SNMP และข้อมูลสถานะอุปกรณ์

SNMP (Simple Network Management Protocol) เป็นโพรโทคอลมาตรฐานสำหรับรวบรวมข้อมูลสถานะและสุขภาพจากอุปกรณ์เครือข่าย เช่น เราเตอร์ สวิตช์ ไฟร์วอลล์ และเซิร์ฟเวอร์ ตัวจัดการส่วนกลางจะสื่อสารกับตัวแทนซอฟต์แวร์ขนาดเล็กที่ทำงานอยู่บนอุปกรณ์แต่ละเครื่อง เพื่อขอค่าต่าง ๆ เช่น ภาระของ CPU สถานะอินเทอร์เฟซ และตัวนับการรับส่งข้อมูล SNMP เป็นแกนหลักของระบบตรวจสอบส่วนใหญ่

SNMP มีบทบาทอยู่สองแบบ ตัวจัดการ (หรือเรียกอีกอย่างว่า Network Management System หรือ NMS) คือเซิร์ฟเวอร์ตรวจสอบที่ร้องขอและจัดเก็บข้อมูล ส่วนตัวแทนคือซอฟต์แวร์บนอุปกรณ์ที่ได้รับการจัดการแต่ละเครื่อง ซึ่งตอบคำขอเหล่านั้นและสามารถส่งการแจ้งเตือนได้ ตัวจัดการจะโพลตัวแทนจำนวนมาก ขณะที่ตัวแทนแต่ละตัวจะรายงานเฉพาะอุปกรณ์ของตนเอง รูปแบบตัวจัดการกับตัวแทนนี้รองรับการขยายไปถึงอุปกรณ์หลายพันเครื่อง

ตัวแทนแต่ละตัวเปิดเผยข้อมูลผ่าน MIB (Management Information Base) ซึ่งเป็นแค็ตตาล็อกที่มีโครงสร้างสำหรับทุกสิ่งที่สามารถอ่านได้ ทุกค่าจะมี OID (Object Identifier) เป็นที่อยู่ในรูปตัวเลขคั่นด้วยจุด เช่น 1.3.6.1.2.1.1.3.0 สำหรับเวลาทำงานของระบบ ตัวจัดการจะร้องขอ OID ที่ระบุ แล้วตัวแทนจะส่งค่าปัจจุบันกลับมา MIB และ OID ทำให้ SNMP มีภาษากลางที่ใช้ได้กับผู้ผลิตหลายราย

SNMP ใช้ข้อความจำนวนไม่มาก:

• Get — ตัวจัดการร้องขอหนึ่งค่า
• GetNext / GetBulk — ไล่ดูค่าจำนวนมากอย่างมีประสิทธิภาพ
• Set — ตัวจัดการเปลี่ยนค่าที่สามารถเขียนได้
• Trap / Inform — ตัวแทนรายงานเหตุการณ์ไปยังตัวจัดการ

Get และ Set เริ่มต้นโดยตัวจัดการ ส่วนกับดักเริ่มต้นโดยตัวแทน

เมื่อตัวจัดการโพล จะส่งคำขอ Get ตามรอบเวลาและบันทึกคำตอบ เมื่อเวลาผ่านไป ค่าที่อ่านได้เหล่านี้จะสร้างกราฟของ CPU หน่วยความจำ และแบนด์วิดท์ การโพลเชื่อถือได้สำหรับดูแนวโน้ม แต่มีความล่าช้าเล็กน้อย เนื่องจากคุณจะทราบการเปลี่ยนแปลงเมื่อถึงรอบโพลถัดไปเท่านั้น โดยปกติการโพล SNMP จะทำงานผ่านพอร์ต UDP 161 บนตัวแทน

กับดักคือข้อความที่ตัวแทนส่งออกมาโดยไม่ได้ถูกร้องขอทันทีที่เกิดเหตุการณ์สำคัญบางอย่าง เช่น อินเทอร์เฟซหยุดทำงานหรือแหล่งจ่ายไฟขัดข้อง กับดักจะส่งไปถึงตัวจัดการผ่านพอร์ต UDP 162 เนื่องจากกับดักใช้ UDP จึงไม่รับประกันว่าจะส่งถึงปลายทาง ส่วน การแจ้งเตือนคือกับดักรูปแบบที่มีการยืนยัน โดยตัวจัดการจะยืนยันว่าได้รับแล้ว

มีอยู่สามเวอร์ชันที่สำคัญ SNMPv1 และ SNMPv2c ใช้ สตริงชุมชนแบบข้อความล้วนเป็นรหัสผ่าน ซึ่งไม่ปลอดภัยเพราะถูกส่งโดยไม่มีการเข้ารหัส ส่วน SNMPv3 เพิ่มการตรวจสอบสิทธิ์และการเข้ารหัส จึงช่วยปกป้องทั้งข้อมูลและข้อมูลรับรอง ในการสอบและการใช้งานจริง SNMPv3 เป็นตัวเลือกที่แนะนำสำหรับการติดตั้งใช้งานสมัยใหม่ที่ต้องการความปลอดภัย

