SNMP原理介紹與實(shí)際運(yùn)用

寫(xiě)在前面

如果你是對(duì)SNMP完全不了解，或者只想學(xué)習(xí)如何使用現(xiàn)成的SNMP工具，那你找對(duì)了文章，但如果你希望學(xué)習(xí)SNMP具體協(xié)議內(nèi)容，推薦閱讀官方的RFC文檔。

1. 簡(jiǎn)介

SNMP(Simple Network Management Protocol) 設(shè)計(jì)在TCP/IP協(xié)議簇上的，為網(wǎng)絡(luò)節(jié)點(diǎn)提供了一個(gè)通用的管理方法。對(duì)于系統(tǒng)維護(hù)人員，SNMP是其必須要掌握的一個(gè)工具。同時(shí)，如果你是一名BMC工程師，那你也必須掌握這門(mén)技術(shù)，SNMP常常會(huì)被部署在其Linux系統(tǒng)中，專門(mén)用于管理BMC所監(jiān)視的所有系統(tǒng)硬件資源。

2. MIB介紹

在你要了解SNMP前，你必須先要了解一下MIB是什么。MIB全程Management Information Base,其主要負(fù)責(zé)為所有的被管理網(wǎng)絡(luò)節(jié)點(diǎn)建立一個(gè)“接口”，本質(zhì)是類似IP地址的一串?dāng)?shù)字。例如我們會(huì)在使用SNMP的時(shí)候見(jiàn)到這樣一組數(shù)字串：

.1.3.6.1.2.1.1.5.0

在這串?dāng)?shù)字中，每個(gè)數(shù)字都代表一個(gè)節(jié)點(diǎn)，其含義可以參考下表：

顯然，這個(gè)數(shù)字串可以直接理解為系統(tǒng)的名字。在實(shí)際使用中，我們將其作為參數(shù)可以讀取該節(jié)點(diǎn)的值，如果有寫(xiě)權(quán)限的話還可以更改該節(jié)點(diǎn)的值，因此，SNMP對(duì)于系統(tǒng)管理員提供了一套極為便利的工具。但，在一般使用中，我們一般不使用這種節(jié)點(diǎn)的表達(dá)方式，而是使用更為容易理解的方式，對(duì)于上面的這個(gè)例子，其往往可以使用SNMPv2-MIB::sysName.0所替代。

你可能會(huì)想，系統(tǒng)能理解它的含義嗎？那你就多慮了，一般在下載SNMP工具包的時(shí)候還會(huì)下載一個(gè)MIB包，其提供了所有節(jié)點(diǎn)的樹(shù)形結(jié)構(gòu)。在該結(jié)構(gòu)中可以方便的查找對(duì)應(yīng)的替換表達(dá)?；蛘?，如果你不嫌麻煩還可以到OID查詢網(wǎng)站查找對(duì)應(yīng)的替換表達(dá)。

3. SNMP原理介紹

SNMP有兩個(gè)內(nèi)容，其一是其本身，專門(mén)負(fù)責(zé)管理節(jié)點(diǎn)，其二是一個(gè)Trap，用于監(jiān)測(cè)報(bào)警。通俗的理解，SNMP可以看作是一個(gè)C/S結(jié)構(gòu)。在客戶機(jī)中，一般會(huì)部署一個(gè)snmpd的守護(hù)進(jìn)程，而在服務(wù)端（管理端）會(huì)下載一個(gè)snmp工具包，這個(gè)包中包含了許多用于管理客戶端網(wǎng)絡(luò)節(jié)點(diǎn)的的工具，例如get，set，translate等等。下圖可能會(huì)幫你更加清晰的理解這個(gè)概念：

上圖中，161表示的是雙方進(jìn)行通信時(shí)所用的默認(rèn)端口號(hào)，被管理端會(huì)打開(kāi)一個(gè)守護(hù)進(jìn)程，負(fù)責(zé)監(jiān)聽(tīng)161端口發(fā)來(lái)的請(qǐng)求；管理端會(huì)提供一個(gè)SNMP工具包，利用工具包中的命令可以向被管理端的161端口發(fā)送請(qǐng)求包，以獲取響應(yīng)。

除此之外，管理端還會(huì)開(kāi)啟一個(gè)SNMPTrapd守護(hù)進(jìn)程，用于接受被管理端向自己的162端口發(fā)送來(lái)的snmptrap請(qǐng)求，這一機(jī)制主要用于被管理端的自動(dòng)報(bào)警中，一旦被管理端的某個(gè)節(jié)點(diǎn)出現(xiàn)故障，系統(tǒng)自動(dòng)會(huì)發(fā)送snmptrap包，從而遠(yuǎn)端的系統(tǒng)管理員可以及時(shí)的知道問(wèn)題。更為詳細(xì)的介紹推薦閱讀《TCP/IP詳解 卷一》。這里推薦大家關(guān)注公眾號(hào)：網(wǎng)絡(luò)技術(shù)干貨圈，每天都會(huì)發(fā)布網(wǎng)絡(luò)技術(shù)方面的文章。

