Сбор точной информации о серверах и инфраструктуре – очень важный аспект системного администрирования. Существует множество инструментов для сбора и обработки таких данных, и многие их них основаны на технологии SNMP.
SNMP (Simple Network Management Protocol) – это средство, с помощью которого серверы могут обмениваться информацией о своем текущем состоянии, а также канал, по которому администратор может управлять параметрами сервера. Сам протокол SNMP очень простой, однако структура программ, реализующих SNMP, может быть очень сложной.
Читайте также:
Данное руководство поможет установить и подготовить к работе SNMP на сервере Ubuntu 14.04.
Примечание: С небольшими коррективами руководство можно выполнить на другом дистрибутиве Linux.
1: Установка демона и утилит SNMP
Для работы мы используем два сервера: первый в качестве менеджера, а второй – в качестве агента. В целом и менеджер, и агент можно установить на одну машину, но установка компонентов на разные машины позволит вам подробнее ознакомиться с их функциями.
Подключитесь к серверу 1, обновите индекс пакетов и установите программное обеспечение snmp. Также нужно загрузить пакет snmp-mibs-downloader, в котором хранится служебная информация о стандартных MIB, с помощью которой можно получить доступ к иерархии MIB по имени.
sudo apt-get update
sudo apt-get install snmp snmp-mibs-downloader
Перейдите на сервер 2 и установите на него пакеты snmp.
sudo apt-get update
sudo apt-get install snmpd
2: Настройка менеджера SNMP
Большая часть работы будет выполнена на агенте, потому настройка менеджера не займёт много времени. На этой машине нужно только открыть клиенту доступ к дополнительным данным MIB.
Откройте файл /etc/snmp/snmp.conf:
sudo nano /etc/snmp/snmp.conf
Файл содержит несколько закомментированных строк и всего одну незакомментированную строку. Чтобы позволить менеджеру импортировать файлы MIB, нужно просто закомментировать следующую строку:
#mibs :
Сохраните и закройте файл.
3: Настройка агента SNMP
Как правило, в клиент-серверной системе агент не имеет никаких внешних инструментов, необходимых для настройки SNMP. Можно отредактировать некоторые конфигурационные файлы агента, но большая часть настроек все равно выполняется путём подключения менеджера к агенту.
Для начала нужно открыть конфигурационный файл демона на агенте.
sudo nano /etc/snmp/snmpd.conf
Откорректируйте директиву agentAddress; на данный момент она поддерживает только соединения, исходящие с локального компьютера. Нужно закомментировать эту строку и раскомментировать следующую строку, что разрешает все соединения (в дальнейшем доступ будет ограничен).
# Listen for connections from the local system only
#agentAddress udp:127.0.0.1:161
# Listen for connections on all interfaces (both IPv4 *and* IPv6)
agentAddress udp:161,udp6:[::1]:161
Затем нужно временно добавить строку createUser. Эта директива обычно не хранится в этом файле, поэтому добавить её нужно только на некоторое время.
Создайте пользователя bootstrap, который будет использоваться в качестве шаблона для создания обычных пользователей. Пакеты SNMP делают это путём клонирования параметров пользователей.
Создавая нового пользователя, укажите тип аутентификации (MD5 или SHA) и пароль (минимум 8 символов). Если вы планируете использовать шифрование для передачи данных, вы также должны указать протокол шифрования (DES или AES) и пароль для него (по желанию). Если вы не выберете пароль для протокола шифрования, вместо него будет использоваться пароль аутентификации.
createUser bootstrap MD5 temp_password DES
Теперь новый пользователь добавлен. Выберите уровень доступа для этого пользователя (bootstrap), а также для пользователя, который будет создан позже (он условно называется demo). Передайте им права на чтение и запись при помощи директивы rwuser (права только на чтение передаёт директива rouser).
Чтобы сделать шифрование обязательным, после настроек пользователя добавьте параметр priv. Чтобы ограничить пользователя определённой частью MIB, нужно указать OID высшего уровня, к которому пользователь должен иметь доступ.
rwuser bootstrap priv
rwuser demo priv
Сохраните и закройте файл.
