简单网络管理协议（SNMP）是网络设备管理中不可或缺的标准协议，它允许网络管理系统（NMS）以标准化的方式监控和控制网络设备，如Cisco交换机，通过SNMP，管理员可以实时获取设备的性能指标、端口状态、CPU和内存利用率等关键信息，并接收设备发出的告警，本文将详细介绍在Cisco交换机上配置SNMP的步骤，涵盖基础的SNMPv2c和更安全的SNMPv3，并提供一些高级配置与最佳实践。
理解SNMP版本
在开始配置之前,了解不同SNMP版本的区别至关重要。
- SNMPv1: 最早的版本，安全性极低，community string以明文传输，基本已被淘汰。
- SNMPv2c: 最广泛部署的版本，它引入了GetBulk操作以提高效率，但安全性方面与v1相同，仍依赖明文的community string，适用于相对安全的内部网络环境。
- SNMPv3: 最新的版本，提供了企业级的安全特性，它通过用户名、认证协议（如MD5、SHA）和加密协议（如DES、AES）来确保数据传输的机密性、完整性和身份验证，是当前部署的首选。
配置SNMPv2c
SNMPv2c的配置相对简单,主要涉及设置Community String，Community String相当于一个密码，分为只读（RO）和读写（RW）两种。
基本配置步骤
-
进入全局配置模式：
Switch> enable Switch# configure terminal Enter configuration commands, one per line. End with CNTL/Z. Switch(config)# -
设置只读Community String：
这允许NMS读取设备信息但不能修改。snmp-server community public RO这里
public是一个只读Community名称，您应替换为一个更复杂的字符串。 -
设置读写Community String：
这允许NMS读取和修改设备配置（需谨慎使用）。snmp-server community private RW这里
private是一个读写Community名称，同样建议使用强密码。 -
验证配置：
使用以下命令查看已配置的Community信息。Switch# show running-config | include snmp snmp-server community public RO snmp-server community private RW Switch#
配置SNMPv3
SNMPv3的配置更为复杂,因为它涉及用户、组和视图的创建，但提供了更高的安全性。
核心概念
- View: 定义了用户可以访问哪些管理信息库（MIB）对象。
- Group: 将多个用户组织在一起，并为该组分配安全模型和权限（如只读、读写）。
- User: 创建具体的用户，并将其分配到某个组，同时设置认证和加密密码。
分步配置示例
假设我们要创建一个用户 nms_user，它属于 nms_group 组，拥有对整个MIB树的只读权限，使用SHA进行认证，使用AES-128进行加密。
-
创建一个视图：
定义一个名为READ-VIEW的视图，允许访问整个isoMIB树。snmp-server view READ-VIEW iso included -
创建一个组：
创建一个名为nms_group的组，使用v3安全模型，要求认证和加密（priv），并授予其READ-VIEW视图的只读权限。snmp-server group nms_group v3 priv read READ-VIEW -
创建用户并分配到组：
创建用户nms_user，将其加入nms_group，设置认证密码为AuthPass123，加密密码为PrivPass123。snmp-server user nms_user nms_group v3 auth sha AuthPass123 priv aes 128 PrivPass123 -
验证配置：
Switch# show snmp user User name: nms_user Engine ID: 800000090300001A2B3C4D5E0 storage-type: nonvolatile active Authentication Protocol: SHA Privacy Protocol: AES128 Group-name: nms_group Switch# show snmp group groupname: nms_group security model:v3 priv readview : READ-VIEW writeview: <no writeview specified> notifyview: <no notifyview specified> row status: active Switch#
高级配置与最佳实践
限制SNMP访问来源
为了增强安全性,应该只允许特定的NMS服务器IP地址访问交换机的SNMP服务，这可以通过访问控制列表（ACL）实现。
-
创建标准ACL：
假设NMS服务器IP为168.1.100。access-list 10 permit host 192.168.1.100 access-list 10 deny any -
将ACL应用于SNMP：
在配置Community String时，在末尾加上ACL编号。snmp-server community public RO 10
配置SNMP Traps
Trap是交换机主动向NMS发送的事件通知（如端口down、链路波动等）。
-
启用Trap：
snmp-server enable traps可以指定特定类型的trap,如
snmp-server enable traps linkstatus。 -
设置Trap接收主机：
snmp-server host 192.168.1.100 version 2c public这条命令指定了NMS的IP地址、SNMP版本以及Trap Community String。
常用OID示例
| 描述 | OID |
|---|---|
| 系统描述 | .1.3.6.1.2.1.1.1.0 |
| 设备运行时间 | .1.3.6.1.2.1.1.3.0 |
| CPU利用率（5秒平均值） | .1.3.6.1.4.1.9.2.1.56.0 |
| 接口操作状态 | .1.3.6.1.2.1.2.2.1.8.{ifIndex} |
| 接口入流量 | .1.3.6.1.2.1.2.2.1.10.{ifIndex} |
相关问答FAQs
问题1：SNMPv2c和SNMPv3的主要区别是什么，我应该选择哪个版本？
解答： 主要区别在于安全性，SNMPv2c使用明文的Community String进行身份验证，非常容易被嗅探和破解，安全性较低，而SNMPv3采用了基于用户的安全模型（USM），支持用户名、认证（SHA/MD5）和加密（AES/DES），能有效防止未授权访问和数据泄露，对于任何生产环境，尤其是跨公网或不信任网络的管理，强烈推荐使用SNMPv3，仅在完全隔离和可信的内部网络中，为了简化配置，可以考虑使用SNMPv2c。
问题2：配置了SNMP后，如何检查交换机是否正确响应SNMP请求？
解答： 可以通过两种方式进行检查，在交换机上使用 show snmp 命令，可以查看SNMP的统计信息，如输入和输出的数据包数量，如果从NMS发起请求后，这些计数器有增长，说明交换机收到了请求，更直接的方法是在NMS服务器上使用 snmpwalk 或 snmpget 等工具（例如在Linux上安装 net-snmp-utils），向交换机IP发送查询，如果工具能成功返回MIB信息，则证明SNMP配置正确且网络连通。snmpwalk -v2c -c public <交换机IP> sysName.0，如果使用SNMPv3，命令会相应地包含用户名和认证/加密密码。
图片来源于AI模型，如侵权请联系管理员。作者：酷小编，如若转载，请注明出处：https://www.kufanyun.com/ask/8112.html