4. 實(shí)際運(yùn)用

目前較為流行的一些SNMP工具有Net-SNMP，其專門(mén)運(yùn)行在Linux系統(tǒng)中，以及可以運(yùn)行在Windows系統(tǒng)的iReasoning MIB Browser。

4.1. Net-SNMP

Net-SNMP獲取的方式有很多種，可以在其官方網(wǎng)站下載，或者直接使用Linux發(fā)行版的包獲取命令都可以。安裝好之后，你可以通過(guò)修改/etc/snmp/snmpd.conf文件來(lái)進(jìn)行配置你的Net-SNMP。接下來(lái)我們會(huì)對(duì)常用的一些SNMP工具包做一些介紹：

snmpd:這是一個(gè)SNMP的守護(hù)進(jìn)程，用于部署在客戶機(jī)端，可以通過(guò)修改/etc/snmp/snmpd.conf文件來(lái)配置community(通俗點(diǎn)說(shuō)就是密碼)，監(jiān)聽(tīng)I(yíng)P及端口及其他內(nèi)容，你可以使用 sudo /etc/init.d/snmpd restart/start/stop 重啟/開(kāi)啟/關(guān)閉該進(jìn)程。

snmpget:這個(gè)命令可以用于獲取被管理端某個(gè)節(jié)點(diǎn)的值，用法很簡(jiǎn)單，例如我們可以使用snmpget -v 2c -c public localhost SNMPv2-MIB::sysName.0 來(lái)獲取被管理端系統(tǒng)名稱，運(yùn)行之后你會(huì)得到這樣一條信息SNMPv2-MIB::sysName.0 = STRING: ubuntu。當(dāng)然了，如果你的Linux主機(jī)是Redhat，那你的結(jié)果肯定會(huì)和我不大一樣。除此之外，我們?cè)賮?lái)看一下參數(shù)，-v 表示的是SNMP的版本號(hào)，到目前為止一共有三個(gè)版本(1|2c|3)，最常用的后面兩個(gè)版本，而本文所講的都是2c版本；-c表示的是community，其參數(shù)應(yīng)該填寫(xiě)你在snmpd配置文件中設(shè)定的值；localhost 表示的是被管理端的IP地址，此處我是在自己電腦上測(cè)的，所以是localhost；最后面的一項(xiàng)內(nèi)容是要訪問(wèn)的節(jié)點(diǎn)，你既可以輸入OID，即那一串?dāng)?shù)字，也可以輸入其代表的內(nèi)容，更多信息可以使用snmpget -h 查看。

snmpset:這個(gè)命令用于設(shè)置某個(gè)節(jié)點(diǎn)的值，用法與get類似，snmpset -v 2c -c public localhost SNMPv2-MIB::sysContact.0 s 'test'會(huì)設(shè)該節(jié)點(diǎn)的值為test（不知道為什么，我的電腦上提示該節(jié)點(diǎn)notwritable，總之這個(gè)指令我目前位置還沒(méi)用到過(guò)），s表示的是字符串賦值類型，test的賦值內(nèi)容。

snmpwalk:這個(gè)指令很有用，可以將某一個(gè)節(jié)點(diǎn)下的所有被管理的子節(jié)點(diǎn)內(nèi)容都打印出來(lái)，例如我們使用 snmpwalk -v 2c -c public localhost SNMPv2-MIB::system 可以打印system節(jié)點(diǎn)所有被管理子節(jié)點(diǎn)的信息。

snmptranslate:用于翻譯OID，例如我們使用 snmptranslate -Td SNMPv2-MIB::system 可以知道system節(jié)點(diǎn)所使用的數(shù)字OID，反之亦然。

snmptrap:可以向管理端發(fā)送trap包，主要用于報(bào)警，例如我們可以使用sudo snmptrap -v 2c -c public localhost "cxy" .1.3.6.1.2.1.1 SNMPv2-MIB::sysContact.0 s 'test' 向管理端發(fā)送一個(gè)trap包，管理端即可直接查獲并通知管理員，這就為被管理端提供了一種主動(dòng)向管理端通訊的機(jī)制。另外，可以看到參數(shù)中多了一些內(nèi)容，"cxy"是管理端的用戶名，.1.3.6.1.2.1.1是主OID，而后面的則是具體的OID及其內(nèi)容。

snmptrapd:部署在管理端，可以通過(guò)修改/etc/snmp/snmptrapd.conf來(lái)配置其認(rèn)證方式，一般使用命令sudo snmptrapd -df -Lo 啟動(dòng)該服務(wù)，可以通過(guò)檢查162端口確認(rèn)其啟動(dòng)。

