TP sur SNMP : proposition de correction

Transcription

1 FOSSIER Dimitri GELUS Jean-Philippe GRATTA Florent SOUBEYRAND Rémi THEVENON Julien 1. Installation / configuration On installe le package snmp: debian:~# apt-cache search snmp debian:~# apt-get install snmpd TP sur SNMP : proposition de correction Le fichier snmpd.conf se trouve dans : /etc/snmp/ Les fichier des MIBs se trouvent dans: /usr/share/snmp/mibs/ (pour les systèmes Debian) a) L'OID de syscontact est: Pour l obtenir, on a utilisé la commande suivante: debian:~# snmptranslate -IR syscontact b) Nous effectuons la commande suivante pour afficher l'arbre de la hiérarchie system: debian:~# snmptranslate -Tp system +--system(1) +-- -R-- String sysdescr(1) +-- -R-- ObjID sysobjectid(2) +-- -R-- TimeTicks sysuptime(3) +-- -RW- String syscontact(4) +-- -RW- String sysname(5) +-- -RW- String syslocation(6) +-- -R-- INTEGER sysservices(7) Range: R-- TimeTicks sysorlastchange(8) Textual Convention: TimeStamp +--sysortable(9) +--sysorentry(1) Index: sysorindex INTEGER sysorindex(1) Range: R-- ObjID sysorid(2) +-- -R-- String sysordescr(3)

2 +-- -R-- TimeTicks sysoruptime(4) Textual Convention: TimeStamp c) La commande suivante permet de récupérer la description de la machine debian:~# snmpget public sysdescr.0 system.sysdescr.0 = Linux debian #11 SMP Tue Mar 4 12:05:29 CET 2003 i686 d) Nous créons une community string private avec les droits read et write à partir de localhost. Ensuite nous effectuons la commande suivante: debian:~# snmpset localhost private system.syscontact.0 s "dimitri" Cependant, cette modification ne marche pas. En effet, syscontact est fixé «en dur» dans le fichier snmpd.conf. Pour modifier cette valeur, il existe deux solutions : soit éditer le fichier de configuration et modifier la valeur, soit supprimer l entrée dans le fichier de configuration. Dans les deux cas, il faut avoir des droits suffisants pour éditer le fichier Il est impossible de modifier la valeur du sysuptime : cette valeur est en RO dans la MIB e) Pour savoir combien de trames sont échangés pour une demande de plusieurs OID, nous lançons ethereal et filtrons sur la machine locale. Nous lançons la commande suivante debian:~# snmpget public sysname.0 syslocation.0 Nous regardons les trames SNMP échangées. En fait, une seule trame est émise pour renvoyer les deux valeurs des OID sysname et syslocation. f) Nous regardons dans la mib SNMPv2-MIB.txt la position de syslocation (qui correspond à la situation géographique de la machine). Il suffit ensuite de taper la commande snmp-getnext avec l'oid précédent syslocation (ici sysname): debian:~# snmpgetnext public sysname.0 system.syslocation.0 = Unknown (configure /etc/snmp/snmp.local.conf) Comme pour syscontact, cette valeur est fixée en dure dans snmpd.conf g) Création du script shell qui permet de parcourir la MIB: #/bin/sh debut=system.sysdescr.0 snmpget localhost public system.sysdescr.0 while 'true'; do a=`snmpgetnext localhost public ${debut}` echo $a debut=`echo ${a} cut -f1 -d\ ` done Le résultat obtenu est semblable à celui de snmpwalk localhost public more Modification de la branche de l arbre accessible : Nous éditons le fichier /etc/snmp/snmpd.conf et nous le modifions afin d'accéder à la totalité de la MIB2.

3 Nous changeons la ligne.system par.mib-2 view system included.iso.org.dod.internet.mgmt.mib-2.system view system included.iso.org.dod.internet.mgmt.mib-2 On relance le démon snmpd puis nous relançons la commande précédente : debian:~# snmpwalk.localhost public more Nous vérifions que l'on liste bien la totalité de la MIB2. Obtention des informations de tcpconntable : Il existe au moins deux méthodes pour obtenir les informations demandées: - Soit utiliser la commande snmpnetstat : debian:~# snmpnetstat public (...) Active Internet (tcp) Connections Proto Local Address Foreign Address (state) tcp debian.ftp debian ESTABLISHED tcp debian debian.ftp ESTABLISHED tcp bonn.ssh bruges ESTABLISHED tcp bonn.3281 bruges.ssh ESTABLISHED (...) - Soit regarder dans la MIB debian:~# snmpwalk public tcpconntable snmpwalk public tcpconntable (...) tcp.tcpconntable.tcpconnentry.tcpconnstate = established(5) tcp.tcpconntable.tcpconnentry.tcpconnstate = established(5) tcp.tcpconntable.tcpconnentry.tcpconnstate = established(5) tcp.tcpconntable.tcpconnentry.tcpconnstate = established(5) (...) 2. Génération de traps La version de base de snmptrap (pour générer des traps sous Debian package net-snmp), ne fonctionne pas : alors que les trames circulent bien sur le réseau le démon snmptrapd «plantait». Une mise à jour de snmptrap a permis de palier à ce problème. 3. Commandes supplémentaires La machine test.net-snmp.org (du projet net-snmp.sourceforge.net) permet de tester les autres commandes du package snmp, comme snmptable : snmptable -v 2c -c demopublic -Cw 80 test.net-snmp.org sysortable SNMP table: system.sysortable sysorindex sysorid 1.iso.org.dod.internet.snmpV2.snmpModules.snmpMIB 2.iso.org.dod.internet.snmpV2.snmpModules.snmpVacmMIB.vacmMIBConformance.vacmMIBGroups.vacmBasicGroup 3.iso.org.dod.internet.snmpV2.snmpModules.snmpFrameworkMIB.snmpFrameworkMIBConformance.snmpFrameworkMIBCompliances.snmpFramewo rkmibcompliance 4.iso.org.dod.internet.snmpV2.snmpModules.snmpMPDMIB.snmpMPDMIBConformance.snmpMPDMIBCompliances.snmpMPDCompliance 5.iso.org.dod.internet.snmpV2.snmpModules.snmpUsmMIB.usmMIBConformance.usmMIBCompliances.usmMIBCompliance SNMP table: system.sysortable, part 2

