目  錄

1 SNMP配置

1.1 SNMP簡介

1.1.1 SNMP的工作機製

1.1.2 SNMP的協議版本

1.2 SNMP配置任務簡介

1.3 配置SNMP基本參數

1.3.1 配置SNMPv3版本基本參數

1.3.2 配置SNMPv1/v2c版本基本參數

1.4 配置SNMP日誌

1.5 配置SNMP Trap

1.5.1 配置Trap功能

1.5.2 配置Trap報文發送參數

1.6 SNMP顯示和維護

1.7 SNMP典型配置舉例

1.7.1 SNMPv1/v2c典型配置舉例

1.7.2 SNMPv3典型配置舉例

1.7.3 SNMP日誌典型配置舉例

 

1 SNMP配置

1.1  SNMP簡介

SNMP（Simple Network Management Protocol，簡單網絡管理協議）是因特網中的一種網絡管理標準協議，被廣泛用於實現管理設備對被管理設備的訪問和管理。SNMP具有以下特點：

·     支持網絡設備的智能化管理。利用基於SNMP的網絡管理平台，網絡管理員可以查詢網絡設備的運行狀態和參數，設置參數值，發現故障、完成故障診斷，進行容量規劃和生成報告。

·     支持對不同物理特性的設備進行管理。SNMP隻提供最基本的功能集，使得管理任務與被管理設備的物理特性和聯網技術相對獨立，從而實現對不同廠商設備的管理。

1.1.1  SNMP的工作機製

SNMP網絡環境中包含NMS和Agent兩種元素：

·     NMS（Network Management Station，網絡管理係統）是SNMP網絡的管理者，能夠提供友好的人機交互界麵，方便網絡管理員完成網絡管理工作。

·     Agent是SNMP網絡環境中的被管理者，負責接收、處理來自NMS的請求報文。在一些緊急情況下，如接口狀態發生改變等，Agent會主動向NMS發送告警信息。

NMS管理設備的時候通過MIB（Management Information Base，管理信息庫）對設備進行管理。MIB定義了節點之間的層次關係以及對象的一係列屬性，比如對象的名字、訪問權限和數據類型等。每個Agent都有自己的MIB。被管理設備都有自己的MIB文件，在NMS上編譯這些MIB文件，就能生成該設備的MIB。NMS根據訪問權限對MIB節點進行讀/寫操作，從而實現對Agent的管理。NMS、Agent和MIB之間的關係如下圖所示。

圖1-1 NMS、Agent和MIB關係圖

 

MIB是按照樹型結構組織的，它由很多個節點組成，每個節點表示被管理對象，被管理對象可以用從根開始的一串表示路徑的數字唯一地識別，這串數字稱為OID（Object Identifier，對象標識符）”。如下圖所示，被管理對象B可以用一串數字{1.2.1.1}唯一確定，這串數字就是被管理對象B的OID。

圖1-2 MIB樹結構

 

SNMP提供以下基本操作來實現NMS和Agent的交互：

·     GET操作：NMS使用該操作查詢Agent MIB中的一個或多個節點的值。

·     SET操作：NMS使用該操作設置Agent MIB中的一個或多個節點的值。

·     Trap操作：Agent使用該操作向NMS發送告警信息。

1.1.2  SNMP的協議版本

目前Agent支持SNMPv1、SNMPv2c和SNMPv3三種版本：

·     SNMPv1采用團體名（Community Name）認證機製。團體名類似於密碼，用來限製NMS對Agent的訪問。如果NMS訪問被管理設備時攜帶的團體名和被管理設備上設置的團體名不同，則不能建立SNMP連接，從而導致訪問失敗。

·     SNMPv2c也采用團體名認證機製。SNMPv2c對SNMPv1的功能進行了擴展：提供了更多的操作類型；支持更多的數據類型；提供了更豐富的錯誤代碼，能夠更細致地區分錯誤。

·     SNMPv3采用USM（User-Based Security Model，基於用戶的安全模型）認證機製。網絡管理員可以設置認證和加密功能。認證用於驗證報文發送方的合法性，避免非法用戶的訪問；加密則是對NMS和Agent之間的傳輸報文進行加密，以免被竊聽。采用認證和加密功能，可以為NMS和Agent之間的通信提供更高的安全性。

