SNMP: من v2c المكشوف إلى SNMPv3

الـ SNMP هو اللي تراقب فيه أنظمة المراقبة الأجهزة. والـ v2c يرسل الـ community نص مكشوف، وكثير شبكات للحين عندها public بصلاحية كتابة. نجرّب الخطر، ونبني SNMPv3 صح: view يحدد وش يتشاف، و group بمستوى priv، و user بـ SHA و AES، ونقرا من الـ NMS، ونرسل traps مشفّرة.

ضمن مسار ENARSI 300-410 — التوجيه المتقدم وخدمات الشبكات

شرح الدرس مكتوبًا

نص شرح المعلم والكود الذي كتبه ونتيجة تشغيله، بنفس ترتيب الدرس.

حيّاك الله. الـ SNMP بروتوكول المراقبة: server المراقبة، أو الـ NMS، يسأل الأجهزة عن حالتها: الـ CPU، والواجهات، والـ traffic. والأجهزة ترسل له تنبيهات اسمها traps. و SNMP له ثلاث نسخ. v1 و v2c: الحماية بكلمة اسمها community، تنرسل نص مكشوف. و v3: فيه مستخدمين، و authentication بـ hash، و encryption. وفي v3 ثلاث مستويات: noAuthNoPriv، و authNoPriv، و authPriv، والأخير هو المطلوب. المعمل: R1 عليه community اسمها public بصلاحية RW، يعني قراءة وكتابة. والـ NMS هو SRV. نجرّب من الـ server نقرا اسم الراوتر بـ v2c.

SRV

snmpget -v2c -c public 10.0.0.1 sysName.0

رد فوراً، باسم R1. وأي أحد يعرف الكلمة public، أو يلتقطها من الشبكة، يقدر يقرا كل شي، ومع RW يقدر يغيّر إعدادات. نشيلها، ونبني v3 بثلاث طبقات. view اسمه NOCVIEW، فيه فرع system بس. group اسمه NOC، بمستوى priv، ويقرا من NOCVIEW. وبعدها المستخدم.

configure terminal
no snmp-server community public
snmp-server view NOCVIEW system included
snmp-server group NOC v3 priv read NOCVIEW
end

SRV

snmpget -v2c -c public 10.0.0.1 sysName.0

الـ v2c صار timeout. الحين دورك. سوّ المستخدم NOCADMIN في الـ group NOC، بـ auth sha وكلمة Basma-Auth1، و priv aes one twenty eight وكلمة Basma-Priv1. وجرّب snmpget بـ v3 من الـ server. وقّف الفيديو، وجرّب.

تمرين: على R1: snmp-server user NOCADMIN NOC v3 auth sha Basma-Auth1 priv aes 128 Basma-Priv1. على SRV: snmpget -v3 -u NOCADMIN -l authPriv -a SHA -A Basma-Auth1 -x AES -X Basma-Priv1 10.0.0.1 sysName.0

الحل.

configure terminal
snmp-server user NOCADMIN NOC v3 auth sha Basma-Auth1 priv aes 128 Basma-Priv1
end

SRV

snmpget -v3 -u NOCADMIN -l authPriv -a SHA -A Basma-Auth1 -x AES -X Basma-Priv1 10.0.0.1 sysName.0
snmpwalk -v3 -u NOCADMIN -l authPriv -a SHA -A Basma-Auth1 -x AES -X Basma-Priv1 10.0.0.1 iso

الـ snmpget رجع اسم الراوتر، والـ snmpwalk عرض بس فرع system: sysName، و sysLocation، وغيرها، وما فيه أي شي عن الواجهات. لأن الـ view NOCVIEW فيه system بس. ونقطة: المستخدمين في v3 ما يطلعون في show running-config، عشان كلمات السر. تشوفهم بـ show snmp user. والجزء الأخير: الـ traps، بنفس الأمان.

configure terminal
snmp-server enable traps
snmp-server host 10.0.0.10 version 3 priv NOCADMIN
end
show snmp user

الـ traps الحين تنرسل لـ SRV بـ v3 و priv، مشفّرة. وفي show snmp user: المستخدم NOCADMIN، و SHA، و AES one twenty eight، و group NOC. وفي التشخيص: لو الـ NMS ما يقرا، تشيك الـ view، ومستوى الـ group، وكلمات السر، وإن فيه ACL على snmp-server. الخلاصة: v2c مكشوف، و v3 authPriv بـ view و group و user. والدرس الجاي: الـ syslog.

دروس المسار (74)