SNMP Monitoring für Router, Switches, USV und Drucker

Eine OID ist eine Adresse in einem Baum, und jedes Gerät veröffentlicht einen anderen Ausschnitt davon. MIB-2 - der Basisbaum, definiert in RFC 1213 - ist dort, wo sysUpTime und die Schnittstellenzähler leben, und fast jedes SNMP- Gerät beantwortet ihn, egal ob Router, Switch oder eine Linux-Box mit installiertem Agent. Darüber hinaus fügt eine herstellereigene MIB gerätespezifische Werte hinzu: eine UPS-MIB für USV-Hardware, eine Printer-MIB für Füllstände, und eigene Hersteller-MIBs für Dinge wie Temperatursensoren oder Lüftergeschwindigkeit.

Der schnellste Weg, die richtige Zahl an einem bestimmten Gerät zu finden, ist, es zu fragen. snmpwalk listet jede OID auf, die ein Gerät unterhalb eines Startpunkts zu beantworten bereit ist; snmpget liest eine OID, die Sie bereits kennen:

snmpwalk -v2c -c public 192.0.2.10 1.3.6.1.2.1.1
snmpget -v2c -c public 192.0.2.10 1.3.6.1.2.1.1.3.0

Was auch immer Sie finden, HostTracker braucht die numerische Form - 1.3.6.1.2.1.1.3.0, niemals den symbolischen Namen sysUpTime.0, den Ihnen ein MIB-Browser vielleicht daneben anzeigt. Kopieren Sie die Zahl, nicht die Bezeichnung.

SNMP v1 und v2c authentifizieren mit nichts weiter als einem Community-String, genau so auf die Leitung gesendet, wie er eingegeben wurde - ein Passwort, das jeder mitlesen kann, der den Traffic beobachtet. SNMP v3 ersetzt das durch einen Security-Namen und eine pro Anmeldedaten wählbare Sicherheitsstufe:

• noAuthNoPriv - der Security-Name wird geprüft, nichts wird signiert oder verschlüsselt. Kaum stärker als v2c, und meist nur aus Kompatibilitätsgründen vorhanden.
• authNoPriv - die Anfrage wird mit MD5, SHA-1 oder SHA-256 authentifiziert, kann also nicht gefälscht werden, aber die Nutzlast selbst reist weiterhin unverschlüsselt.
• authPriv - authentifiziert und verschlüsselt, mit DES- oder AES-128-, AES-192- oder AES-256- Verschlüsselung. Das ist die Stufe für alles, dessen Übertragungsweg Sie nicht vollständig vertrauen.

Sowohl der Authentifizierungs- als auch der Privacy-Schlüssel müssen mindestens 8 Zeichen lang sein. Unterstützt das Gerät es, ist authPriv mit SHA-256 und AES-256 die stärkste verfügbare Kombination; ältere eingebettete Geräte sprechen manchmal nur MD5 und DES, was gegenüber einem reinen v1- oder v2c-Community-String trotzdem lohnenswert ist.

Um ehrlich zu sein, wo das heute steht: Ein SNMP-Check liest und speichert den vom Gerät gemeldeten Wert. Er wertet keine Regel gegen diesen Wert aus, wie es ein HTTP-, Datenbank- oder Counter-Check tut - es gibt bei einem SNMP-Monitor noch kein „alarmieren, wenn diese Zahl X überschreitet“. Was er tut, ist, auf das Gerät selbst zu alarmieren: Wenn die Anfrage keine Antwort mehr bekommt, geht eine Warnung an Ihre konfigurierten Kontakte - E-Mail, SMS, Sprachanruf, Slack, Telegram, Webhooks und mehr - dieselben Kanäle, die jeder HostTracker-Check nutzt.

Das deckt trotzdem den für Hardware wichtigsten Fall ab: zu wissen, dass ein Gerät aus dem Netzwerk gefallen ist, bevor es jemand auf die harte Tour bemerkt. Und weil jeder Messwert mit der Check-Historie gespeichert wird, können Sie den Laufzeitzähler eines Routers oder den Batteriestatus einer USV öffnen und selbst den Trend ablesen, auch ohne dass eine automatische Regel ihn beobachtet. Für einen Wert, der tatsächlich einen Schwellenwert und eine Entprellung braucht - CPU, Speicher, Festplattenplatz, die Verbindungszeit eines Ports - gibt Ihnen ein Server-Last-Monitor gegen einen kleinen Collector-Endpunkt das schon heute.