Wie Sie SNMP unter Linux konfigurieren

Wir haben bereits über SNMP gesprochen und darüber, dass es für die meisten Anwendungsfälle nicht die bestmögliche Lösung ist. Doch trotz seiner Probleme, seiner fehlenden Leistungsverbesserungen und der wachsenden Liste von Alternativen wird SNMP uns noch nicht verlassen. Dafür gibt es verschiedene Gründe, die den Rahmen dieses Artikels jedoch sprengen würden. Es genügt zu sagen, dass SNMP gut etabliert und bis heute in vielen Netzwerken präsent ist. Die Unterstützung durch die Hersteller wird daher auch in nächster Zeit nicht nachlassen, sodass IT-Teams weiterhin mit der Konfiguration von SNMP konfrontiert sind (ob sie wollen oder nicht).

Glücklicherweise ist die Einrichtung von SNMP unter Linux keine große Herausforderung. Sie besteht größtenteils aus der Konfiguration von SNMP, dem Daemon-Teil, und dem Erlernen einer Handvoll Commands, dem Tool-Teil. Beides dauert nicht allzu lange.

Die verschiedenen SNMP-Versionen

Um SNMP unter Linux zu konfigurieren, ist ein kurzer Exkurs über die verschiedenen Versionen des Protokolls erforderlich. Die ursprüngliche Version des SNMP-Protokolls war v1, die in den 1980er Jahren entwickelt wurde. Später wurde das Protokoll von v2 abgelöst, das vor allem mehr Sicherheit und Authentifizierungsmechanismen bot. v2 hat zwei Varianten, v2c und v2u. v2c bietet ein Community-basiertes Sicherheitsmodell, während v2u mit einem User-basierten Modell arbeitet (wie in RFC1910 beschrieben).

SNMP v2u hat sich nie wirklich durchgesetzt, aber ein Teil seiner Funktionen wurde für die Entwicklung von v3 verwendet. Da v2c viel verbreiter ist, beziehen wir uns immer darauf, wenn wir in diesem Artikel von v2 reden.

v3 ist die neueste Version des SNMP-Protokolls. Der größte Unterschied zu seinen Vorgängern ist die zusätzliche Verschlüsselungsunterstützung mit all seinen Vor- und Nachteilen.

SNMP-Monitoring unter Linux

Die Referenzimplementierung für SNMP-Monitoring unter Linux ist das Paket net-snmp. net-snmp stammt aus dem Jahr 1992 und ist für alle wichtigen Linux-Distributionen verfügbar. Es unterstützt alle Versionen des SNMP-Protokolls, wobei v3 die empfohlene Version ist. Es wird aktiv entwickelt und erhält seit vielen Jahren monatliche Commits.

Das Paket besteht in der Regel aus zwei separaten Komponenten: den Tools zur Nutzung des Protokolls und dem Daemon zur Installation auf einem Linux-Host sowie zur Konfiguration und Überwachung des Protokolls. Unter Ubuntu und anderen Debian-basierten Distributionen heißen die Tools snmp und der Daemon snmpd. Unter Red Hat befinden sich die Tools im Paket net-snmp-utils und der Daemon in net-snmp. Bei anderen Distributionen können beide Komponenten im selben Paket enthalten sein, im Allgemeinen einfach​​​​​​​ net-snmp.

Der Daemon ermöglicht das Monitoring des lokalen Hosts durch einen externen Host über SNMP, während die Tools den umgekehrten Weg gehen. Je nach Ihren Bedürfnissen für SNMP-Monitoring unter Linux kann es erforderlich sein, beide zu installieren.

Was ist snmpd?

snmpd unter Linux ist der Daemon-Teil von net-snmp. Nach seiner Installation erstellt er einen SNMP-Host, der Anfragen von anderen Hosts annehmen und beantworten, Benachrichtigungen (TRAPs und INFORMs im SNMP-Jargon) ausgeben und einige Self-Monitoring-Aufgaben durchführen kann. Das SNMP-Protokoll ermöglicht die grundlegende Konfiguration von Hosts und snmpd wird benötigt, um diese Fähigkeiten zu nutzen.

Was sind die Tools für SNMP-Monitoring unter Linux?

snmptranslate

snmpget

snmpgetnext

snmpwalk

snmptable

snmpset

snmpbulkget

snmptrap

TRAPs werden im Allgemeinen von SNMP-Agenten gesendet, um einer Verwaltungsstation (in unserem Fall einem Linux-Server) anormale Bedingungen zu melden. Um TRAPs selbst zu erzeugen, steht das Tool snmptrap zur Verfügung. Für v2/v3 lautet die Syntax:

$ snmptrap -v 2c -c public host "" UCD-NOTIFICATION-TEST-MIB::demoNotif \
   SNMPv2-MIB::sysLocation.0 s "Just here"

Ersetzen Sie 2c durch v3, wenn Sie mit einem SNMP v3-Agenten kommunizieren.

