Cisco交换机SNMPv3完整配置流程及命令是什么？

简单网络管理协议（SNMP）是网络设备管理中不可或缺的标准协议，它允许网络管理系统（NMS）以统一的方式监控和管理网络中的设备，如Cisco交换机，通过SNMP，管理员可以实时获取设备的性能数据、端口状态、流量统计、错误计数等关键信息，从而实现对网络健康状况的全面掌控和故障的快速响应，本文将详细介绍在Cisco交换机上配置SNMP的步骤、不同版本的特点以及相关的安全最佳实践。

SNMP基础与版本选择

在开始配置之前，了解SNMP的不同版本至关重要,因为它们在安全性和功能性上存在显著差异。

• SNMPv1: 最早的版本，安全性极低，社区字符串以明文形式传输，且功能有限,现已不推荐使用。
• SNMPv2c: 最广泛部署的版本，它引入了GetBulk操作以提高数据获取效率，但安全性方面与v1相同，仍依赖明文社区字符串,存在安全风险。
• SNMPv3: 最新且最安全的版本，它提供了强大的安全模型，包括用户认证（确保用户身份的合法性）和数据加密（确保数据在传输过程中的机密性）,是现代网络环境中的首选。

对于新的部署或对安全有要求的环境，强烈建议使用SNMPv3，但在一些遗留系统或内部安全隔离良好的网络中,SNMPv2c因其配置简单而仍被使用。

配置SNMPv2c

配置SNMPv2c的核心是设置社区字符串，它相当于一个密码，社区字符串分为两种权限：只读和读写。

配置步骤：

1. 进入全局配置模式：

   Switch# configure terminal

2. 设置只读社区字符串：
   只读社区字符串允许NMS查询设备信息但不能修改。

   Switch(config)# snmp-server community public ro

   这里，public是社区字符串名称，ro代表只读。

3. 设置读写社区字符串（谨慎使用）：
   读写社区字符串允许NMS查询并修改设备配置，风险较高,应仅在必要时配置并使用强密码。

   Switch(config)# snmp-server community private rw

   这里，private是社区字符串名称，rw代表读写。

4. 设置设备联系人和位置信息（可选但推荐）：
   这有助于管理员快速识别设备和负责人。

   Switch(config)# snmp-server contact "Network Admin - admin@example.com"
   Switch(config)# snmp-server location "Data Center Rack 01"

完整配置示例：

Switch# configure terminal
Switch(config)# snmp-server community ComRo123 ro
Switch(config)# snmp-server community ComRw456 rw
Switch(config)# snmp-server contact "IT Team"
Switch(config)# snmp-server location "Main Building Floor 3"
Switch(config)# end
Switch# write memory

配置SNMPv3（推荐）

SNMPv3的配置更为复杂，但提供了更高的安全性，其配置模型基于用户（User）、组（Group）和视图（View）。

• 视图: 定义了用户可以访问的MIB（管理信息库）对象树的范围。
• 组: 定义了一组用户的权限策略，如安全级别（无认证无加密、仅认证、认证且加密）和允许访问的视图。
• 用户: 属于某个特定组,并设置了具体的认证和加密密码。

配置步骤：

1. 进入全局配置模式。

2. 创建一个视图（可选，通常使用默认视图即可）：

   Switch(config)# snmp-server view VIEW-ISO iso included

   此命令创建一个名为VIEW-ISO的视图，包含了整个iso MIB树。

3. 创建一个组并配置安全级别和视图：

   Switch(config)# snmp-server group GROUP-NMS v3 priv read VIEW-ISO write VIEW-ISO

   此命令创建一个名为GROUP-NMS的组，使用v3版本，安全级别为priv（认证且加密），并授予对VIEW-ISO视图的读写权限。

4. 创建用户并将其添加到组中：

   Switch(config)# snmp-server user NMS-User GROUP-NMS v3 auth sha AuthPass123 priv aes 128 PrivPass456