4.2. MIB-Browser

你可以在官網(wǎng)下載地址獲取該應(yīng)用，由于是圖形化界面，所以使用極為簡(jiǎn)單，下圖是SNMP工具的主界面。

當(dāng)然，你還可以在Tools中找到Trap Reciever與Trap Sender，其分別對(duì)應(yīng)snmptrapd與snmptrap。

5. Q&A

獲取信息時(shí)出現(xiàn)超時(shí)或被拒絕你應(yīng)該檢查snmpd.conf文件的community是否和你命令的-c選項(xiàng)對(duì)應(yīng)，或者是否監(jiān)聽(tīng)端口是否對(duì)所有IP開(kāi)放，但更多的時(shí)候是因?yàn)榉阑饓Φ脑?，只要關(guān)掉就好了。

snmpset時(shí)出現(xiàn)無(wú)權(quán)限的問(wèn)題需要設(shè)置snmpd.conf文件中的rwcommunity。

snmptrap失敗查看snmptrapd.conf文件的配置。這里推薦大家關(guān)注公眾號(hào)：網(wǎng)絡(luò)技術(shù)干貨圈，每天都會(huì)發(fā)布網(wǎng)絡(luò)技術(shù)方面的文章。

OID查找不到的情況需要下載snmp-mibs-downloader包，并且將/etc/snmp/snmp.conf中的第一行mib:注釋掉。

6. configuration example

下面是我在Ubuntu16.04中的一些關(guān)于Net-SNMP的相關(guān)配置文件：

/etc/snmp/snmp.conf

# As the snmp packages come without MIB files due to license reasons, loading
# of MIBs is disabled by default. If you added the MIBs you can reenable
# loading them by commenting out the following line.
#mibs :

/etc/snmp/snmpd.conf

#
#EXAMPLE-trap.conf:
#AnexampleconfigurationfileforconfiguringtheNet-SNMPsnmptrapdagent.
#
###############################################################################
#
#Thisfileisintendedtoonlybeanexample.
#Whenthesnmptrapdagentstartsup,thisiswhereitwilllookforit.
#
#Alllinesbeginningwitha'#'arecommentsandareintendedforyou
#toread.Allotherlinesareconfigurationcommandsfortheagent.

#
#PLEASE:readthesnmptrapd.conf(5)manualpageaswell!
#
#authCommunitylog,execute,netprivate
authCommunitylog,execute,netpublic
#
##sendmailwhengetanyevents
#traphandledefault/usr/bin/traptoemail-ssmtp.qq.com1484652026@qq.com
#
##sendmailwhengetlinkDown
#traphandle.1.3.6.1.6.3.1.1.5.3/usr/bin/traptoemail-ssmtp.example.orgfoobar@example.org

/etc/snmp/snmpd.conf

###############################################################################
#
#EXAMPLE.conf:
#AnexampleconfigurationfileforconfiguringtheNet-SNMPagent('snmpd')
#Seethe'snmpd.conf(5)'manpagefordetails
#
#Someentriesaredeliberatelycommentedout,andwillneedtobeexplicitlyactivated
#
###############################################################################
#
#AGENTBEHAVIOUR
#

#Listenforconnectionsfromthelocalsystemonly
#agentAddressudp161
#Listenforconnectionsonallinterfaces(bothIPv4*and*IPv6)
#agentAddressudp:161,udp6:[::1]:161



###############################################################################
#
#SNMPv3AUTHENTICATION
#
#Notethattheseparticularsettingsdon'tactuallybelonghere.
#Theyshouldbecopiedtothefile/var/lib/snmp/snmpd.conf
#andthepasswordschanged,beforebeinguncommentedinthatfile*only*.
#Thenrestarttheagent

#createUserauthOnlyUserMD5"remembertochangethispassword"
#createUserauthPrivUserSHA"remembertochangethisonetoo"DES
#createUserinternalUserMD5"thisisonlyeverusedinternally,butstillchangethepassword"

#Ifyoualsochangetheusernames(whichmightbesensible),
#thenremembertoupdatetheotheroccurancesinthisexampleconfigfiletomatch.



