Come configurare SNMP su Linux

Abbiamo già parlato di SNMP e di come non sia la scelta giusta nella maggior parte dei casi d'uso. Nonostante i problemi, la mancanza di miglioramenti delle prestazioni del protocollo e il crescente elenco di alternative, SNMP non ci lascia ancora. Le ragioni sono varie e vanno oltre lo scopo di questo articolo. È sufficiente dire che SNMP è ben consolidato e presente in molte reti ancora oggi. Anche il supporto da parte dei fornitori non è destinato a diminuire presto, costringendo gli amministratori ad affrontare la configurazione di SNMP prima o poi (o meglio, volenti o nolenti).

Fortunatamente, la configurazione di SNMP su Linux non è un compito gravoso.  Consiste principalmente nella configurazione di SNMP, parte relativa al demone, e nell'apprendimento di una manciata di comandi, parte relativa agli strumenti. Nessuna delle due cose richiede molto tempo.

Monitoraggio SNMP su Linux

L'implementazione di riferimento per il monitoraggio SNMP su Linux è il pacchetto net-snmp. Risale al 1992, net-snmp è disponibile per tutte le principali distribuzioni Linux. Supporta tutte le versioni del protocollo SNMP, di cui la versione 3 è quella raccomandata. È sviluppato attivamente, con più commit al mese da molti anni.

Il pacchetto è solitamente composto da due componenti separati: gli strumenti per utilizzare il protocollo e il demone per installarlo su un host Linux e per configurarlo e monitorarlo. Su Ubuntu e altre distribuzioni basate su Debian, gli strumenti si chiamano snmp e il demone snmpd. Su Red Hat, gli strumenti sono contenuti nel pacchetto net-snmp-utils e il demone in net-snmp. In altre distribuzioni, entrambi i componenti possono trovarsi nello stesso pacchetto, in genere semplicemente in . net-snmp.

Il demone consente all'host locale di essere monitorato da un host esterno tramite SNMP, mentre gli strumenti fanno l'inverso. A seconda delle necessità di monitoraggio SNMP su Linux, potrebbe essere necessario installare entrambi.

In alternativa all'uso di uno strumento CLI, potete provare Checkmk Trial per monitorare i vostri server Linux con approfondimenti più ampi di quelli ottenibili con il solo SNMP.

Una parola sulle versioni di SNMP

Per configurare SNMP su Linux è necessaria una breve digressione sulle diverse versioni del protocollo. La versione originale del protocollo SNMP era la v1, sviluppata negli anni Ottanta. La v2 ha due versioni, v2c e v2u. La v2c offre un modello di sicurezza basato sulla comunità, mentre la v2u opera su un modello basato sull'utente (come specificato in RFC1910).

SNMP v2u non è mai decollato, ma parte delle sue caratteristiche sono state utilizzate per sviluppare la v3. La v2c è molto più comune ed è quella a cui ci riferiamo quando usiamo "v2" in questo articolo.

La v3 è l'ultima versione del protocollo SNMP, la cui differenza principale è l'aggiunta del supporto alla crittografia, con i suoi pro e contro.

Che cos'è snmpd?

snmpd su Linux è la parte del demone net-snmp. Una volta installato, crea un host SNMP in grado di accettare richieste da un altro host e di rispondere ad esse, di emettere notifiche (TRAP e INFORM nel linguaggio SNMP) e di eseguire alcune attività di auto-monitoraggio. Il protocollo SNMP consente la configurazione di base degli host e snmpd è necessario per sfruttare queste capacità.

Quali sono gli strumenti per il monitoraggio SNMP su Linux?

snmptranslate

snmpget

snmpgetnext

snmpwalk

snmptable

snmpset

snmpbulkget

snmptrap

I TRAP sono generalmente inviati dagli agenti SNMP per segnalare condizioni anomale a una stazione di gestione (nel nostro caso, un server Linux). Per generare da soli i TRAP, è disponibile lo strumento snmptrap è disponibile. Per v2/v3 la sintassi è:

$ snmptrap -v 2c -c public host "" UCD-NOTIFICATION-TEST-MIB::demoNotif \
   SNMPv2-MIB::sysLocation.0 s "Just here"

Sostituite 2c con v3 quando si comunica con un agente SNMP v3.

