在现代网络管理中，对网络设备进行实时监控和故障排查至关重要，简单网络管理协议（SNMP）是实现这一目标的标准协议，通过在Cisco交换机上配置SNMP，网络管理员可以集中收集设备状态信息、流量数据、CPU和内存利用率等关键指标，从而极大地提升了网络运维的效率和可见性，本文将详细介绍如何在Cisco交换机上配置SNMP,覆盖从基础准备到安全验证的全过程。
配置前的准备工作
在开始配置之前,确保您已经具备以下条件：
- 设备访问权限：您需要通过控制台、SSH或Telnet等方式拥有交换机的管理权限，并且能够进入全局配置模式（
configure terminal）。 - 网络管理系统（NMS）：明确您的NMS（如Zabbix, Nagios, SolarWinds等）服务器的IP地址,该服务器将作为SNMP信息请求的发起者。
- SNMP版本选择：了解不同SNMP版本的特点。
- SNMPv1/v2c：使用基于社区的明文验证，安全性较低，但配置简单，兼容性好，SNMPv2c在v1基础上提升了性能,并引入了GETBULK操作。
- SNMPv3：提供了强大的安全模型，支持用户认证和数据加密（AuthPriv）,是生产环境中强烈推荐使用的版本。
配置SNMPv2c
尽管SNMPv2c安全性较低，但在一些受信任的内部网络中，因其配置简便而被广泛使用，其核心是配置一个“团体字符串”,类似于密码。
基础配置
假设您的NMS服务器IP地址为168.1.100，您希望设置一个只读团体字符串public_ro和一个读写团体字符串private_rw。
Switch> enable Switch# configure terminal Enter configuration commands, one per line. End with CNTL/Z. # 配置只读团体字符串，允许NMS获取设备信息 Switch(config)# snmp-server community public_ro ro # 配置读写团体字符串，允许NMS修改设备配置（需谨慎使用） Switch(config)# snmp-server community private_rw rw
增强安全性：使用ACL限制访问
为了防止任何IP地址都能尝试用您的团体字符串访问交换机，最佳实践是使用访问控制列表（ACL）来限制仅允许指定的NMS服务器进行SNMP访问。
Switch(config)# ip access-list standard SNMP_NMS_ACL Switch(config-std-nacl)# permit 192.168.1.100 Switch(config-std-nacl)# deny any log Switch(config-std-nacl)# exit # 将ACL应用到只读团体字符串 Switch(config)# snmp-server community public_ro ro SNMP_NMS_ACL # 将ACL应用到读写团体字符串 Switch(config)# snmp-server community private_rw rw SNMP_NMS_ACL
这样，只有来自168.1.100的SNMP请求才会被交换机处理。
配置SNMPv3（推荐）
SNMPv3通过引入用户、组和安全模型，提供了更高级别的安全保障,我们将配置一个使用认证和加密的用户。
配置步骤
- 创建SNMP组：定义一个组，并为其指定安全级别（
priv表示同时需要认证和加密）。 - 创建SNMP用户：创建一个用户，将其加入到刚才创建的组中,并设置认证密码和加密密码。
假设我们要创建一个用户snmp_admin，认证协议使用SHA，认证密码为AuthPass123，加密协议使用AES-128，加密密码为EncrPass456。
Switch> enable Switch# configure terminal # 1. 创建一个名为 "NET_ADMIN_GROUP" 的SNMP组，使用v3安全模型，要求认证和加密 Switch(config)# snmp-server group NET_ADMIN_GROUP v3 priv # 2. 创建用户 "snmp_admin"，将其加入组 "NET_ADMIN_GROUP" # - 使用SHA作为认证协议，密码为 "AuthPass123" # - 使用aes 128作为加密协议，密码为 "EncrPass456" Switch(config)# snmp-server user snmp_admin NET_ADMIN_GROUP v3 auth sha AuthPass123 priv aes 128 EncrPass456
