Configurar SNMPv3
El conmutador QFX3500 admite SNMP versión 3 (SNMPv3). SNMPv3 mejora la funcionalidad de SNMPv1 y SNMPv2c al admitir la autenticación de usuarios y el cifrado de datos. SNMPv3 usa el modelo de seguridad basado en el usuario (USM) para proporcionar seguridad a los mensajes SNMP y el modelo de control de acceso basado en la vista (VACM) para el control de acceso de los usuarios.
Las características de SNMPv3 incluyen:
-
Con USM, los mensajes SNMP entre el administrador SNMP y el agente pueden tener el origen del mensaje autenticado y la integridad de los datos comprobada. USM reduce los retrasos de mensajería y las repeticiones de mensajes mediante la aplicación de límites de tiempo de espera y la comprobación de ID de solicitud de mensajes duplicados.
-
VACM complementa USM proporcionando control de acceso de usuario para consultas SNMP al agente. Defina los privilegios de acceso que desea extender a un grupo de uno o más usuarios. Los privilegios de acceso vienen determinados por los parámetros del modelo de seguridad (
usm, , ov2) y los parámetros de nivel de seguridad (authentication,privacy, ononev1). Para cada nivel de seguridad, debe asociar una vista MIB para el grupo. La asociación de una vista MIB con un grupo concede permiso de lectura, escritura o notificación a un conjunto de objetos MIB para el grupo. -
Los parámetros de seguridad se configuran para cada usuario, incluidos el nombre de usuario, el tipo de autenticación y la contraseña de autenticación, así como el tipo de privacidad y la contraseña de privacidad. El nombre de usuario asignado a cada usuario está en un formato que depende del modelo de seguridad configurado para ese usuario.
-
Para garantizar la seguridad de la mensajería, se incluye otro tipo de nombre de usuario, denominado nombre de seguridad, en los datos de mensajería que se envían entre el servidor SNMP local y el servidor SNMP de destino. Cada nombre de usuario se asigna a un nombre de seguridad, pero el nombre de seguridad tiene un formato que es independiente del modelo de seguridad.
-
Las entradas de captura en SNMPv3 se crean configurando los parámetros notify, notify filter, target address y target. La
notifyinstrucción especifica el tipo de notificación (interrupción) y contiene una sola etiqueta que define un conjunto de direcciones de destino para recibir una interrupción. El filtro de notificación define el acceso a una colección de identificadores de objetos de captura (OID). La dirección de destino define la dirección de una aplicación de administración SNMP y otros atributos utilizados en el envío de notificaciones. Los parámetros de destino definen el procesamiento de mensajes y los parámetros de seguridad utilizados para enviar notificaciones a un destino determinado.
Para configurar SNMPv3, realice las siguientes tareas:
SNMPv3 garantiza una seguridad mejorada para los mensajes SNMP mediante el uso de USM con claves de autenticación y cifrado. Como resultado, no es necesario restringir las máquinas externas cuando utiliza SNMPv3 para consultar un enrutador o conmutador. Por lo tanto, la configuración de SNMPv3 en Junos OS o Junos OS evolucionado no admite la lista de clientes para la restricción de acceso.
Sin embargo, SNMPv2 requiere el uso de lista de clientes para permitir que equipos cliente específicos envíen consultas SNMP, ya que depende del acceso basado en cadenas de comunidad.
Crear usuarios de SNMPv3
Para cada usuario SNMPv3, puede especificar el nombre de usuario, el tipo de autenticación, la contraseña de autenticación, el tipo de privacidad y la contraseña de privacidad. Después de que un usuario introduce una contraseña, se genera una clave basada en el ID del motor y la contraseña y se escribe en el archivo de configuración. Después de generar la clave, puede eliminar la contraseña de este archivo de configuración.
Solo puede configurar un tipo de cifrado para cada usuario SNMPv3.
Para crear usuarios, incluya la user instrucción en el nivel jerárquico [edit snmp v3 usm local-engine] .
Para configurar la autenticación y el cifrado de usuarios, incluya las siguientes instrucciones en el nivel de [edit snmp v3 usm local-engine user username] jerarquía.
