Compte-rendu de TP SNMP Simple Network Management Protocol Charles Daniel Romain Halbardier
Objectif L'objectif de ce TP est de comprendre les principes de fonctionnement du protocole SNMP. Pour cela, chaque groupe de TP dispose d'un routeur C I S C O 2500 et d'un PC sous Linux reliés par un câble croisé sur leurs ports Ethernet. Nous allons configurer un routeur C I S C O pour le superviser et le configurer via les commandes du paquetage Net-SNMP depuis le PC. Préliminaires # apt-get install snmp snmpd mbrowse Les paquetages snmp, snmpd et mbrowse étaient déjà installés. Configuration du client On utilise la commande snmpconf pour générer automatiquement, en fonction des paramètres fournis, le fichier snmp.conf correspondant à la configuration voulue. # snmpconf The following installed configuration files were found: 1: /etc/snmp/snmpd.conf 2: /etc/snmp/snmptrapd.conf Would you like me to read them in? Their content will be merged with the output files created by this session. Valid answer examples: "all", "none","3","1,2,5" Read in which (default = all): Ici, nous voulons créer un nouveau fichier, donc il faut sélectionner none. I can create the following types of configuration files for you. Select the file type you wish to create: (you can create more than one as you run this program) 1: snmpd.conf 2: snmp.conf 3: snmptrapd.conf Other options: quit Select File: Nous cherchons à configurer le client SNMP, donc nous devons choisir snmp.conf.
The configuration information which can be put into snmp.conf is divided into sections. Select a configuration section for snmp.conf that you wish to create: 1: Default Authentication Options 2: Debugging output options 3: Output style options 4: Textual mib parsing Other options: finished Select section: Nous allons tout d'abord définir les paramètres intrinsèques à SNMP, à savoir la version utilisée et le nom de la communauté. Nous choisissons Default Authentication Options. Section: Default Authentication Options Description: This section defines the default authentication information. Setting these up properly in your ~/.snmp/snmp.conf file will greatly reduce the amount of command line arguments you need to type (especially for snmpv3). Select from: 1: The default port number to use 2: The default snmp version number to use. 3: The default snmpv1 and snmpv2c community name to use when needed. 4: The default snmpv3 security name to use when using snmpv3 5: The default snmpv3 context name to use 6: The default snmpv3 security level to use 7: The default snmpv3 authentication type name to use 8: The default snmpv3 authentication pass phrase to use 9: The default snmpv3 privacy (encryption) type name to use 10: The default snmpv3 privacy pass phrase to use Other options: finished, list Select section: 2 Configuring: defversion Description: The default snmp version number to use. override: with -v on the command line. arguments: 1 2c 3 Enter the default snmp version number to use (1 2c 3): 1 Finished Output: defversion 1 Select section: 3 Configuring: defcommunity
Description: The default snmpv1 and snmpv2c community name to use when needed. If this is specified, you don't need to include the community name as an argument to the snmp applications. override: with -c on the command line. arguments: communityname Enter the default community name to use: ig2k Finished Output: defcommunity ig2k Ensuite, on tape finished afin de revenir au menu précédent. Select section: finished The configuration information which can be put into snmp.conf is divided into sections. Select a configuration section for snmp.conf that you wish to create: 1: Default Authentication Options 2: Debugging output options 3: Output style options 4: Textual mib parsing Other options: finished Select section: Nous allons enfin, paramétrer les MIB (Management Information Base). Pour cela, il faut accéder au menu Textual mib parsing. Section: Textual mib parsing Description: This section controls the textual mib parser. Textual mibs are parsed in order to convert OIDs, enumerated lists, and... to and from textual representations and numerical representations. Select from: 1: Specifies directories to be searched for mibs. 2: Specifies a list of mibs to be searched for and loaded. 