Monitoraggio SNMP per router, switch, UPS e stampanti

Un OID è un indirizzo all’interno di un albero, e ogni dispositivo ne pubblica una porzione diversa. MIB-2 - l’albero di base definito nella RFC 1213 - è dove risiedono sysUpTime e i contatori di interfaccia, e quasi ogni dispositivo SNMP vi risponde, che sia un router, uno switch o una macchina Linux con un agente installato. Oltre a questo, il MIB proprio del produttore aggiunge valori specifici del dispositivo: un UPS-MIB per gli apparati a batteria, un Printer-MIB per i livelli dei materiali di consumo, e MIB dei produttori propri per cose come sensori di temperatura o velocità delle ventole.

Il modo più veloce per trovare il numero giusto su un dispositivo specifico è chiederglielo direttamente. snmpwalk elenca ogni OID a cui un dispositivo è disposto a rispondere a partire da un punto di partenza; snmpget legge un OID che già conosci:

snmpwalk -v2c -c public 192.0.2.10 1.3.6.1.2.1.1
snmpget -v2c -c public 192.0.2.10 1.3.6.1.2.1.1.3.0

Qualsiasi cosa tu trovi, HostTracker ha bisogno della forma numerica - 1.3.6.1.2.1.1.3.0, mai il nome simbolico sysUpTime.0 che un browser MIB potrebbe mostrarti accanto. Copia il numero, non l’etichetta.

SNMP v1 e v2c si autenticano con nient’altro che una community string, inviata sulla rete esattamente come digitata - una password che chiunque osservi il traffico può leggere. SNMP v3 la sostituisce con un nome di sicurezza e un livello di sicurezza che scegli per ciascuna credenziale:

• noAuthNoPriv - viene verificato solo il nome di sicurezza, nulla viene firmato o cifrato. Appena più robusto di v2c, ed esiste soprattutto per compatibilità.
• authNoPriv - la richiesta viene autenticata con MD5, SHA-1 o SHA-256, quindi non può essere falsificata, ma il payload viaggia comunque senza cifratura.
• authPriv - autenticato e cifrato, con privacy DES o AES-128, AES-192 o AES-256. È il livello da usare per tutto ciò di cui non ti fidi completamente del percorso di rete.

Sia la chiave di autenticazione sia la chiave di privacy devono avere almeno 8 caratteri. Se il dispositivo lo supporta, authPriv con SHA-256 e AES-256 è la combinazione più forte disponibile; gli apparati embedded più datati a volte parlano solo MD5 e DES, che vale comunque la pena usare al posto di una semplice community string v1 o v2c.

Per essere diretti su dove si trova oggi questa funzionalità: un controllo SNMP legge e registra il valore riportato dal dispositivo. Non valuta una regola su quel valore come fa invece un controllo HTTP, Database o Counter - non esiste ancora un «avvisa quando questo numero supera X» su un monitor SNMP. Ciò su cui avvisa è il dispositivo stesso: quando la richiesta smette di ricevere una risposta, un avviso parte verso i tuoi contatti configurati - email, SMS, chiamata vocale, Slack, Telegram, webhook e altro ancora - gli stessi canali usati da ogni controllo HostTracker.

Questo copre comunque il caso che conta di più per l’hardware: sapere che un dispositivo è caduto dalla rete prima che qualcuno se ne accorga nel modo peggiore. E poiché ogni lettura viene conservata insieme alla cronologia del controllo, puoi aprire il contatore di uptime di un router o lo stato della batteria di un UPS e leggerne tu stesso l’andamento, anche senza una regola automatica che lo osservi. Per un valore che ha davvero bisogno di una soglia e di un debounce - CPU, memoria, spazio su disco, il tempo di connessione di una porta - un monitor del carico del server su un piccolo endpoint collector te lo offre già oggi.