Configurar SNMPv3
SNMP versión 3 (SNMPv3) mejora la funcionalidad de SNMPv1 y SNMPv2c al admitir la autenticación de usuario y el cifrado de datos. SNMPv3 utiliza el modelo de seguridad basado en usuarios (USM) para garantizar una comunicación segura para los mensajes SNMP y el modelo de control de acceso basado en vistas (VACM) para administrar el control de acceso de los usuarios.
Las características de SNMPv3 incluyen:
-
Con USM, se puede autenticar el origen del mensaje y comprobar la integridad de los datos de los mensajes SNMP entre el gestor SNMP y el agente. USM reduce los retrasos de mensajería y las reproducciones de mensajes mediante la aplicación de límites de tiempo de espera y la comprobación de ID de solicitud de mensajes duplicados.
-
VACM complementa a USM proporcionando control de acceso del usuario para consultas SNMP al agente. Usted define los privilegios de acceso que desea extender a un grupo de uno o más usuarios. Los privilegios de acceso están determinados por los parámetros del modelo de seguridad (
usm, ,v1ov2) y los parámetros de nivel de seguridad (authentication,privacy, onone). Para cada nivel de seguridad, debe asociar una vista MIB para el grupo. La asociación de una vista MIB con un grupo concede el permiso de lectura, escritura o notificación a un conjunto de objetos MIB para el grupo. -
Los parámetros de seguridad se configuran para cada usuario, incluidos el nombre de usuario, el tipo de autenticación y la contraseña de autenticación, así como el tipo de privacidad y la contraseña de privacidad. El nombre de usuario proporcionado a cada usuario está en un formato que depende del modelo de seguridad configurado para ese usuario.
-
Para garantizar la seguridad de la mensajería, se incluye otro tipo de nombre de usuario, denominado nombre de seguridad, en los datos de mensajería que se envían entre el servidor SNMP local y el servidor SNMP de destino. Cada nombre de usuario se asigna a un nombre de seguridad, pero el nombre de seguridad tiene un formato independiente del modelo de seguridad.
-
Las entradas de trampa en SNMPv3 se crean mediante la configuración de los parámetros notificar, notificar, filtro, dirección de destino y destino. La
notifyinstrucción especifica el tipo de notificación (captura) y contiene una única etiqueta que define un conjunto de direcciones de destino para recibir una captura. El filtro de notificación define el acceso a una colección de identificadores de objetos de captura (OID). La dirección de destino define la dirección de una aplicación de administración SNMP y otros atributos utilizados en el envío de notificaciones. Los parámetros de destino definen el procesamiento de mensajes y los parámetros de seguridad utilizados en el envío de notificaciones a un destino determinado.
Para configurar SNMPv3, realice las siguientes tareas:
SNMPv3 garantiza una seguridad mejorada para los mensajes SNMP mediante el uso de USM con claves de autenticación y cifrado. Como resultado, no es necesario restringir las máquinas externas cuando se utiliza SNMPv3 para consultar un enrutador o conmutador. Por lo tanto, la configuración SNMPv3 en Junos OS o Junos OS evolucionado no admite la lista de clientes para la restricción de acceso.
Sin embargo, SNMPv2 requiere el uso de una lista de clientes para permitir que máquinas cliente específicas envíen consultas SNMP, ya que se basa en el acceso basado en cadenas de la comunidad.
Crear usuarios SNMPv3
Para cada usuario SNMPv3, puede especificar el nombre de usuario, el tipo de autenticación, la contraseña de autenticación, el tipo de privacidad y la contraseña de privacidad. Después de que un usuario escribe una contraseña, se genera una clave basada en el ID del motor y la contraseña que se escribe en el archivo de configuración. Después de generar la clave, puede eliminar la contraseña de este archivo de configuración.
Solo puede configurar un tipo de cifrado para cada usuario SNMPv3.
Para crear usuarios, incluya la user instrucción en el [edit snmp v3 usm local-engine] nivel de jerarquía.
Para configurar la autenticación y el cifrado de usuarios, incluya las siguientes instrucciones en el nivel jerárquico [edit snmp v3 usm local-engine user username] .