 

1.2  SNMP配置任務簡介

表1-1 SNMP配置任務簡介

配置任務	說明	詳細配置
配置SNMP基本參數	必選	1.3
配置SNMP日誌	可選	1.4
配置SNMP Trap	可選	1.5

 

1.3  配置SNMP基本參數

由於SNMPv3版本的配置和SNMPv1版本、SNMPv2c版本的配置有較大區別，所以下麵分兩種情況進行SNMP基本功能的配置介紹，詳見表1-2和表1-3。

1.3.1  配置SNMPv3版本基本參數

使用SNMPv3版本時，需要先創建一個SNMP組並設置該組的訪問權限和認證、加密功能，然後創建一個SNMPv3用戶並設置該用戶的屬性。

表1-2 配置SNMP基本參數（SNMPv3版本）

操作	命令	說明
進入係統視圖	system-view	-
啟動SNMP Agent服務	snmp-agent	可選 缺省情況下，SNMP Agent服務處於關閉狀態 執行除snmp-agent calculate-password外任何以snmp-agent開頭的命令，都可以啟動SNMP Agent服務
設置係統信息	snmp-agent sys-info { contact sys-contact | location sys-location | version { all | { v1 | v2c | v3 } * } }	可選 缺省情況下，係統維護聯係信息為“New H3C Technologies Co., Ltd.”。物理位置信息為“Hangzhou, China”。版本為SNMP v3
設置本地SNMP實體的引擎ID	snmp-agent local-engineid engineid	可選 缺省情況下，設備引擎ID為公司的“企業號＋設備信息”
創建MIB視圖或更新MIB視圖內容	snmp-agent mib-view { excluded | included } view-name oid-tree [ mask mask-value ]	可選 缺省情況下，設備上已存在MIB視圖ViewDefault，OID為1
創建SNMPv3組	snmp-agent group v3 group-name [ authentication | privacy ] [ read-view read-view ] [ write-view write-view ] [ notify-view notify-view ] [ acl acl-number | acl ipv6 ipv6-acl-number ] *	必選 缺省情況下，不存在任何SNMP組，新創建的SNMP組采用不認證、不加密方式
計算用戶給定明文密碼通過加密算法處理後的密文密碼	snmp-agent calculate-password plain-password mode { 3desmd5 | 3dessha | md5 | sha } { local-engineid | specified-engineid engineid }	可選
創建SNMPv3用戶	snmp-agent usm-user v3 user-name group-name [ [ cipher ] authentication-mode { md5 | sha } auth-password [ privacy-mode { 3des | aes128 | des56 } priv-password ] ] [ acl acl-number | acl ipv6 ipv6-acl-number ] *	必選
設置Agent能處理的SNMP報文的最大長度	snmp-agent packet max-size byte-count	可選 缺省情況下，Agent能接收/發送的SNMP消息包長度的最大值為1500字節
配置SNMP響應報文的DSCP優先級	snmp-agent packet response dscp dscp-value	可選 缺省情況下，SNMP響應報文的DSCP優先級為0

 

 