3: Loads a particular mib file from a particualar path 4: Should errors in mibs be displayed when the mibs are loaded 5: Should warnings about mibs be displayed when the mibs are loaded 6: Be strict about about mib comment termination. 7: Should underlines be allowed in mib symbols (illegal) 8: Force replacement of older mibs with known updated ones Other options: finished, list Select section: On doit indiquer les répertoires qui contiennent les définitions des MIB, puis spécifier quelles MIB devront
être chargées. Pour cela, nous allons tout d'abord accéder au menu Specifies directories to be searched for mibs. Configuring: mibdirs Description: Specifies directories to be searched for mibs. Adding a '+' sign to the front of the argument appends the new directory to the list of directories already being searched. arguments: [+]directory[:directory...] Enter the list of directories to search through for mibs: Il faut taper ici /usr/share/snmp/mibs:/tmp/mibs/. Finished Output: mibdirs /usr/share/snmp/mibs:/tmp/mibs/ Ensuite, on accède au menu Specifies a list of mibs to be searched for and loaded : Configuring: mibs Description: Specifies a list of mibs to be searched for and loaded. Adding a '+' sign to the front of the argument appends the new mib name to the list of mibs already being searched for. arguments: [+]mibname[:mibname...] Enter the list of mibs to read: Il faut taper +ALL, afin de charger toutes les MIB disponibles. Finished Output: mibs +ALL Enfin, pour quitter l'utilitaire, il faut taper successivement finished, finished, quit. Il ne reste qu'à copier le fichier ainsi généré, dans le répertoire /etc/snmp, afin que les différents outils snmp* puissent avoir une configuration par défaut. # cp./snmp.conf /etc/snmp/snmp.conf
Configuration du routeur Avant de pouvoir générer des trames au format SNMP, nous devons tout d'abord configurer le routeur en tant qu'agent SNMP. Pour cela, il nous faudra effectuer la configuration de base (ie : adresse IP). > Configuration de base du routeur Après avoir connecté l'interface C O N S O L E du routeur sur un port série de notre PC, nous obtenons la liaison à l'aide du logiciel minicom. Le bas de l'écran de minicom nous indique les paramètres de la connexion. Cela correspond à une connexion à 9600 bauds, sur 8 bits, sans parité (N), avec 1 bit de stop et pas de contrôle de flux. Aide : CTRL-A Z 9600 8N1 NOR Minicom 2.1 VT102 Connecté 00:00 Afin de s'assurer de repartir d'une configuration usine du routeur, nous tapons les commandes suivantes : Router> enable Router# erase startup-config Router# reload Au redémarrage du routeur, on s'assure de répondre non à la question Would you like to enter the initial configuration dialog? [yes]: no. Ensuite, on doit configurer l'interface Ethernet0 du routeur : Router> enable Router# configure terminal Router(config)# interface ethernet 0 Router(config-if)# ip address 192.168.1.1 255.255.255.0 Router(config-if)# no shutdown Les autres commandes suggérées dans l'énoncé du TP n'ont pas grand intérêt pour la suite, c'est pourquoi nous n'expliquerons pas leur fonctionnement. Configuration de l'agent SNMP du routeur Nous allons définir les champs syscontact et syslocation de la MIB SNMPv2-MIB : Router> enable Router# configure terminal Router(config)# snmp-server location IG2K Salle Reseau 2059
Router(config)# snmp-server contact root@ig2k.fr Ensuite, nous définissons la communauté SNMP qui sera utilisée pour les accès en lecture seule (RO) : Router(config)# snmp-server community ig2k RO Puis, on ajoute la communauté SNMP qui sera utilisée pour les accès en lecture/écriture (RW) et à laquelle on affecte une policy, c'est à dire une règle de filtrage : Router(config)# access-list 1 permit 192.168.1.2 Router(config)# snmp-server community secret RW 1 On crée ici une access-list de numéro 1 et qui a pour rôle d'autoriser (permit) les paquets venant de l'adresse 192.168.1.2 (en l'occurence, notre PC). Ensuite, on crée la communauté