###############################################################################
#
#ACCESSCONTROL
#

#system+hrSystemgroupsonly
#viewsystemonlyincluded.1.3.6.1.2.1.1
#viewsystemonlyincluded.1.3.6.1.2.1.25.1
viewsystemonlyincluded.1

#Fullaccessfromthelocalhost
#rocommunitypubliclocalhost
#Defaultaccesstobasicsysteminfo
rwcommunitypublicdefault-Vsystemonly
#rocommunity6isforIPv6
rwcommunity6publicdefault-Vsystemonly

#Fullaccessfromanexamplenetwork
#Adjustthisnetworkaddresstomatchyourlocal
#settings,changethecommunitystring,
#andcheckthe'agentAddress'settingabove
#rocommunitysecret10.0.0.0/16

#Fullread-onlyaccessforSNMPv3
rouserauthOnlyUser
#Fullwriteaccessforencryptedrequests
#Remembertoactivatethe'createUser'linesabove
#rwuserauthPrivUserpriv

#It'snolongertypicallynecessarytousethefull'com2sec/group/access'configuration
#r[ow]userandr[ow]community,togetherwithsuitableviews,shouldcovermostrequirements



###############################################################################
#
#SYSTEMINFORMATION
#

#Notethatsettingthesevalueshere,resultsinthecorrespondingMIBobjectsbeing'read-only'
#Seesnmpd.conf(5)formoredetails
sysLocationSittingontheDockoftheBay
sysContactMe
#Application+End-to-Endlayers
sysServices72


#
#ProcessMonitoring
#
#Atleastone'mountd'process
procmountd
#Nomorethan4'ntalkd'processes-0isOK
procntalkd4
#Atleastone'sendmail'process,butnomorethan10
procsendmail101

#WalktheUCD-SNMP-MIB::prTabletoseetheresultingoutput
#Notethatthistablewillbeemptyifthereareno"proc"entriesinthesnmpd.conffile


#
#DiskMonitoring
#
#10MBsrequiredonrootdisk,5%freeon/var,10%freeonallotherdisks
disk/10000
disk/var5%
includeAllDisks10%

#WalktheUCD-SNMP-MIB::dskTabletoseetheresultingoutput
#Notethatthistablewillbeemptyifthereareno"disk"entriesinthesnmpd.conffile


#
#SystemLoad
#
#Unacceptable1-,5-,and15-minuteloadaverages
load12105

#WalktheUCD-SNMP-MIB::laTabletoseetheresultingoutput
#Notethatthistable*will*bepopulated,evenwithouta"load"entryinthesnmpd.conffile



###############################################################################
#
#ACTIVEMONITORING
#

#sendSNMPv1traps
trapsinklocalhostpublic
#sendSNMPv2ctraps
#trap2sinklocalhostpublic
#sendSNMPv2cINFORMs
#informsinklocalhostpublic

#Notethatyoutypicallyonlywant*one*ofthesethreelines
#Uncommentingtwo(orallthree)willresultinmultiplecopiesofeachnotification.


#
#EventMIB-automaticallygeneratealerts
#
#Remembertoactivatethe'createUser'linesabove
iquerySecNameinternalUser
rouserinternalUser
#generatetrapsonUCDerrorconditions
defaultMonitorsyes
#generatetrapsonlinkUp/Down
linkUpDownNotificationsyes



###############################################################################
#
#EXTENDINGTHEAGENT
#

#
#Arbitraryextensioncommands
#
extendtest1/bin/echoHello,world!
extend-shtest2echoHello,world!;echoHithere;exit35
#extend-shtest3/bin/sh/tmp/shtest

#Notethatthislastentryrequiresthescript'/tmp/shtest'tobecreatedfirst,
#containingthesamethreeshellcommands,beforethelineisuncommented

#WalktheNET-SNMP-EXTEND-MIBtables(nsExtendConfigTable,nsExtendOutput1Table
#andnsExtendOutput2Table)toseetheresultingoutput

#Notethatthe"extend"directivesupercedestheprevious"exec"and"sh"directives
#However,walkingtheUCD-SNMP-MIB::extTableshouldstillreturnsthesameoutput,
#aswellasthefullerresultsintheabovetables.


#
#"Pass-through"MIBextensioncommand
#
#pass.1.3.6.1.4.1.8072.2.255/bin/shPREFIX/local/passtest
#pass.1.3.6.1.4.1.8072.2.255/usr/bin/perlPREFIX/local/passtest.pl

#Notethatthisrequiresoneofthetwo'passtest'scriptstobeinstalledfirst,
#beforetheappropriatelineisuncommented.
#Thesescriptscanbefoundinthe'local'directoryofthesourcedistribution,
#andarenotinstalledautomatically.

#WalktheNET-SNMP-PASS-MIB::netSnmpPassExamplessubtreetoseetheresultingoutput


#
#AgentXSub-agents
#
#RunasanAgentXmasteragent
masteragentx
#Listenfornetworkconnections(fromlocalhost)
#ratherthanthedefaultnamedsocket/var/agentx/master
#agentXSockettcp705
@example.org>

審核編輯：劉清