1.3.2  配置SNMPv1/v2c版本基本參數

使用SNMPv1或SNMPv2c版本時，需要先設置Agent啟用的SNMP版本號，然後設置訪問權限，訪問權限的設置方法有兩種：

·     直接設置，即通過指定團體名的方式創建一個SNMP團體。

·     間接設置，即先創建一個SNMP組，然後為該SNMP組添加一個新用戶，用戶名相當於SNMPv1和SNMPv2c版本的團體名。

表1-3 配置SNMP基本參數（SNMPv1版本、SNMPv2c版本）

操作			命令	說明
進入係統視圖			system-view	-
啟動SNMP Agent服務			snmp-agent	可選 缺省情況下，SNMP Agent服務處於關閉狀態 執行除snmp-agent calculate-password外任何以snmp-agent開頭的命令，都可以啟動SNMP Agent服務
設置係統信息			snmp-agent sys-info { contact sys-contact | location sys-location | version { all | { v1 | v2c | v3 } * } }	必選 缺省情況下，係統維護聯係信息為“New H3C Technologies Co., Ltd.”。物理位置信息為“Hangzhou, China”。版本為SNMP v3
設置本地SNMP實體的引擎ID			snmp-agent local-engineid engineid	可選 缺省情況下，設備引擎ID為公司的“企業號＋設備信息”。
創建或更新MIB視圖內容			snmp-agent mib-view { excluded | included } view-name oid-tree [ mask mask-value ]	可選 缺省情況下，視圖名為ViewDefault，OID為1
設置訪問權限	直接設置	創建一個新的SNMP團體	snmp-agent community { read | write } community-name [ mib-view view-name ] [ acl acl-number | acl ipv6 ipv6-acl-number ] *	二者必選其一 直接設置是以指定SNMPv1和SNMPv2c版本的團體名的方式進行設置 間接設置采用與SNMPv3版本類似的命令形式，添加用戶到指定的組，用戶名相當於SNMPv1和SNMPv2c版本的團體名 缺省情況下，不存在任何SNMP組
	間接設置	創建一個SNMP組	snmp-agent group { v1 | v2c } group-name [ read-view read-view ] [ write-view write-view ] [ notify-view notify-view ] [ acl acl-number | acl ipv6 ipv6-acl-number ] *
		為一個SNMP組添加一個新用戶	snmp-agent usm-user { v1 | v2c } user-name group-name [ acl acl-number | acl ipv6 ipv6-acl-number ] *
設置Agent能處理的SNMP報文的最大長度			snmp-agent packet max-size byte-count	可選 缺省情況下，Agent能接收/發送的SNMP消息包長度的最大值為1500字節
配置SNMP響應報文的DSCP優先級			snmp-agent packet response dscp dscp-value	可選 缺省情況下，SNMP響應報文的DSCP優先級為0

 

 

1.4  配置SNMP日誌

SNMP日誌可以記錄NMS對Agent的GET請求、SET請求和SET響應信息，不能記錄GET響應信息。

·     當進行GET操作時，Agent會記錄NMS用戶的IP地址、GET操作的節點名和節點OID。

·     當進行SET操作時，Agent會記錄NMS用戶的IP地址、SET操作的節點名、節點OID、節點值以及SET操作返回的錯誤碼和錯誤索引。

這些日誌將被發送到設備的信息中心，級別為informational，即作為設備的一般提示信息。通過設置信息中心的參數，最終決定SNMP日誌的輸出規則（即是否允許輸出以及輸出方向）。

表1-4 配置SNMP日誌功能

操作	命令	說明
進入係統視圖	system-view	-
打開SNMP日誌開關	snmp-agent log { all | get-operation | set-operation }	必選 缺省情況下，SNMP日誌開關處於關閉狀態

 

 

1.5  配置SNMP Trap

1.5.1  配置Trap功能

Agent主動向NMS發送Trap信息，用於報告一些緊急的重要事件（如被管理設備重新啟動等）。Trap報文有兩種：

·     通用Trap。設備支持的通用Trap包括authentication、coldstart、linkdown、linkup和warmstart五種（其他均為企業自定義Trap）。

·     企業自定義Trap。

Trap信息會占用設備內存較多，影響設備性能，建議用戶根據需要開啟指定模塊的Trap功能。

開啟模塊的Trap功能後，該模塊生成的Trap報文將被發送到設備的信息中心。用戶可以根據各模塊生成的Trap信息的級別設置信息中心參數，決定Trap報文的輸出規則（即是否允許輸出以及輸出方向）。

表1-5 配置Trap功能

操作	命令	說明
進入係統視圖	system-view	-
開啟Trap功能	snmp-agent trap enable [ configuration | default-route | flash | standard [ authentication | coldstart | linkdown | linkup | warmstart ] * | system ]	必選 缺省情況下，default-route相關的Trap功能處於關閉狀態，其他模塊的Trap功能處於開啟狀態
進入二層以太網端口視圖或二層聚合接口視圖或VLAN接口視圖	interface interface-type interface-number	必選
開啟接口狀態變化的Trap功能	enable snmp trap updown	必選 缺省情況下，接口下接口狀態變化的Trap功能處於開啟狀態