SNMP en lui affectant l'access-list n 1. On configure ensuite l'adresse de destination des traps SNMP pour la communauté ig2k : Router(config)# snmp-server host 192.168.1.2 ig2k On configure l'interface sur laquelle les traps SNMP seront envoyées. Cela permet d'utiliser l'adresse IP de l'interface comme adresse source des traps envoyées : Router(config)# snmp-server trap-source ethernet 0 Enfin, on active toutes les traps SNMP, par la commande : Router(config)# snmp-server enable traps Utilisation des outils Nous déterminons le nom complet de l'objet sysuptime et son numéro au moyen de la commande snmptranslate : # snmptranslate -Td SNMPv2-MIB::sysUpTime.0 SNMPv2-MIB::sysUpTime.0 sysuptime OBJECT-TYPE -- FROM SNMPv2-MIB, RFC1213-MIB SYNTAX TimeTicks MAX-ACCESS read-only STATUS current DESCRIPTION "The time (in hundredths of a second) since the network management portion of the system was last re-initialized." ::= { iso(1) org(3) dod(6) internet(1) mgmt(2) mib-2(1) system(1) sysuptime(3) 0 }
Le nom complet est SNMPv2-MIB::sysUpTime.0 et l'oid (Object IDentifier) est 1.3.6.1.2.1.1.3. La page de man de snmpcmd pour l'option d'entrée -IR mentionne que si le chemin complet de l'oid n'est pas spécifié alors la recherche de l'objet se fera aléatoirement dans l'arbre. L'option de sortie -On quant à elle affiche l'oid numériquement. Pour consulter l'arborescence de la MIB, deux outils sont à notre disposition : snmpwalk qui s'utilise en ligne de commandes et mbrowse qui fournit une interface graphique plus pratique. La commmande snmpwalk 192.168.1.1 system retourne la configuration système de l'agent SNMP du routeur : SNMPv2-MIB::sysDescr.0 = STRING: Cisco Internetwork Operating System Software IOS (tm) 3000 Software (IGS-I-L), Version 11.1(24a), RELEASE SOFTWARE (fc1) Copyright (c) 1986-2001 by cisco Systems, Inc. Compiled Fri 09-Mar-01 19:43 by pnicosia SNMPv2-MIB::sysObjectID.0 = OID: SNMPv2-SMI::enterprises.9.1.29 SNMPv2-MIB::sysUpTime.0 = Timeticks: (120052) 0:20:00.52 SNMPv2-MIB::sysContact.0 = STRING: root@ig2k.fr SNMPv2-MIB::sysName.0 = STRING: Router SNMPv2-MIB::sysLocation.0 = STRING: IG2K- Salle reseau 2059 SNMPv2-MIB::sysServices.0 = INTEGER: 6 On utilise maintenant la requête snmpget pour obtenir la valeur de la variable sysuptime : snmpget 192.168.1.1 sysuptime.0 SNMPv2-MIB::sysUpTime.0 = Timeticks: (129734) 0:21:37.34 Comme nous l'avons dit mbrowse fournit une exploration graphique des valeurs de l'arbre. Nous obtenons les mêmes valeurs avec les commandes snmpget et snmpgetnext. Voici les valeurs de l'adresse physique et de l'adresse IP obtenus par mbrowse :.iso.org.dod.internet.mgmt.mib-2.interfaces.iftable.ifentry.ifphysaddress.1 = STRING: 0:10:7b:80:d5:43.iso.org.dod.internet.mgmt.mib-2.ip.ipAddrTable.ipAddrEntry.ipAdEntAddr.192.168.1.1 = IpAddress: 192.168.1.1 Enfin celles obtenues en lignes de commandes : # snmpget 192.168.1.1 ifphysaddress.1 IF-MIB::ifPhysAddress.1 = STRING: 0:10:7b:80:d5:43 # snmpget 192.168.1.1 ip.ipaddrtable.ipaddrentry.ipadentaddr.192.168.1.1 IP-MIB::ipAdEntAddr.192.168.1.1 = IpAddress: 192.168.1.1 # snmpgetnext 192.168.1.1 ip.ipaddrtable.ipaddrentry.ipadentaddr IP-MIB::ipAdEntAddr.192.168.1.1 = IpAddress: 192.168.1.1 Ici, nous pouvons noter que snmpget nous donne le contenu du noeud. Lorsqu'on ne connait pas le noeud qu'il faut atteindre (dans l'exemple de l'adresse IP de l'interface, il faut connaître l'adresse IP pour l'obtenir...), on doit les parcourir unes à unes avec snmpgetnext. Cette commande retourne par défaut, l'élément suivant dans le noeud courant. Afin de rester simple, le protocole SNMP suit le standard SMI (Structure of Management Information). SMI spécifie les règles de définition des nouveaux types de variables ou d'objets qui se font à l'aide de la syntaxe abstraite ASN.1 (Abstract Syntax Notation.1) développée par l'iso. SNMP code une adresse IP en une chaîne de quatres octets, voici ce que nous avons obtenu avec une réponse SNMP : Frame 4 (94 bytes on wire, 94 bytes captured)