Come configurare SNMP su Linux

Configurare SNMP su Linux (v1 e v2)

Configurare SNMP su Linux (v3)

La configurazione snmpd su Linux con l'ultima versione del protocollo è leggermente più complessa rispetto a quelle precedenti. Tanto per cominciare, i file di configurazione sono ora due: non più solo/etc/snmp/snmpd.conf ma anche /var/lib/net-snmp/snmpd.conf. Fortunatamente, il pacchetto net-snmp è dotato di un comando di aiuto, net-snmp-create-v3-user per configurare l'utente sotto il quale verrà eseguito il server SNMP Linux.

Assicuratevi di fermare il demone e di creare l'utente SNMP con:

$ net-snmp-create-v3-user
Enter a SNMPv3 user name to create:
admin
Enter authentication pass-phrase:
yourpassphraseofchoice
Enter encryption pass-phrase:
  [press return to reuse the authentication pass-phrase]

  adding the following line to /var/lib/net-snmp/snmpd.conf:
     createUser admin MD5 "yourpassphraseofchoice" DES
  adding the following line to /etc/snmp/snmpd.conf:
     rwuser admin 

La direttiva finale rwuser ha un formato simile a quello della comunità di cui sopra:

  user [noauth|auth|priv] [OID]

user è un nome utente e OID è l'albero a cui fornire l'accesso. Per impostazione predefinita, nella v3 il demone snmpd consente solo richieste autenticate(auth), mentre noauth consente qualsiasi richiesta e l'opzione priv impone la crittografia. Le stringhe possono essere combinate. L'opzione consigliata per la massima sicurezza è authpriv, che specifica che le richieste devono essere autenticate e le risposte criptate.

Per migliorare il non elevato livello di sicurezza predefinito di snmpd, si possono aggiungere alcune opzioni all'opzione net-snmp-create-v3-user. Possono essere aggiunte:

• -a SHA: utilizza il più moderno algoritmo di hashing SHA invece di MD5.
• -x AES: utilizza la crittografia AES invece della deprecata DES.

Entrambe le opzioni dovrebbero essere impostate in quanto passano le fasi di comunicazione e autenticazione a protocolli più sicuri. Sfortunatamente, nessuno dei due è all'altezza degli standard moderni e SNMP non dovrebbe essere una scelta per un'organizzazione moderna che voglia monitorare host e dispositivi in un ambiente sicuro, privato ed efficiente.

Configurare SNMP su Linux non è difficile... ma ne vale la pena?

La configurazione di SNMP non è certo tra le più complesse. Tuttavia, rappresenta comunque un altro componente software da gestire, nel caso di snmpd, o da padroneggiare, nel caso dei vari strumenti inclusi in net-snmp.

E chi controlla il controllore? Soprattutto quando è installato su dispositivi forniti da un vendor. Si tratta di un ulteriore rischio di fallimento che può essere evitato — specialmente quando si ha a che fare con un protocollo che con ogni probabilità sarà presto completamente obsoleto.

Con numerose alternative disponibili e i principali vendor che si stanno allontanando da SNMP, sembra inutile complicarsi la vita configurandolo insieme a strumenti di monitoraggio moderni. Sconsigliamo decisamente il suo utilizzo, quando può essere evitato.

Ma spesso non è una decisione che possiamo prendere: che sia per l’infrastruttura già esistente o perché alcuni host supportano esclusivamente SNMP, a volte siamo costretti a usarlo. Per ancora un po’, sarà sicuramente con noi. E, fortunatamente, dal punto di vista di un host Linux, configurarlo non è affatto complicato.

SNMP dispone di moltissimo materiale formativo utile per aiutare l’amministratore inesperto a iniziare a configurare un host Linux con SNMP. Incluso questo articolo.