 

 

1.5.2  配置Trap報文發送參數

如果要將Trap發送給NMS，必須先完成以下配置：

·     完成SNMP基本配置（如果使用SNMPv1和SNMPv2c版本需要設置啟用的SNMP版本和團體名；如果使用SNMP v3版本需要設置用戶名和MIB視圖），這些參數的配置必須和NMS上的配置相同。

·     確保設備與NMS路由可達。

當收到Trap報文後，SNMP模塊有兩種處理方式：

·     將Trap報文存在消息隊列裏（在網絡出現故障時，消息隊列用於緩存Trap報文，在網絡恢複後，係統會將消息隊列中的Trap報文依次發出，用戶可以設置該隊列的長度、Trap報文在隊列裏的保存時間）；

·     將Trap報文直接發送給指定的目標主機（通常為NMS）等。

表1-6 配置Trap報文發送參數

操作	命令	說明
進入係統視圖	system-view	-
設置Trap報文的目標主機屬性	snmp-agent target-host trap address udp-domain { ip-address | ipv6 ipv6-address } [ udp-port port-number ] [ dscp dscp-value ] params securityname security-string [ v1 | v2c | v3 [ authentication | privacy ] ]	可選 如果要將Trap信息發送給NMS，該步驟為必選，並將ip-address指定為NMS的IP地址
設置Trap報文的源地址	snmp-agent trap source interface-type interface-number	可選 缺省情況下，由SNMP選擇一個接口的IP地址作為Trap報文源IP地址
對標準linkUp/linkDown Trap報文進行私有擴展	snmp-agent trap if-mib link extended	可選 缺省情況下，使用的是RFC定義的標準linkUp/linkDown Trap報文
設置Trap報文發送隊列的長度	snmp-agent trap queue-size size	可選 缺省情況下，Trap報文的消息隊列最多可以存儲100條Trap消息
設置Trap報文的保存時間	snmp-agent trap life seconds	可選 缺省情況下，Trap報文的保存時間為120秒

 

 

1.6  SNMP顯示和維護

在完成上述配置後，在任意視圖下執行display命令可以顯示配置後SNMP的運行情況，通過查看顯示信息驗證配置的效果。

表1-7 SNMP顯示和維護

操作	命令
顯示係統維護聯絡信息、係統位置信息及SNMP版本信息	display snmp-agent sys-info [ contact | location | version ] * [ | { begin | exclude | include } regular-expression ]
顯示SNMP報文統計信息	display snmp-agent statistics [ | { begin | exclude | include } regular-expression ]
顯示設備的SNMP實體引擎ID	display snmp-agent local-engineid [ | { begin | exclude | include } regular-expression ]
顯示SNMP組信息	display snmp-agent group [ group-name ] [ | { begin | exclude | include } regular-expression ]
顯示Trap消息隊列的基本信息	display snmp-agent trap queue [ | { begin | exclude | include } regular-expression ]
顯示係統當前可以發送Trap消息的模塊及其Trap消息的使能狀態	display snmp-agent trap-list [ | { begin | exclude | include } regular-expression ]
顯示SNMPv3用戶信息	display snmp-agent usm-user [ engineid engineid | username user-name | group group-name ] * [ | { begin | exclude | include } regular-expression ]
顯示SNMPv1或SNMPv2c團體信息	display snmp-agent community [ read | write ] [ | { begin | exclude | include } regular-expression ]
顯示MIB視圖的信息	display snmp-agent mib-view [ exclude | include | viewname view-name ] [ | { begin | exclude | include } regular-expression ]

 

1.7  SNMP典型配置舉例

1.7.1  SNMPv1/v2c典型配置舉例

1. 組網需求

·     NMS與Agent相連，NMS的IP地址為1.1.1.2/24，Agent的IP地址為1.1.1.1/24。

·     NMS通過SNMPv1或SNMPv2c對Agent進行監控管理，Agent在出現故障時能主動向NMS發送Trap報文。

2. 組網圖

圖1-3 配置SNMPv1/v2c組網圖

 