Configuración mínima de SNMPv3 en un dispositivo que ejecuta Junos OS
Para configurar los requisitos mínimos para SNMPv3, incluya las siguientes instrucciones en los niveles y [edit snmp v3] [edit snmp] jerarquía.
Debe configurar al menos una vista (notificar, leer o escribir) en el nivel de [edit snmp view-name] jerarquía.
Ver también
Ejemplo: Configuración SNMPv3
Defina una configuración de SNMPv3:
[edit snmp]
engine-id {
use-mac-address;
}
view jnxAlarms {
oid 1.3.6.1.4.1.2636.3.4 include;
}
view interfaces {
oid 1.3.6.1.2.1.2 include;
}
view ping-mib {
oid 1.3.6.1.2.1.80 include;
}
[edit snmp v3]
notify n1 {
tag router1; # Identifies a set of target addresses
type trap;# Defines type of notification
}
notify n2 {
tag host1;
type trap;
}
notify-filter nf1 {
oid .1 include; # Defines which traps to send
} # In this case, includes all traps
notify-filter nf2 {
oid 1.3.6.1.4.1 include; # Sends enterprise-specific traps only
}
notify-filter nf3 {
oid 1.3.6.1.2.1.1.5 include; # Sends BGP traps only
}
snmp-community index1 {
community-name "$9$JOZi.QF/AtOz3"; # SECRET-DATA
security-name john; # Matches the security name at the target parameters
tag host1; # Finds the addresses that are allowed to be used with
}
target-address ta1 {# Associates the target address with the group
# san-francisco.
address 10.1.1.1;
address-mask 255.255.255.0; # Defines the range of addresses
port 162;
tag-list router1;
target-parameters tp1; # Applies configured target parameters
}
target-address ta2 {
address 10.1.1.2;
address-mask 255.255.255.0;
port 162;
tag-list host1;
target-parameters tp2;
}
target-address ta3 {
address 10.1.1.3;
address-mask 255.255.255.0;
port 162;
tag-list “router1 host1”;
target-parameters tp3;
}
target-parameters tp1 { # Defines the target parameters
notify-filter nf1; # Specifies which notify filter to apply
parameters {
message-processing-model v1;
security-model v1;
security-level none;
security-name john; # Matches the security name configured at the
} # [edit snmp v3 snmp-community community-index hierarchy level.
}
target-parameters tp2 {
notify-filter nf2;
parameters {
message-processing-model v1;
security-model v1;
security-level none;
security-name john;
}
}
target-parameters tp3 {
notify-filter nf3;
parameters {
message-processing-model v1;
security-model v1;
security-level none;
security-name john;
}
}
usm {
local-engine { # Defines authentication and encryption for SNMPv3 users
user john { # security-name john is defined here
authentication-md5 {
authentication-password authentication-password;
}
privacy-des {
privacy-password privacy-password;
}
}
user bob { # security-name bob is defined here
authentication-sha {
authentication-password authentication-password;
}
privacy-none;
}
user julia { # security-name julia is defined here
authentication-none;
privacy-none;
}
user lauren { # security-name lauren is defined here
authentication-sha {
authentication-password authentication-password;
}
privacy-aes128 {
privacy-password privacy-password;
}
}
user richard { # security-name richard is defined here
authentication-sha {
authentication-password authentication-password;
}
privacy-none;
}
}
}
vacm {
access {
group san-francisco { #Defines the access privileges for the group
default-context-prefix { # called san-francisco
security-model v1 {
security-level none {
notify-view ping-mib;
read-view interfaces;
write-view jnxAlarms;
}
}
}
}
}
security-to-group {
security-model v1 {
security-name john { # Assigns john to security group san-fancisco
group san-francisco;
}
security-name bob { # Assigns bob to security group new-york
group new-york;
}
security-name julia {# Assigns julia to security group chicago
group chicago;
}
security-name lauren {# Assigns lauren to security group paris
group paris;
}
security-name richard {# Assigns richard to security group geneva
group geneva;
}
}
}
}