Configuración mínima de SNMPv3 en un dispositivo que ejecuta Junos OS
Para configurar los requisitos mínimos para SNMPv3, incluya las siguientes instrucciones en los niveles de [edit snmp v3] jerarquía y [edit snmp] .
Debe configurar al menos una vista (notificar, leer o escribir) en el nivel jerárquico [edit snmp view-name] .
Consulte también
Ejemplo: Configuración de SNMPv3
Defina una configuración de SNMPv3:
[edit snmp]
engine-id {
use-mac-address;
}
view jnxAlarms {
oid 1.3.6.1.4.1.2636.3.4 include;
}
view interfaces {
oid 1.3.6.1.2.1.2 include;
}
view ping-mib {
oid 1.3.6.1.2.1.80 include;
}
[edit snmp v3]
notify n1 {
tag router1; # Identifies a set of target addresses
type trap;# Defines type of notification
}
notify n2 {
tag host1;
type trap;
}
notify-filter nf1 {
oid .1 include; # Defines which traps to send
} # In this case, includes all traps
notify-filter nf2 {
oid 1.3.6.1.4.1 include; # Sends enterprise-specific traps only
}
notify-filter nf3 {
oid 1.3.6.1.2.1.1.5 include; # Sends BGP traps only
}
snmp-community index1 {
community-name "$9$JOZi.QF/AtOz3"; # SECRET-DATA
security-name john; # Matches the security name at the target parameters
tag host1; # Finds the addresses that are allowed to be used with
}
target-address ta1 {# Associates the target address with the group
# san-francisco.
address 10.1.1.1;
address-mask 255.255.255.0; # Defines the range of addresses
port 162;
tag-list router1;
target-parameters tp1; # Applies configured target parameters
}
target-address ta2 {
address 10.1.1.2;
address-mask 255.255.255.0;
port 162;
tag-list host1;
target-parameters tp2;
}
target-address ta3 {
address 10.1.1.3;
address-mask 255.255.255.0;
port 162;
tag-list “router1 host1”;
target-parameters tp3;
}
target-parameters tp1 { # Defines the target parameters
notify-filter nf1; # Specifies which notify filter to apply
parameters {
message-processing-model v1;
security-model v1;
security-level none;
security-name john; # Matches the security name configured at the
} # [edit snmp v3 snmp-community community-index hierarchy level.
}
target-parameters tp2 {
notify-filter nf2;
parameters {
message-processing-model v1;
security-model v1;
security-level none;
security-name john;
}
}
target-parameters tp3 {
notify-filter nf3;
parameters {
message-processing-model v1;
security-model v1;
security-level none;
security-name john;
}
}
usm {
local-engine { # Defines authentication and encryption for SNMPv3 users
user john { # security-name john is defined here
authentication-md5 {
authentication-password authentication-password;
}
privacy-des {
privacy-password privacy-password;
}
}
user bob { # security-name bob is defined here
authentication-sha {
authentication-password authentication-password;
}
privacy-none;
}
user julia { # security-name julia is defined here
authentication-none;
privacy-none;
}
user lauren { # security-name lauren is defined here
authentication-sha {
authentication-password authentication-password;
}
privacy-aes128 {
privacy-password privacy-password;
}
}
user richard { # security-name richard is defined here
authentication-sha {
authentication-password authentication-password;
}
privacy-none;
}
}
}
vacm {
access {
group san-francisco { #Defines the access privileges for the group
default-context-prefix { # called san-francisco
security-model v1 {
security-level none {
notify-view ping-mib;
read-view interfaces;
write-view jnxAlarms;
}
}
}
}
}
security-to-group {
security-model v1 {
security-name john { # Assigns john to security group san-fancisco
group san-francisco;
}
security-name bob { # Assigns bob to security group new-york
group new-york;
}
security-name julia {# Assigns julia to security group chicago
group chicago;
}
security-name lauren {# Assigns lauren to security group paris
group paris;
}
security-name richard {# Assigns richard to security group geneva
group geneva;
}
}
}
}