3. 配置步驟

(1)     配置Agent

# 配置Agent的IP地址為1.1.1.1/24，並確保Agent與NMS之間路由可達。（配置步驟略）

# 設置Agent使用的SNMP版本為v1/v2c、隻讀團體名為public，讀寫團體名為private。

<Agent> system-view

[Agent] snmp-agent sys-info version v1 v2c

[Agent] snmp-agent community read public

[Agent] snmp-agent community write private

# 設置Agent的聯係人和位置信息，以方便維護。

[Agent] snmp-agent sys-info contact Mr.Wang-Tel:3306

[Agent] snmp-agent sys-info location telephone-closet,3rd-floor

# 設置允許向NMS發送Trap報文，使用的團體名為public。

[Agent] snmp-agent trap enable

[Agent] snmp-agent target-host trap address udp-domain 1.1.1.2 params securityname public v1

[Agent] quit

snmp-agent target-host命令中指定的版本必須和NMS上運行的SNMP版本一致，如果NMS上運行的是SNMPv2c版本，則需要將snmp-agent target-host命令中的版本參數設置為v2c。否則，NMS無法正確接收Trap信息。

(2)     配置NMS

# 設置NMS使用的SNMP版本為SNMPv1/v2c，隻讀團體名為public，讀寫團體名為private。具體配置請參考NMS的相關手冊。

 

(3)     結果驗證

# 通過查詢Agent上的相應MIB節點獲取已發送Trap信息的數量：

Send request to 1.1.1.1/161 ...

Protocol version: SNMPv1

Operation: Get

Request binding:

1: 1.3.6.1.2.1.11.29.0

Response binding:

1: Oid=snmpOutTraps.0 Syntax=CNTR32 Value=18

Get finished

# 當使用錯誤的團體名獲取Agent上的MIB節點信息時，NMS上將看到認證失敗的Trap信息：

1.1.1.1/2934 V1 Trap = authenticationFailure

SNMP Version = V1

Community = public

Command = Trap

Enterprise = 1.3.6.1.4.1.43.1.16.4.3.50

GenericID = 4

SpecificID = 0

Time Stamp = 8:35:25.68

1.7.2  SNMPv3典型配置舉例

1. 組網需求

·     NMS與Agent相連，NMS的IP地址為1.1.1.2/24，Agent的IP地址為1.1.1.1/24。

·     NMS通過SNMPv3隻能對Agent的SNMP報文的相關信息進行監控管理，Agent在出現問題的時候能夠主動向NMS發送Trap報文。

·     NMS與Agent建立SNMP連接時，需要認證，認證算法為MD5，認證密碼為authkey。NMS與Agent之間傳輸的SNMP報文需要加密，使用的加密協議為DES56，加密密碼為prikey。

2. 組網圖

圖1-4 配置SNMPv3組網圖

 

3. 配置步驟

(1)     配置Agent

# 配置Agent的IP地址為1.1.1.1/24，並確保Agent與NMS之間路由可達。（配置步驟略）

# 設置訪問權限：用戶隻能讀寫節點snmp（OID為1.3.6.1.2.1.11）下的對象，不可以訪問其他MIB對象。

<Agent> system-view

[Agent] undo snmp-agent mib-view ViewDefault

[Agent] snmp-agent mib-view included test snmp

[Agent] snmp-agent group v3 managev3group read-view test write-view test

# 設置Agent使用的用戶名為managev3user，認證算法為MD5，認證密碼為authkey，加密算法為DES56，加密密碼是prikey。

[Agent] snmp-agent usm-user v3 managev3user managev3group authentication-mode md5 authkey privacy-mode des56 prikey

# 設置設備的聯係人和位置信息，以方便維護。

[Agent] snmp-agent sys-info contact Mr.Wang-Tel:3306

[Agent] snmp-agent sys-info location telephone-closet,3rd-floor

# 設置允許向NMS發送Trap報文，使用的用戶名為managev3user。

[Agent] snmp-agent trap enable

[Agent] snmp-agent target-host trap address udp-domain 1.1.1.2 params securityname managev3user v3 privacy