ใน v1 และ v2c สตริงชุมชนจะควบคุมการเข้าถึง สตริงแบบ อ่านอย่างเดียวอนุญาตให้เรียกดูข้อมูล ส่วนสตริงแบบ อ่านและเขียนยังอนุญาตให้ดำเนินการ Set ได้ ค่าเริ่มต้นทั่วไปคือ "public" (อ่าน) และ "private" (เขียน) ซึ่งเป็นที่รู้จักอย่างแพร่หลาย ดังนั้นการปล่อยให้ใช้ค่าเหล่านี้จึงมีความเสี่ยงร้ายแรง ควรเปลี่ยนค่าเริ่มต้นเสมอ และหากเป็นไปได้ควรเปลี่ยนไปใช้ SNMPv3

SNMP เปิดเผยข้อมูลสุขภาพของอุปกรณ์ได้มากมาย เช่น สถานะอินเทอร์เฟซว่าทำงานหรือหยุดทำงาน จำนวนไบต์และแพ็กเก็ตของแต่ละอินเทอร์เฟซ จำนวนข้อผิดพลาดและการทิ้งแพ็กเก็ต การใช้งาน CPU และหน่วยความจำ อุณหภูมิ และเวลาทำงาน เครื่องมือเฝ้าระวังจะนำข้อมูลเหล่านี้มาสร้างกราฟและการแจ้งเตือน ตัวอย่างเช่น ข้อผิดพลาดของอินเทอร์เฟซที่เพิ่มขึ้นอาจบ่งชี้ว่าสายเคเบิลมีปัญหา ขณะที่การใช้งาน CPU ที่สูงขึ้นอาจเตือนว่าอุปกรณ์ทำงานหนักเกินไป

SNMP เหมาะอย่างยิ่งสำหรับตัวนับเชิงตัวเลขและสถานะ แต่ไม่ใช่แหล่งข้อมูลเพียงแหล่งเดียว Syslogใช้ส่งข้อความเหตุการณ์แบบตัวอักษร ส่วน NetFlowอธิบายว่าใครกำลังสื่อสารกับใครและใช้ปริมาณเท่าใด แพลตฟอร์มเฝ้าระวังที่ครบถ้วนจะผสานข้อมูลตัวชี้วัดสุขภาพจาก SNMP เหตุการณ์จากระบบบันทึกเหตุการณ์ และข้อมูลโฟลว์เข้าด้วยกัน การรู้ว่าแหล่งข้อมูลใดตอบคำถามใดได้ เป็นทักษะสำคัญในการแก้ไขปัญหา

เนื่องจาก SNMP สามารถอ่านและแม้กระทั่งเปลี่ยนการตั้งค่าอุปกรณ์ได้ จึงต้องรักษาความปลอดภัยอย่างรอบคอบ: ใช้ SNMPv3 เพื่อเข้ารหัสและตรวจสอบสิทธิ์ จำกัดการเข้าถึงเครือข่ายจัดการด้วยรายการควบคุมการเข้าถึง เปลี่ยนสตริงชุมชนเริ่มต้น และปิดใช้ SNMP ในจุดที่ไม่จำเป็น การตั้งค่า SNMP ที่รักษาความปลอดภัยไม่ดีอาจทำให้รายละเอียดโครงสร้างเครือข่ายรั่วไหล หรือเปิดโอกาสให้ผู้โจมตีปรับการตั้งค่าอุปกรณ์ใหม่

ทดสอบความรู้เกี่ยวกับ SNMP ของคุณ

คุณได้สำรวจ SNMP แล้ว ประเด็นสำคัญ:

• ตัวจัดการจะเรียกดูข้อมูลจากตัวแทนบนอุปกรณ์เพื่อรับข้อมูลสุขภาพ
• ค่าต่าง ๆ อยู่ใน MIB และระบุที่อยู่ด้วยตัวระบุวัตถุ
• Get/Set เริ่มต้นโดยตัวจัดการ ส่วนกับดักเป็นการแจ้งเตือนที่ตัวแทนเริ่มส่งเอง (พอร์ต 162 ส่วนการเรียกดูข้อมูลใช้พอร์ต 161)
• v1/v2c ใช้สตริงชุมชนแบบข้อความล้วน ส่วนSNMPv3เพิ่มความปลอดภัย
• ผสาน SNMP เข้ากับระบบบันทึกเหตุการณ์และข้อมูลโฟลว์เพื่อให้มองเห็นภาพรวมได้ครบถ้วน