for trender, men noe forsinket, siden du først får vite om en endring ved neste pollingrunde. SNMP-polling kjøres vanligvis over UDP-port 161 på agenten.

En trap er en uoppfordret melding som en agent sender idet noe bemerkelsesverdig skjer, for eksempel når et grensesnitt går ned eller en strømforsyning svikter. Traps når manageren på UDP-port 162. Siden traps bruker UDP, er levering ikke garantert; en inform er en bekreftet variant av en trap som manageren bekrefter at den har mottatt.

Tre versjoner er relevante. SNMPv1 og SNMPv2c bruker en klartekstbasert community string som passord, noe som er usikkert fordi den sendes ukryptert. SNMPv3 legger til autentisering og kryptering og beskytter både dataene og legitimasjonen. På eksamen og i praksis er SNMPv3 det anbefalte valget for enhver moderne, sikker implementering.

I v1 og v2c styrer en community string tilgangen. En read-only-streng tillater polling; en read-write-streng tillater også Set-operasjoner. De vanlige standardverdiene "public" (lesing) og "private" (skriving) er allment kjent, så det innebærer en alvorlig risiko å la dem stå. Endre alltid standardverdiene, og gå helst over til SNMPv3.

SNMP gir tilgang til omfattende helsedata om enheter: status for om grensesnitt er oppe eller nede, byte og pakker per grensesnitt, antall feil og forkastede pakker, CPU- og minnebruk, temperatur og oppetid. Et overvåkingsverktøy kombinerer dette til grafer og varsler. Økende grensesnittfeil kan for eksempel tyde på en dårlig kabel, mens stigende CPU-bruk kan varsle om en overbelastet enhet.

SNMP er utmerket for numeriske tellere og status, men det er ikke den eneste datakilden. Syslog formidler tekstbaserte hendelsesmeldinger, mens NetFlow beskriver hvem som kommuniserer med hvem, og hvor mye data som utveksles. En komplett overvåkingsplattform kombinerer SNMP-helsedata, syslog-hendelser og flytdata. Å vite hvilken kilde som besvarer hvilket spørsmål, er en viktig ferdighet innen feilsøking.

Siden SNMP kan lese og til og med endre innstillinger på enheter, må det sikres nøye: bruk SNMPv3 for kryptering og autentisering, begrens tilgangen til administrasjonsnettverket med ACL-er, endre standardverdiene for community strings, og deaktiver SNMP der det ikke trengs. Et dårlig sikret SNMP-oppsett kan lekke informasjon om topologien eller la en angriper konfigurere enheter på nytt.

Du har utforsket SNMP. Viktige punkter:

• En manager henter data fra agenter på enheter for å få helsedata.
• Verdier ligger i en MIB og adresseres med OIDs.
• Get/Set initieres av manageren; traps er varsler initiert av agenten (port 162, polling på 161).
• v1/v2c bruker klartekstbaserte community strings; SNMPv3 legger til sikkerhet.
• Kombiner SNMP med syslog- og flytdata for full oversikt.