(2)     配置NMS

# 設置NMS使用的SNMP版本為SNMPv3，用戶名為managev3user，啟用認證和加密功能，認證算法為MD5，認證密碼為authkey，加密協議為DES56，加密密碼為prikey。另外，還要設置“超時”時間和“重試次數”。用戶可利用網管係統完成對設備的查詢和配置操作，具體配置請參考NMS的相關手冊。

 

(3)     結果驗證

# 通過查詢Agent上的相應MIB節點獲取已發送Trap信息的數量：

Send request to 1.1.1.1/161 ...

Protocol version: SNMPv3

Operation: Get

Request binding:

1: 1.3.6.1.2.1.11.29.0

Response binding:

1: Oid=snmpOutTraps.0 Syntax=CNTR32 Value=18

Get finished

由於沒有權限，無法通過查詢Agent上的相應MIB節點獲取設備名稱：

Send request to 1.1.1.1/161 ...

Protocol version: SNMPv3

Operation: Get

Request binding:

1: 1.3.6.1.2.1.1.5.0

Response binding:

1: Oid=sysName.0 Syntax=noSuchObject Value=NULL

Get finished

# 對設備上某個空閑的接口執行shutdown/undo shutdown操作，NMS上將看到相應的Trap信息：

1.1.1.1/3374 V3 Trap = linkdown

SNMP Version = V3

Community = managev3user

Command = Trap

1.1.1.1/3374 V3 Trap = linkup

SNMP Version = V3

Community = managev3user

Command = Trap

1.7.3  SNMP日誌典型配置舉例

1. 組網需求

·     NMS與Agent相連，NMS的IP地址為1.1.1.2/24，Agent的IP地址為1.1.1.1/24。

·     在Agent上配置SNMP日誌功能，以便記錄NMS對Agent進行的操作。

2. 組網圖

圖1-5 配置SNMP日誌組網圖

 

3. 配置步驟

 

# 打開控製台對日誌信息的顯示功能（此步驟可省略，缺省為該功能是開啟的）。

<Agent> terminal monitor

<Agent> terminal logging

# 配置信息中心允許輸出級別高於等於informational的係統信息到Console口。

<Agent> system-view

[Agent] info-center source snmp channel console log level informational

# 打開Agent的SNMP日誌開關，對NMS的GET和SET操作進行記錄。

[Agent] snmp-agent log all

·     NMS對Agent進行GET操作時，可以在控製台上看到如下日誌信息。

%Jan 1 02:49:40:566 2011 Sysname SNMP/6/GET:

seqNO = <10> srcIP = <1.1.1.2> op = <get> node = <sysName(1.3.6.1.2.1.1.5.0)> value=<>

·     NMS對Agent進行SET操作時，可以在控製台上看到如下日誌信息。

%Jan 1 02:59:42:576 2011 Sysname SNMP/6/SET:

seqNO = <11> srcIP = <1.1.1.2> op = <set> errorIndex = <0> errorStatus =<noError> node = <sysName(1.3.6.1.2.1.1.5.0)> value = <Agent>

表1-8 SNMP日誌輸出信息描述表

字段	描述
Jan 1 02:49:40:566 2011	表示SNMP日誌生成的時間
seqNO	表示該SNMP日誌的編號（係統會對記錄的SNMP日誌進行自動編號，編號從0開始）
srcIP	NMS的IP地址
op	表示SNMP操作類型（GET或者SET）
node	SNMP操作節點的名稱和實例的OID
errorIndex	錯誤索引（0表示沒有錯誤）
errorStatus	錯誤狀態（noError表示沒有錯誤）
value	SET操作時設置的值（GET操作時此域為空，表示不記錄GET操作獲取的值） 當設置的值為字符串，而且字符串中包含編碼範圍超出了ASCII 0～127或者包含不可顯示的字符時，則以十六進製的方式顯示整個字符串，形如：value = <81-43>[hex]