SNMP 和设备健康数据

SNMP（简单网络管理协议）是从路由器、交换机、防火墙和服务器等网络设备收集运行状况与状态数据的标准协议。中央管理器与运行在每台设备上的小型软件代理通信，获取 CPU 负载、接口状态和流量计数器等数值。SNMP 是大多数监控系统的基础。

SNMP 有两个角色。管理器（也称为网络管理系统，即 NMS）是负责请求和存储数据的监控服务器。代理是运行在每台受管理设备上的软件，负责回应请求并可以发送告警。管理器会轮询许多代理；每个代理只报告自身设备的信息。这种管理器—代理模型可以扩展到数千台设备。

每个代理都通过MIB（管理信息库）公开数据。MIB 是一份结构化目录，列出所有可读取的内容。每个值都有一个OID（对象标识符），即类似 1.3.6.1.2.1.1.3.0 的点分数字地址，用于表示系统正常运行时间。管理器请求特定的 OID，代理则返回其当前值。MIB 和 OID 让不同厂商的设备能够使用共同的语言进行 SNMP 通信。

SNMP 使用一组简短的消息：

• Get——管理器请求一个值。
• GetNext / GetBulk——高效地遍历多个值。
• Set——管理器更改一个可写值。
• Trap / Inform——代理向管理器报告事件。

Get 和 Set 由管理器发起；陷阱消息由代理发起。

管理器进行轮询时，会按计划发送 Get 请求并记录响应。随着时间推移，这些读数会形成 CPU、内存和带宽图表。轮询适合观察趋势且可靠，但会有轻微延迟，因为您只能在下一次轮询时获知变化。SNMP 轮询通常通过代理的 UDP 161 端口运行。

陷阱消息是代理在某些值得注意的事情发生时立即发送的未经请求的消息，例如接口中断或电源故障。陷阱消息通过 UDP 端口 162 到达管理器。由于陷阱消息使用 UDP，因此无法保证送达；通知是陷阱消息的一种需要确认的版本，由管理器确认已收到。

有三个版本值得关注。SNMPv1 和 SNMPv2c 使用明文社区字符串作为密码，由于该字符串以未加密的形式传输，因此并不安全。SNMPv3 增加了身份验证和加密功能，同时保护数据和凭据。在考试和实际应用中，对于任何现代的安全部署，SNMPv3 都是推荐选择。

在 v1 和 v2c 中，社区字符串用于控制访问。只读字符串允许进行轮询；读写字符串还允许执行设置操作。常见的默认值“public”（读）和“private”（写）广为人知，因此保留这些默认值会带来严重风险。请始终更改默认值，更好的做法是迁移到 SNMPv3。

SNMP 可以提供丰富的设备健康数据：接口的启用或停用状态、每个接口的字节数和数据包数、错误和丢弃计数、CPU 和内存使用率、温度以及运行时间。监控工具会将这些数据组合成图表和警报。例如，接口错误不断增加可能暗示网线损坏，而 CPU 使用率持续升高可能表明设备负载过重。

SNMP 非常适合提供数值计数器和状态信息，但它并不是唯一的数据源。系统日志承载文本事件消息，而 NetFlow描述谁在与谁通信以及通信量有多大。完整的监控平台会结合 SNMP 健康指标、系统日志事件和流量数据。了解哪个数据源能够回答哪个问题，是排查故障的一项重要技能。

由于 SNMP 可以读取甚至更改设备设置，因此必须谨慎保护它：使用 SNMPv3 进行加密和身份验证，使用访问控制列表将访问限制在管理网络内，更改默认社区字符串，并在不需要的地方禁用 SNMP。安全措施不当的 SNMP 配置可能会泄露拓扑详细信息，或让攻击者重新配置设备。

测试您对 SNMP 的了解。

您已经了解了 SNMP。要点：

• 管理器会轮询设备上的代理，以获取健康数据。
• 数值存储在 MIB 中，并通过对象标识符进行寻址。
• 获取和设置操作由管理器发起；陷阱消息是由代理发起的警报（端口 162，轮询使用 161）。
• v1/v2c 使用明文社区字符串；SNMPv3增加了安全性。
• 将 SNMP 与系统日志和流量数据结合起来，才能获得完整的可见性。