Wie Sie SNMP unter Linux konfigurieren

Konfigurieren Sie SNMP unter Linux (v1 und v2)

Konfigurieren Sie SNMP unter Linux (v3)

Die Konfiguration von snmpd unter Linux mit der neuesten Version des Protokolls ist etwas komplexer als bei den Vorgängerversionen. Zunächst einmal gibt es jetzt zwei Konfigurationsdateien: nicht nur /etc/snmp/snmpd.conf, sondern auch /var/lib/net-snmp/snmpd.conf. Glücklicherweise enthält das net-snmp-Paket mit net-snmp-create-v3-user einen Command-Helper, mit dem Sie konfigurieren können, unter wem der SNMP-Linux-Server laufen soll.

Stellen Sie sicher, dass Sie den Daemon anhalten und erstellen Sie den SNMP-Admin mit:

$ net-snmp-create-v3-user
Enter a SNMPv3 user name to create:
admin
Enter authentication pass-phrase:
yourpassphraseofchoice
Enter encryption pass-phrase:
  [press return to reuse the authentication pass-phrase]

  adding the following line to /var/lib/net-snmp/snmpd.conf:
     createUser admin MD5 "yourpassphraseofchoice" DES
  adding the following line to /etc/snmp/snmpd.conf:
     rwuser admin 

Die letzte rwuser-Richtlinie hat ein ähnliches Format wie die obige Community:

  user [noauth|auth|priv] [OID]

user ist ein Benutzername und OID ist der Baum, auf den Zugriff gewährt werden soll. Standardmäßig lässt der snmpd-Daemon in v3 nur authentifizierte Anfragen (auth) zu, während die Option noauth jede beliebige Anfrage zulässt und die Option priv die Verschlüsselung erzwingt. Die Strings lassen sich kombinieren. Unsere empfohlene Option für maximale Sicherheit ist authpriv, was spezifiziert, dass Anfragen authentifiziert und Antworten verschlüsselt werden müssen.

Um das nicht sehr hohe Standard-Sicherheitsniveau von snmpd zu verbessern, können einige Optionen zu net-snmp-create-v3-user hinzugefügt werden:

• -a SHA: verwendet den moderneren SHA-Hashing-Algorithmus anstelle von MD5.
• -x AES: verwendet die AES-Verschlüsselung anstelle des veralteten DES.

Beide Optionen sollten gesetzt werden, da sie die Kommunikations- und Authentifizierungsschritte auf sicherere Protokolle umstellen. Leider entspricht keines der beiden Protokolle den modernen Standards. SNMP ist daher für eine moderne Organisation, die Hosts und Geräte in einer sicheren, privaten und effizienten Umgebung überwachen möchte, keine gute Wahl.

SNMP unter Linux zu konfigurieren ist nicht schwer... aber ist es das wert?

Die SNMP-Konfiguration ist in der Tat nicht das Schwierigste, was es gibt. Dennoch ist es eine weitere Software, die Sie, im Falle von snmpd, handhaben müssen oder die Sie, im Falle der verschiedenen Tools, die​​​​​​net-snmp liefert, beherrschen müssen. Und wer überwacht den Überwacher? Vor allem, wenn SNMP durch den Hersteller auf den Geräten installiert wurde. Das ist ein weiteres Fehlerrisiko, das Sie vermeiden können. Vor allem, wenn Sie ein wahrscheinlich bald völlig veraltetes Protokoll unterstützen.

Angesichts der zahlreichen Alternativen und der Tatsache, dass die großen Hersteller SNMP nicht mehr verwenden, erscheint es unnötig, sich die Mühe zu machen, es zusammen mit modernen Monitoring-Lösungen einzurichten. Wir raten definitiv davon ab, es zu verwenden, wenn es sich vermeiden lässt.

Aber oft liegt die Entscheidung nicht bei Ihnen: sei es, weil die Infrastruktur bereits vorhanden ist oder weil einige wenige Hosts nur SNMP unterstützen können, sind wir manchmal gezwungen, SNMP zu verwenden. Es wird uns auf jeden Fall noch eine Weile begleiten. Und glücklicherweise ist die Konfiguration aus Sicht eines Linux-Hosts definitiv nicht kompliziert.

SNMP bietet viele Lernmaterialien, die einer ahnungslosen Person den Einstieg in die Konfiguration eines SNMP-Linux-Hosts erleichtern. Dieser Artikel mit eingeschlossen.