   此命令创建一个名为NMS-User的用户，隶属于GROUP-NMS组，认证协议使用SHA，密码为AuthPass123，加密协议使用AES 128，密码为PrivPass456。

完整配置示例：

Switch# configure terminal
Switch(config)# snmp-server view VIEW-ISO iso included
Switch(config)# snmp-server group GROUP-NMS v3 priv read VIEW-ISO
Switch(config)# snmp-server user MonitorUser GROUP-NMS v3 auth sha MyAuthPass priv aes 128 MyPrivPass
Switch(config)# end
Switch# write memory

验证与故障排查

配置完成后,必须进行验证以确保SNMP服务正常工作。

1. 查看SNMP配置：

   Switch# show running-config | include snmp

   此命令会显示所有与SNMP相关的配置行。

2. 查看SNMP统计信息：

   Switch# show snmp

   此命令会显示SNMP的输入/输出数据包统计、社区字符串（v2c）或用户信息（v3）等。

   

3. 使用外部工具测试：
   在NMS服务器上，可以使用snmpwalk或类似工具进行测试。

   • 测试v2c:
     snmpwalk -v2c -c public <交换机IP>
   • 测试v3:
     snmpwalk -v3 -u MonitorUser -l authPriv -a SHA -A MyAuthPass -x AES -X MyPrivPass <交换机IP>

安全最佳实践

为了确保SNMP服务的安全,请遵循以下建议：

• 优先使用SNMPv3：避免使用v1和v2c的明文传输。

• 使用强密码：为社区字符串、认证密码和加密密码设置复杂且难以猜测的字符串。

• 限制访问源IP：通过访问控制列表（ACL）来限制只有特定的NMS服务器IP地址才能查询SNMP。

  ! 创建一个ACL，只允许NMS服务器访问
  ip access-list standard SNMP-ACL
   permit 192.168.1.100
   deny any log
  ! 将ACL应用到SNMPv2c
  snmp-server community SecureRo ro SNMP-ACL
  ! 将ACL应用到SNMPv3组
  snmp-server group GROUP-NMS v3 priv read VIEW-ISO access SNMP-ACL

• 定期审查配置：定期检查SNMP配置,移除不再需要的用户或社区字符串。

相关问答FAQs

Q1: SNMPv2c和SNMPv3的主要区别是什么？我应该选择哪一个？

A: 主要区别在于安全性，SNMPv2c使用社区字符串作为唯一的验证机制，且以明文形式在网络上传输，非常容易被嗅探和劫持，而SNMPv3提供了基于用户的安全模型（USM），支持认证（确认用户身份，如MD5或SHA）和加密（保护数据隐私，如DES或AES），大大增强了安全性。在任何对安全有要求的现代网络中，都应无条件选择SNMPv3，只有在一些非常老旧、完全隔离且无法升级的内部环境中,才可以谨慎地考虑使用SNMPv2c。

Q2: 我已经按照步骤配置了SNMP，但是我的网络监控系统（NMS）仍然无法从交换机获取数据，该如何排查？

A: 排查此类问题可以遵循以下步骤：

1. 检查网络连通性：首先从NMS服务器ping交换机的IP地址,确保基础网络是通的。
2. 验证交换机配置：登录交换机，使用show running-config | include snmp命令，确认SNMP配置（社区字符串、用户、组、视图等）是否正确无误,特别是密码是否有拼写错误。
3. 检查访问控制列表（ACL）：如果配置了ACL来限制SNMP访问，请确保NMS服务器的IP地址已在ACL的permit列表中,检查ACL是否被正确应用到了SNMP配置上。
4. 检查防火墙：检查交换机与NMS服务器之间的所有网络设备（包括交换机自身的防火墙功能）是否允许UDP端口161（SNMP查询）和162（SNMP Trap）的流量通过。
5. 使用命令行工具测试：在NMS服务器上使用snmpwalk等工具进行手动测试，如果工具也失败，错误信息（如Timeout、No response）能提供更具体的线索，超时通常指向防火墙或ACL问题,而认证失败则指向凭证错误。