Перезапустите сервис snmpd:
sudo service snmpd restart
Теперь можно перейти на сервер 1 (менеджер) и подключиться к агенту, чтобы создать обычного пользователя. Для этого используется инструмент snmpusm. Вам нужно знать IP агента.
4: Общая структура команд SNMP
При работе с набором net-snmp используется несколько шаблонов для вызова команд.
Сначала нужно пройти аутентификацию и подключиться к демону SNMP. Для этого могут понадобиться следующие флаги:
- -v (version): задаёт версию SNMP-протокола (в данной статье используется версия 3).
- -c (community): определяет версию строки доступа (v1 или v2); поскольку мы используем версию 3, этот параметр нам не нужен.
- -u (user-name): указывает имя пользователя, которого нужно авторизовать. Чтобы пользователь имел право на чтение и изменение, он должен быть зарегистрирован в SNMP.
- -l (level): задаёт уровень безопасности для подключения. Можно использовать такие значения: noAuthNoPriv (без аутентификации), authNoPriv (аутентификация без шифрования) и authPriv (аутентификация и шифрование). Кроме того, указанный пользователь должен иметь доступ к выбранному уровню безопасности, иначе он не сможет подключиться.
- -a (protocol): определяет протокол аутентификации, MD5 или SHA. Это значение должно совпадать с информацией пользователя, указанной при его создании.
- -x (protocol): определяет протокол шифрования, DES или AES. Это значение должно совпадать с информацией пользователя, указанной при его создании. Протокол шифрования обязательно нужно указывать, если в настройках пользователя есть параметр priv.
- -A (passphrase): пароль для аутентификации пользователя.
- -X (passphrase): пароль шифрования. Если вы не указали этот пароль, вместо него будет использоваться пароль для аутентификации. Это пароль обязательно нужно указывать, если в настройках пользователя есть параметр priv.
Теперь вы можете написать команду. Ваша команда может отличаться в зависимости от параметров пользователя. Общий синтаксис:
snmp_command -u bootstrap -l authPriv -a MD5 -x DES -A temp_password -X temp_password remote_host snmp_sub_command_or_options
К примеру, чтобы убедиться, что пользователь bootstrap доступен, нужно запустить на менеджере:
snmpget -u bootstrap -l authPriv -a MD5 -x DES -A temp_password -X temp_password remote_host 1.3.6.1.2.1.1.1.0
SNMPv2-MIB::sysDescr.0 = STRING: Linux target 3.13.0-24-generic #46-Ubuntu SMP Thu Apr 10 19:11:08 UTC 2014 x86_64
Строка 1.3.6.1.2.1.1.1.0 – это OID, который отвечает за отображение данных сиситемы. В удаленной системе он выведет результат команды uname –a.
Убедившись, что пользователь может пройти аутентификацию, можно создать аккаунт обычного пользователя.
5: Создание обычного пользователя
Привилегии пользователя demo уже указаны в файле snmpd.conf,но пока что этого пользователя не существует. Используйте аккаунт bootstrap в качестве шаблона для нового пользователя.
Перейдите на сервер 1 (менеджер) и создайте пользователя по шаблону с помощью инструмента snmpusm. Общий синтаксис имеет такой вид:
snmpusm authentication_info remote_host create new_user existing_user
С помощью шаблона (bootstrap) и флагов вы можете создать пользователя с необходимым уровнем привилегий.
snmpusm -u bootstrap -l authPriv -a MD5 -x DES -A temp_password -X temp_password remote_host create demo bootstrap
User successfully created.
Теперь на удалённом сервере есть полностью готовый к работе пользователь demo. Однако пока что он использует те же учётные данные, что и bootstrap. Измените пароль пользователя. Выполните аутентификацию как demo и выберите новый пароль (8 символов минимум).
snmpusm -u demo -l authPriv -a MD5 -x DES -A temp_password -X temp_password remote_host passwd temp_password my_new_password
SNMPv3 Key(s) successfully changed.