4 sysordescr sysoruptime The Mib module for SNMPv2 entities. 0:0:00:00.00 View-based Access Control Model for SNMP. 0:0:00:00.00 The SNMP Management Architecture MIB. 0:0:00:00.00 The MIB for Message Processing and Dispatching. 0:0:00:00.00 The management information definitions for the SNMP User-based Security Model. 0:0:00: Activation du protocole sur les routeurs, l imprimante et les switchs Activation du protocole SNMP sur le routeur CISCO : A l aide de minicom, on configure le routeur avec son adresse IP et on n'active pas le serveur SNMP tout de suite car nous allons l'activer manuellement. Berlin>enable Password: cisco Berlin#conf t Enter configuration commands, one per line. End with CNTL/Z. Berlin(config)#snmp-server enable traps snmp Berlin(config)#snmp-server community public RO Berlin(config)#end Sur une machine debian : debian:~# snmpwalk public system system.sysdescr.0 = Cisco Internetwork Operating System Software IOS (tm) C1700 Software (C1700-Y-M), Version 12.2(8)T1, RELEASE SOFTWARE (fc2) TAC Support: Copyright (c) by cisco Systems, Inc. Compiled Sat 30-Mar-02 13:54 by ccai system.sysobjectid.0 = OID: enterprises system.sysuptime.0 = Timeticks: (83632) 0:13:56.32 system.syscontact.0 = system.sysname.0 = Berlin system.syslocation.0 = system.sysservices.0 = 78 system.sysorlastchange.0 = Timeticks: (0) 0:00:00.00 Activation des traps sur le routeurs : Berlin(config)#snmp-server host <ip> version snmp Par la suite, on désactive et réactive une interface du routeur, afin de générer des traps. On peut alors lire dans les logs : debian:~# cat /var/log/snmptrapfmt.log # #enterprises #warmStart#0#81302#[1] system.sysuptime.0 (OctetString) : 0:0:13: # #enterprises #linkDown#0#75386#[1] interfaces.iftable.ifentry.ifindex.1 (OctetString) : 1#[2] interfaces.iftable.ifentry.ifdescr.1 (OctetString) : FastEthernet0#[3] interfaces.iftable.ifentry.iftype.1 (OctetString) : ethernetcsmacd#[4] enterprises (OctetString) : Keepalive failed # #enterprises #linkUp#0#75460#[1] interfaces.iftable.ifentry.ifindex.1 (OctetString) : 1#[2] interfaces.iftable.ifentry.ifdescr.1 (OctetString) : FastEthernet0#[3] interfaces.iftable.ifentry.iftype.1 (OctetString) : ethernetcsmacd#[4] enterprises (OctetString) : Keepalive OK (...)

5 Annexe : Fichier de configuration du routeur : Berlin#sh run Building configuration... Current configuration : 760 bytes version 12.2 service timestamps debug uptime service timestamps log uptime no service password-encryption hostname Berlin enable secret 5 $1$dKs8$Mnmo3sPOFWfK9I.fzh.bS. enable password esisar ip subnet-zero no ip routing interface FastEthernet0 ip address speed auto interface FastEthernet0 ip address speed auto full-duplex interface Serial0 no ip address shutdown interface Serial1 no ip address shutdown ip classless no ip http server snmp-server community public RO snmp-server enable traps snmp authentication linkdown linkup coldstart warmstart snmp-server host version snmp line con 0 line aux 0 line vty 0 4 password esisar login no scheduler allocate end