配置完成后，您的NMS服务器就需要使用用户名snmp_admin、认证协议SHA、认证密码AuthPass123、加密协议AES-128和加密密码EncrPass456来访问交换机的SNMP信息。
验证SNMP配置
配置完成后,必须进行验证以确保其工作正常。
-
检查运行配置：
Switch# show running-config | include snmp
此命令会显示所有与SNMP相关的配置行，您可以核对团体字符串、用户和组信息是否正确。
-
检查SNMPv3用户：
Switch# show snmp user
此命令会详细列出已配置的SNMPv3用户、所属组、认证和加密方式。
-
从NMS服务器测试：在NMS服务器上，使用
snmpwalk或类似的工具进行测试。- 测试SNMPv2c：
snmpwalk -v2c -c public_ro 192.168.1.1
- 测试SNMPv3：
snmpwalk -v3 -u snmp_admin -l authPriv -a SHA -A AuthPass123 -x AES -X EncrPass456 192.168.1.1
如果命令能够返回交换机的系统信息（如
sysDescr.0）,则说明配置成功。
- 测试SNMPv2c：
常用SNMP OID速查表
OID（对象标识符）是SNMP用于标识管理对象的唯一ID,以下是一些在监控Cisco交换机时常用的OID：
| 描述 | OID |
|---|---|
| 系统描述 | 3.6.1.2.1.1.1.0 |
| 系统运行时间 | 3.6.1.2.1.1.3.0 |
| 接口描述 | 3.6.1.2.1.2.2.1.2.{ifIndex} |
| 接口操作状态 | 3.6.1.2.1.2.2.1.8.{ifIndex} (1:up, 2:down) |
| 接口入流量 | 3.6.1.2.1.2.2.1.10.{ifIndex} |
| 接口出流量 | 3.6.1.2.1.2.2.1.16.{ifIndex} |
注：{ifIndex}是接口的索引号，可以通过snmpwalk遍历接口表获得。
相关问答FAQs
问题1：SNMPv2c 和 SNMPv3 的主要区别是什么？我应该选择哪个？
回答：两者最核心的区别在于安全性，SNMPv2c使用明文的“团体字符串”作为唯一的认证凭据，在网络传输中容易被嗅探和截获，安全性较低，而SNMPv3引入了基于用户的安全模型（USM），支持用户名、认证协议（如MD5、SHA）和加密协议（如DES、AES）,可以有效防止未授权访问和数据窃听。
选择建议：在任何对安全有要求的网络环境中，特别是生产网络或跨公网的管理场景中，强烈推荐使用SNMPv3，仅在完全隔离、绝对可信的内部测试或临时环境中，为了快速配置和调试,才可以考虑使用SNMPv2c。
问题2：配置了SNMP后，但在NMS上仍然无法获取数据，可能是什么原因？
回答：这是一个常见的排错问题,可能的原因包括：
- 防火墙或ACL：交换机本身的访问控制列表（ACL）、交换机与NMS之间的防火墙，或者NMS自身的防火墙，可能阻挡了UDP端口161（SNMP请求）和162（SNMP Trap）的通信。
- 凭证错误：NMS上配置的团体字符串（v2c）或用户凭证（v3，包括用户名、认证/加密协议和密码）与交换机上的配置不匹配。
- ACL限制：如果您在交换机上配置了限制SNMP访问的ACL,请确保NMS服务器的IP地址已被正确添加到允许列表中。
- 网络连通性：最基础的问题,确认NMS服务器能否ping通交换机的管理IP地址。
- SNMP服务未启用：虽然
snmp-server命令通常会自动启用服务，但在某些旧版本或特定情况下，可能需要手动启用，可以通过show snmp命令查看SNMP包的统计信息来判断服务是否活跃。
图片来源于AI模型，如侵权请联系管理员。作者：酷小编，如若转载，请注明出处：https://www.kufanyun.com/ask/12758.html