Теперь вы можете проверить учётные данные. Для этого нужно запросить у удалённого сервера информацию о том, как давно работает сервер SNMP. Используйте snmpget.
Теперь можно использовать загруженные ранее дополнительные определения MIB, чтобы запросить значение по имени, а не по ID его OID.
snmpget -u demo -l authPriv -a MD5 -x DES -A my_new_password -X my_new_password remote_host sysUpTime.0
Команда сообщит, когда в последний раз перезапускался сервис SNMP:
DISMAN-EVENT-MIB::sysUpTimeInstance = Timeticks: (383018) 1:03:50.18
6: Создание конфигурационного файла клиента
Как видите, параметры аутентификации в каждой команде SNMP почти не меняются . Чтобы не вводить их каждый раз, на стороне клиента можно создать конфигурационный файл, который будет содержать все необходимые учетные данные.
Конфигурационный файл клиента можно разместить в двух разных местах в зависимости от того, насколько широко распространяются его настройки.
Если вы хотите использовать одни учётные данные для всех валидных пользователей на менеджере, вы можете поместить данные в файл snmp.conf.
sudo nano /etc/snmp/snmp.conf
Если же вы хотите создать учётные данные только для одного пользователя, вы можете создать скрытый каталог .snmp и создать в нём файл:
mkdir ~/.snmp
cd ~/.snmp
nano snmp.conf
Вне зависимости от вашего выбора файл будет содержать одни и те же параметры.
Команды для аутентификации вы найдёте в таблице ниже. Справа находятся директивы, которые нужно добавить в snmp.conf.
| Флаг | Описание | Translated snmp.confdirective |
| -u USERNAME | Имя пользователя SNMPv3, которого нужно аутентифицировать. | defSecurityName USERNAME |
| -l authPriv | Уровень безопасности аутентификации. | defSecurityLevel authPriv |
| -a MD5 | Протокол для аутентификации. | defAuthType MD5 |
| -x DES | Протокол шифрования | defPrivType DES |
| -A PASSPHRASE | Пароль для аутентификации. | defAuthPassphrase PASSPHRASE |
| -X PASSPHRASE | Пароль для шифрования. | defPrivPassphrase PASSPHRASE |
С помощью этих данных вы можете составить файл snmp.conf. В данном случае он выглядит так:
defSecurityName demo
defSecurityLevel authPriv
defAuthType MD5
defPrivType DES
defAuthPassphrase my_new_password
defPrivPassphrase my_new_password
Сохраните и закройте файл.
Теперь вы можете выполнять команды без параметров аутентификации. Нужно ввести только команду SNMP, хост и аргументы команды.
Вместо
snmpget -u demo -l authPriv -a MD5 -x DES -A my_new_password -X my_new_password remote_host sysUpTime.0
теперь можно вводить:
snmpget remote_host sysUpTime.0
Теперь команды значительно короче.
7: Удаление пользователя
Пользователь bootstrap был нужен как шаблон для создания других пользователей. Теперь его можно удалить.
Перейдите на сервер 2 (агент) и откройте /etc/snmp/snmpd.conf.
Найдите и закомментируйте (или удалите) строки с параметрами пользователя bootstrap.
#createUser bootstrap MD5 temp_password DES
#rwuser bootstrap priv
Сохраните и закройте файл.
Перезапустите SNMP.
sudo service snmpd restart
Теперь в файле snmpd.conf нет директив createUser.
Чтобы полностью удалить пользователя bootstrap из usmUserTable, запустите на менеджере:
snmpusm remote_host delete bootstrap
Вы получите такой вывод:
User successfully deleted.
Заключение
Теперь у вас есть рабочая установка клиент- сервер SNMP. Вы можете установить демон на другие хосты и добавить их в инфраструктуру.
В следующем руководстве речь пойдёт о базовых инструментах net-snmp.