Was ist SNMP?

Das Simple Network Management Protocol (SNMP) ist ein offener Standard zur Überwachung und Verwaltung von Geräten in IP-Netzwerken. Eine Verwaltungsstation fragt die Geräte nach Status- und Leistungsdaten ab, und die Geräte senden Traps, sobald sich ein Zustand ändert – ein Mechanismus, den die meisten Netzwerküberwachungsplattformen nutzen, um Router, Switches, Firewalls und SD-WAN-Geräte zu überwachen.

Die wichtigsten Erkenntnisse

• Mit SNMP kann ein Administrator Geräte abfragen, und Geräte können Alarm-Traps senden.
• SNMPv1 und SNMPv2c basieren auf Community-Strings; SNMPv3 bietet echte Sicherheit.
• MIBs definieren die OIDs, die ein Gerät bereitstellt, von der CPU-Auslastung bis hin zu Schnittstellenzählern.
• Traps senden eine einmalige Benachrichtigung; Informs fügen eine Bestätigung und eine erneute Übertragung hinzu.
• VOS-Geräte unterstützen SNMPv2c und SNMPv3 mit USM-Benutzern und VACM-Ansichten.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · SNMP-Versionen · SNMP & Versa · Häufig gestellte Fragen

Warum ist SNMP wichtig?

Jedes Betriebsteam muss wissen, dass ein Gerät nicht ordnungsgemäß funktioniert, bevor sich ein Benutzer beschwert. SNMP macht dies möglich: Eine Verwaltungsstation fragt Router, Switches, Firewalls und SD-WAN-Geräte nach CPU-, Speicher- und Sitzungszählern ab, während die Geräte in dem Moment, in dem ein Alarmzustand eintritt – beispielsweise ein Verbindungsausfall, ein Festplattenausfall oder ein Tunnelausfall –, Traps senden.

SNMP ist seit drei Jahrzehnten auf nahezu jedem verwalteten Netzwerkgerät vorinstalliert, sodass eine Plattform Geräte von Dutzenden von Anbietern über ein einziges Protokoll abfragen kann. SNMPv3 hat die größte Schwachstelle des ursprünglichen Designs – im Klartext übertragene Community-Strings – durch die Einführung authentifizierter, verschlüsselter Nachrichten behoben, weshalb SNMP auch heute noch die Standardwahl für die Geräteüberwachung ist.

Was ist SNMP?

SNMP basiert auf einem Manager-Agent-Modell. Ein SNMP-Agent auf dem überwachten Gerät stellt verwaltete Objekte bereit, die jeweils durch einen Objektbezeichner (OID) identifiziert und in einer Management Information Base (MIB) definiert sind – einem Verzeichnis der Daten, die das Gerät melden kann. Ein SNMP-Manager sendet GET-Anfragen, um OID-Werte auszulesen, oder SET-Anfragen, um diese zu ändern.

Zwei Nachrichtenflüsse leiten Warnmeldungen in die andere Richtung weiter. Ein Trap funktioniert nach dem „Fire-and-Forget“-Prinzip – es erfolgt keine Bestätigung, sodass ein verlorener Trap unbemerkt bleibt. Ein „Inform“ basiert auf dem gleichen Prinzip, verfügt jedoch über eine Empfangsbestätigung: Der Manager bestätigt den Empfang, und der Agent sendet die Nachricht so lange erneut, bis dies geschieht oder die Anzahl der Wiederholungsversuche erschöpft ist. SNMPv3 fügt das benutzerbasierte Sicherheitsmodell (USM) hinzu, das Nachrichten pro Benutzer authentifiziert und verschlüsselt, sowie das ansichtsbasierte Zugriffskontrollmodell (VACM), das einschränkt, auf welche OIDs jeder Benutzer zugreifen darf.

SNMP-Versionen

Es sind drei Protokollversionen im Einsatz. SNMPv1 ist das ursprüngliche Design aus dem Jahr 1988 – funktionsfähig, aber praktisch veraltet. SNMPv2c wird nach wie vor von den meisten Geräten verwendet: Es bietet die Möglichkeit zum Abruf großer Datenmengen und behält das Community-String-Modell von SNMPv1 bei, bei dem eine gemeinsam genutzte Klartextzeichenfolge als schwaches Passwort dient. SNMPv3 ersetzt Community-Strings durch eine benutzerspezifische Authentifizierung (MD5 oder SHA) und optionale Verschlüsselung (DES oder AES) über USM sowie durch die VACM-Zugriffskontrolle – die einzige Version, die auf einer nicht vertrauenswürdigen Übertragungsstrecke sicher ist.