6 Activation de l agent SNMP de l imprimante : Lancer un navigateur Web Dans la barre d adresse taper ensuite l adresse IP de l imprimante : Cocher l onglet network Cocher l option enable SNMP. Faire générer des trappes par l imprimante : Faire un telnet sur l imprimante Taper menu pour accéder au menu de configuration de l imprimante Taper 3 pour accéder au menu de configuration SNMP Taper 1 pour activer l envoi de trappes par l imprimante. Modifier la table contenant les informations sur les machines auxquelles seront envoyées les trappes Pour chaque machine entrer son adresse IP, le community string et le port SNMP. Si ces deux dernières informations ne sont pas entrées, l imprimante leur assigne les valeurs par défaut. Enregistrer les modifications Fermer la connexion telnet On peut alors simuler un bourrage papier sur l imprimante afin de voir si les traps snmp fonctionnent. Activation de SNMP sur les switches CISCO : 1. configuration du switch - Brasser le switch correctement - Se brancher sur le port console - lancer minicom passer en mode privilégié : Switch# enable passer en mode configuration du terminal Switch# configure terminal Nous allons attribuer une adresse IP à l'interface Vlan du switch afin de l'interroger par des requêtes snmpget Switch(config)# interface Vlan 1 Switch(config-if)#ip address Nous allons maintenant activer le serveur snmp. Pour cela nous repassons en mode configuration terminal Switch(config-if)# end Activation du server snmp pour qu'il envoie des traps: Switch(config)# snmp-server enable traps Switch(config)# snmp-server community public RO Cette commande permet de définir les droits de la communauté public, en l'occurence Read Only Nous allons maintenant indiquer à quel machine le switch doit envoyer les traps: Switch(config)# snmp-server host <IP de destination> version snmp

7 On revient ensuite au mode privilégié: Switch(config)# end On vérifie que le switch est bien configuré: Switch# show running-config Current configuration : 1162 bytes version 12.1 no service pad service timestamps debug uptime service timestamps log uptime no service password-encryption hostname Switch ip subnet-zero no ip finger interface FastEthernet0/1 interface FastEthernet0/2 interface FastEthernet0/3 interface FastEthernet0/4 interface FastEthernet0/5 interface FastEthernet0/6 interface FastEthernet0/7 interface FastEthernet0/8 interface FastEthernet0/9 interface FastEthernet0/10 interface FastEthernet0/11 interface FastEthernet0/12 switchport mode trunk interface Vlan1 ip address ip http server snmp-server engineid local CC05541 snmp-server community public RO snmp-server enable traps snmp authentication linkdown linkup coldstart snmp-server enable traps config snmp-server enable traps syslog snmp-server enable traps entity snmp-server enable traps rtr snmp-server enable traps c2900 snmp-server enable traps vtp

8 snmp-server enable traps MAC-Notification snmp-server enable traps hsrp snmp-server enable traps cluster snmp-server host version snmp line con 0 transport input none line vty 0 4 login line vty 5 15 login end Exemple de trap envoyée par le switch lorsqu'un lien tombe puis se rétablit # // ip de la source de la trap #enterprises // oid de l'entreprise #linkdown // type de trap #0 // specific trap type # // timestamp #[1] interfaces.iftable.ifentry.ifindex.3 (OctetString) : 3 #[2] interfaces.iftable.ifentry.ifdescr.3 (OctetString) : FastEthernet0/3 // interface concernée #[3] interfaces.iftable.ifentry.iftype.3 (OctetString) : ethernetcsmacd // type d'interface #[4] enterprises (OctetString) : down // état de l'interface # #enterprises #linkup #0 # #[1] interfaces.iftable.ifentry.ifindex.3 (OctetString) : 3 #[2] interfaces.iftable.ifentry.ifdescr.3 (OctetString) : FastEthernet0/3 #[3] interfaces.iftable.ifentry.iftype.3 (OctetString) : ethernetcsmacd #[4] enterprises (OctetString) : up 5. MIB Tkmib est un utilitaire permet de visualiser directement la MIB et obtenir les OID. Il existe en package debian : debian:~# apt-get install snmpd Il suffite de lancer tkmib via tkmib <ip_agent> Questions subsidiaires : Script traceroute en snmp : #/bin/sh # Avant de lancer le script : # les routes doivent etre definies sur les machines intermédiaires afin que la MIB contiennent les informations nécessaires # Le fichier snmpd.conf doit autoriser la lecture de la MIB pour cela : # remplacer # view system included.iso.org.dod.internet.mgmt.mib-2.system par

9 # view system included.iso.org.dod.internet.mgmt.mib-2 # fichier traceroute.sh if [ $# = 2 ]; then echo "traceroute.sh <adresse de destination> <adresse source>" exit -1; fi echo Destination : $1 echo Source : $2 nexthop=$2; IPAddress=$1; echo $nexthop while [ $nexthop = $IPAddress ] ; do # Affichage de la requete snmp pour vérifier qu'elle est correcte #echo Requete = snmpget $nexthop public ip.iproutetable.iprouteentry.iproutenexthop.$ipaddress # recuperation du saut suivant nexthop=`snmpget $nexthop public ip.iproutetable.iprouteentry.iproutenexthop.$ipaddress cut -d : -f 2 cut -d ' ' -f 2`; done # affichage du saut echo $nexthop;