SNMP i dane o stanie urządzeń

SNMP (Simple Network Management Protocol) to standardowy protokół służący do zbierania danych o stanie i kondycji urządzeń sieciowych, takich jak routery, przełączniki, zapory sieciowe i serwery. Centralny menedżer komunikuje się z małymi programami agentów działającymi na każdym urządzeniu i pobiera wartości, takie jak obciążenie procesora, stan interfejsu oraz liczniki ruchu. SNMP stanowi podstawę większości systemów monitorowania.

SNMP obejmuje dwie role. Menedżer (nazywany również systemem zarządzania siecią, NMS) to serwer monitorujący, który żąda danych i je przechowuje. Agent to oprogramowanie na każdym zarządzanym urządzeniu, które odpowiada na te żądania i może wysyłać alerty. Menedżer odpytuje wielu agentów, a każdy agent przekazuje informacje wyłącznie o własnym urządzeniu. Ten model menedżer-agent skaluje się do tysięcy urządzeń.

Każdy agent udostępnia dane za pośrednictwem MIB (Management Information Base), czyli uporządkowanego katalogu wszystkich elementów, które można odczytać. Każda wartość ma własny OID (Object Identifier), czyli adres w postaci ciągu liczb rozdzielonych kropkami, na przykład 1.3.6.1.2.1.1.3.0 dla czasu działania systemu. Menedżer żąda konkretnego OID, a agent zwraca jego bieżącą wartość. MIB i OID zapewniają SNMP wspólny język niezależnie od producenta.

SNMP korzysta z niewielkiego zestawu komunikatów:

• Get — menedżer żąda jednej wartości.
• GetNext / GetBulk — efektywne przechodzenie przez wiele wartości.
• Set — menedżer zmienia wartość, którą można zapisywać.
• Trap / Inform — agent zgłasza zdarzenie menedżerowi.

Komunikaty Get i Set są inicjowane przez menedżera, a pułapki — przez agenta.

Gdy menedżer wykonuje odpytywanie, zgodnie z harmonogramem wysyła żądania Get i zapisuje odpowiedzi. Z czasem odczyty te tworzą wykresy obciążenia procesora, wykorzystania pamięci i przepustowości. Odpytywanie jest niezawodne w przypadku trendów, ale wiąże się z niewielkim opóźnieniem, ponieważ o zmianie dowiadujemy się dopiero podczas kolejnego odpytywania. Odpytywanie SNMP zwykle odbywa się za pośrednictwem portu UDP 161 agenta.

Pułapka to niezamówiony komunikat wysyłany przez agenta w chwili wystąpienia istotnego zdarzenia, takiego jak awaria interfejsu lub zasilacza. Pułapki docierają do menedżera przez port UDP 162. Ponieważ pułapki korzystają z UDP, ich dostarczenie nie jest gwarantowane; inform to potwierdzona wersja pułapki, której odebranie menedżer potwierdza.

Istotne są trzy wersje. SNMPv1 i SNMPv2c używają jawnego tekstu community string jako hasła, co jest niebezpieczne, ponieważ jest ono przesyłane bez szyfrowania. SNMPv3 dodaje uwierzytelnianie i szyfrowanie, chroniąc zarówno dane, jak i dane uwierzytelniające. Na egzaminie i w praktyce SNMPv3 jest zalecanym wyborem dla każdego nowoczesnego, bezpiecznego wdrożenia.

W wersjach v1 i v2c dostęp jest kontrolowany przez community string. Ciąg read-only umożliwia odpytywanie, natomiast ciąg read-write pozwala również wykonywać operacje Set. Typowe wartości domyślne „public” (odczyt) i „private” (zapis) są powszechnie znane, więc pozostawienie ich stanowi poważne zagrożenie. Zawsze należy zmieniać wartości domyślne, a najlepiej przejść na SNMPv3.

SNMP udostępnia bogate dane o stanie urządzeń: stan interfejsu up/down, liczbę bajtów i pakietów dla każdego interfejsu, liczbę błędów i odrzuceń, użycie procesora i pamięci, temperaturę oraz czas działania. Narzędzie monitorujące łączy te dane w wykresy i alerty. Na przykład rosnąca liczba błędów interfejsu może wskazywać na uszkodzony kabel, a wzrost użycia procesora może ostrzegać o przeciążeniu urządzenia.

SNMP doskonale nadaje się do monitorowania liczników liczbowych i stanów, ale nie jest jedynym źródłem danych. Syslog przenosi tekstowe komunikaty o zdarzeniach, a NetFlow opisuje, kto komunikuje się z kim i w jakiej ilości. Kompletna platforma monitorująca łączy metryki stanu z SNMP, zdarzenia syslog oraz dane o przepływach. Wiedza o tym, które źródło odpowiada na dane pytanie, jest kluczową umiejętnością podczas rozwiązywania problemów.

Ponieważ SNMP może odczytywać, a nawet zmieniać ustawienia urządzeń, należy odpowiednio je zabezpieczyć: używać SNMPv3 do szyfrowania i uwierzytelniania, ograniczyć dostęp do sieci zarządzającej za pomocą list ACL, zmienić domyślne ciągi community oraz wyłączyć SNMP tam, gdzie nie jest potrzebne. Nieprawidłowo zabezpieczona konfiguracja SNMP może ujawnić szczegóły topologii lub umożliwić napastnikowi rekonfigurację urządzeń.

Sprawdź swoją wiedzę o SNMP.

Poznali Państwo SNMP. Najważniejsze informacje:

• Menedżer odpytuje agentów na urządzeniach w celu uzyskania danych o ich stanie.
• Wartości są przechowywane w MIB i adresowane za pomocą OID.
• Get/Set są inicjowane przez menedżera, a pułapki to alerty inicjowane przez agenta (port 162, odpytywanie przez port 161).
• v1/v2c używają jawnych ciągów community, a SNMPv3 dodaje zabezpieczenia.
• Połączenie SNMP z syslogiem i danymi o przepływach zapewnia pełny wgląd w sieć.