Ethernet II, Src: 00:10:7b:80:d5:43, Dst: 00:01:03:42:cd:bb Internet Protocol, Src Addr: 192.168.1.1 (192.168.1.1), Dst Addr: 192.168.1.2 (192.168.1.2) User Datagram Protocol, Src Port: snmp (161), Dst Port: 1027 (1027) Simple Network Management Protocol Version: 1 (0) Community: ig2k PDU type: RESPONSE (2) Request Id: 0x1cccc63d Error Status: NO ERROR (0) Error Index: 0 Object identifier 1: 1.3.6.1.2.1.4.20.1.1.192.168.1.1 (IP-MIB::ipAdEntAddr.192.168.1.1) Value: IpAddress: 192.168.1.1 La valeur dans le paquet de IpAddress: 192.168.1.1 est: 40 04 co a8 01 01 40 04 : code qui indique que la valeur est de type IpAddress c0 : 192 (en hexadécimal) a8 : 168 (en hexadécimal) 01 : 1 01 : 1 La commande snmpset permet aux machines qui ont les droits d'écriture dans la base de définir les valeurs des objets de la MIB : snmpset -c secret 192.168.1.1 ifadminstatus.1 i 2 snmpset -c secret 192.168.1.1 syslocation.0 s chez bebert L'option -c de snmpset permet d'utiliser une autre communauté que celle par défaut, ici c'est la communauté secret qui a les droits d'écriture. IfadminStatus.1 permet de modifier le statut de l'interface 1. On modifie la valeur de ce champ : c'est un entier (i) de valeur 2 c'est à dire administratively down. On modifie ensuite le champs concernant la localisation du système (syslocation.0) de la même manière, sauf que dans ce cas, le champ est de type chaîne de caractères (s). Les alarmes Nous allons maintenant utiliser notre PC comme daemon SNMP afin de recevoir les traps SNMP envoyées par le routeur. Pour cela, nous utiliserons le programme snmptrapd : # snmptrapd -Le -C -f 2006-02-21 17:31:55 NET-SNMP version 5.1.2 Started. Ensuite, on va forcer le routeur à générer une trap SNMP, en changeant l'état d'une de ses interfaces : Router(config)# interface serial0 Router(config-if)# shutdown
Instantanément, sur le PC, nous pouvons voir la trame reçue : 2006-02-21 17:33:16 192.168.1.1(via 192.168.1.1) TRAP, SNMP v1, community ig2k SNMPv2-SMI::enterprises.9.1.29 Link Down Trap (0) Uptime: 1:04:51.40 IF-MIB::ifIndex.2 = INTEGER: 2 IF-MIB::ifDescr.2 = STRING: Serial0 IF-MIB::ifType.2 = INTEGER: proppointtopointserial(22) SNMPv2-SMI::enterprises.9.2.2.1.1.20.2 = STRING: "administratively down" En toute logique, nous aurions dû recevoir une trap Link Down générique. Nous allons donc rechercher à quoi correspond l'oid 1 reçu : ".iso" ".1" "org" ".1.3" "dod" ".1.3.6" "internet" ".1.3.6.1" "private" ".1.3.6.1.4" "enterprises" ".1.3.6.1.4.1" "cisco" ".1.3.6.1.4.1.9" "ciscoproducts" ".1.3.6.1.4.1.9.1" "cisco2513" ".1.3.6.1.4.1.9.1.29" A cette étape, on sait que la trap concerne un lien qui vient de tomber, sur un routeur C I S C O 2513. Or, C I S C O a rédéfini la trap Link Down afin de lui ajouter les informations suivantes 2 : linkdown TRAP-TYPE ENTERPRISE snmp VARIABLES { ifindex, ifdescr, iftype, locifreason } DESCRIPTION ::= 2 "A linkdown trap signifies that the sending protocol entity recognizes a failure in one of the communication links represented in the agent's configuration." Nous allons donc trouver l'index de l'interface (ifindex), sa description (ifdescr), son type (iftype) et la raison du changement d'état (locifreason). Les valeurs ifindex, ifdescr et iftype sont décrites par les OID 1.3.6.1.2.1.2.2.1.{1,2,3} (c'est à dire.iso.org.dod.internet.mgmt.mib-2.interfaces.iftable.ifentry). Puis, le dernier couple spécifique à C I S C O, O donne le statut de l'interface (administratively down) dont l'oid est le suivant : ".iso.org.dod.internet.private.enterprises.cisco" ".1.3.6.1.4.1.9" "local" ".1.3.6.1.4.1.9.2" "linterfaces" ".1.3.6.1.4.1.9.2.2" "liftable" ".1.3.6.1.4.1.9.2.2.1" "lifentry" ".1.3.6.1.4.1.9.2.2.1.1" "locifreason" ".1.3.6.1.4.1.9.2.2.1.1.20" "administratively down" ".1.3.6.1.4.1.9.2.2.1.1.20.2" 1 Voir Cisco SNMP Object Navigator : http://tools.cisco.com/support/snmp/do/browseoid.do?local=en 2 Voir la liste des MIB Cisco pour les routeurs : ftp://ftp.cisco.com/pub/mibs/routers/supportlists/routers-supportlist.html
Nous avons dû nous arrêter à cette étape du TP, par manque de temps. Conclusion Ce TP nous a permis d'avoir une première approche pratique des possibilités offertes par SNMP en matière de supervision des équipements d'un réseau.