Bei der Bereitstellung wird zudem zwischen „Traps“ für Warnmeldungen mit geringem Overhead und „Informs“ für eine garantierte Zustellung gewählt; dabei kommen MIBs zum Einsatz, die je nach Anbieter und Gerätetyp variieren.

SNMP & Versa

VOS-Geräte werden als vollwertige SNMP-Agenten ausgeliefert, die über Director-Gerätevorlagen unter „Objekte & Konnektoren“ > „Konnektoren“ > „SNMP“ konfiguriert werden: Trap-Profile legen fest, welcher Manager Benachrichtigungen empfängt, Communities legen die SNMPv2c-Zeichenkette fest, und in den Agenteneinstellungen wird ausgewählt, welche Protokollversionen das Gerät akzeptiert. USM-Benutzer verfügen über SNMPv3-Authentifizierungs- und Datenschutzeinstellungen; VACM schränkt ein, was die einzelnen Benutzer lesen oder worüber sie benachrichtigt werden können. Die vollständige Vorgehensweise finden Sie unter „SNMP konfigurieren “.

VOS-Gerätealarme werden standardmäßig an Analytics und Director weitergeleitet, aber fast jeder Alarmtyp – CPU, Festplatte, Schnittstelle, BGP, HA und mehr – kann auch an SNMP gesendet werden, wodurch Zustandsereignisse in Traps umgewandelt werden, die ein Collector verarbeiten kann. Dazu ist ebenfalls eine Einstellung im VNF-Manager erforderlich: die Adresse des SNMP-Servers und die Schnittstelle, über die dieser erreicht wird. Wenn SNMP nicht ordnungsgemäß funktioniert, führt der Leitfaden „Fehlerbehebung bei SNMP auf VOS-Geräten“ durch die Dateien „devel.log“ und „snmp.log“, um Unstimmigkeiten bei den Communities, fehlende SNMPv3-Benutzer oder Erreichbarkeitsprobleme zu isolieren.

Häufig gestellte Fragen

Was ist der Unterschied zwischen SNMP-Abfragen und Traps?

Das Polling wird vom Manager initiiert: Der Manager sendet eine GET-Anfrage, und der Agent antwortet nach einem vom Manager festgelegten Zeitplan. Traps werden vom Agenten initiiert: Das Gerät sendet unaufgefordert eine Benachrichtigung, sobald eine bestimmte Bedingung eintritt – deshalb erfassen Traps Ereignisse, die beim Polling übersehen würden.

Warum ist SNMPv3 sicherer als SNMPv2c?

Bei SNMPv2c erfolgt die Authentifizierung über eine Community-Zeichenkette, die im Klartext gesendet wird und von jedem, der den Datenverkehr abfängt, gelesen oder gefälscht werden kann. SNMPv3 ersetzt dies durch eine benutzerspezifische Authentifizierung (MD5 oder SHA), eine optionale Verschlüsselung (DES oder AES) über USM sowie eine VACM-Zugriffskontrolle, die den Sichtbereich jedes Benutzers einschränkt.

Was ist ein MIB in SNMP?

Eine Management Information Base (MIB) ist eine maschinenlesbare Datei, in der die Objektkennungen (OIDs) definiert sind, die ein Gerät über SNMP bereitstellt – was die einzelnen OIDs bedeuten, welchen Datentyp sie haben und ob sie lesbar oder beschreibbar sind. Hersteller veröffentlichen gerätespezifische MIBs; die MIB von „ Versa“ ( Versa-MIB.pdf) ist im Lieferumfang jeder VOS-Version enthalten.

Welchen Port verwendet SNMP?

SNMP-Abfrageanfragen und -Antworten nutzen den UDP-Port 161. SNMP-Traps und -Informs nutzen standardmäßig den UDP-Port 162. Beide Ports müssen auf dem gesamten Weg zwischen dem Manager oder Trap-Collector und dem überwachten Gerät offen bleiben, da sonst Anfragen und Warnmeldungen niemals ankommen.

Was ist der Unterschied zwischen einem SNMP-Trap und einem Inform?

Ein Trap wird einmalig ohne Bestätigungsmeldung gesendet, sodass ein verlorener Trap niemals erneut gesendet oder bemerkt wird. Ein „Inform“ basiert auf dem gleichen Prinzip, jedoch mit einer Empfangsbestätigung: Der Manager bestätigt den Empfang, und der Agent sendet die Nachricht so lange erneut, bis eine Bestätigung eingeht oder ein Wiederholungslimit erreicht ist – dabei wird Overhead gegen Zuverlässigkeit eingetauscht.

Mehr zu SNMP

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit SNMP beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.