Uso de SNMP con los Dispositivos de Seguridad PIX/ASA

Opciones de descarga

PDF (217.0 KB)
Visualice con Adobe Reader en una variedad de dispositivos
ePub (116.7 KB)
Visualice en diferentes aplicaciones en iPhone, iPad, Android, Sony Reader o Windows Phone
Mobi (Kindle) (166.6 KB)
Visualice en dispositivo Kindle o aplicación Kindle en múltiples dispositivos

Actualizado:29 de diciembre de 2006

ID del documento:13822

Lenguaje no discriminatorio

El conjunto de documentos para este producto aspira al uso de un lenguaje no discriminatorio. A los fines de esta documentación, "no discriminatorio" se refiere al lenguaje que no implica discriminación por motivos de edad, discapacidad, género, identidad de raza, identidad étnica, orientación sexual, nivel socioeconómico e interseccionalidad. Puede haber excepciones en la documentación debido al lenguaje que se encuentra ya en las interfaces de usuario del software del producto, el lenguaje utilizado en función de la documentación de la RFP o el lenguaje utilizado por un producto de terceros al que se hace referencia. Obtenga más información sobre cómo Cisco utiliza el lenguaje inclusivo.

Acerca de esta traducción

Cisco ha traducido este documento combinando la traducción automática y los recursos humanos a fin de ofrecer a nuestros usuarios en todo el mundo contenido en su propio idioma. Tenga en cuenta que incluso la mejor traducción automática podría no ser tan precisa como la proporcionada por un traductor profesional. Cisco Systems, Inc. no asume ninguna responsabilidad por la precisión de estas traducciones y recomienda remitirse siempre al documento original escrito en inglés (insertar vínculo URL).

Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Productos Relacionados

Convenciones

SNMP a través de PIX/ASA

Trampas de afuera hacia adentro

Trampas de adentro hacia afuera

Consulta de adentro hacia afuera

SNMP a PIX/ASA

Soporte MIB por versión

Activación de SNMP en PIX/ASA

SNMP a PIX/ASA - Sondeo

SNMP a PIX/ASA - Trampas

Problemas de SNMP

Detección de PIX

Descubra los dispositivos dentro del PIX

Descubra dispositivos fuera del PIX

Versión 6.2 snmpwalk of PIX

Información para recopilar si abre un caso del TAC

Información Relacionada

Introducción

Puede monitorear los eventos del sistema en el PIX utilizando el Protocolo de administración de red simple (SNMP). Este documento describe cómo utilizar SNMP con el PIX, lo que incluye:

Comandos para ejecutar SNMP a través del PIX o hacia el PIX
Resultado PIX de ejemplo
Compatibilidad con Base de información de administración (MIB) en la versión 4.0 y posteriores del software PIX
Niveles de trampa
Ejemplos de nivel de gravedad de syslog
Problemas de detección de dispositivos PIX y SNMP.

Nota: El puerto para snmpget/snmpwalk es UDP/161. El puerto para trampas SNMP es UDP/162.

Prerequisites

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

La información de este documento se basa en Cisco Secure PIX Firewall Software Releases 4.0 y posteriores.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Productos Relacionados

Esta configuración también se puede utilizar con Cisco Adaptive Security Appliance (ASA) versión 7.x.

Convenciones

Se han replegado algunas de las líneas de resultado y datos de registro en este documento por razones de espacio.

Consulte Convenciones de Consejos TécnicosCisco para obtener más información sobre las convenciones del documento.

SNMP a través de PIX/ASA

Trampas de afuera hacia adentro

Para permitir trampas desde 50.50.50.50 a 10.10.10.10:

 conduit permit udp host 50.50.50.75 eq snmptrap host 50.50.50.50
 static (inside,outside) 50.50.50.75 10.10.10.10 netmask 255.255.255.255 0 0

Si utiliza listas de control de acceso (ACL), disponibles en PIX 5.0 y posteriores, en lugar de conductos:

access-list Inbound permit udp host 50.50.50.50 host 50.50.50.75 eq snmptrap 
access-group Inbound in interface outside

El PIX muestra:

302005: Built UDP connection for faddr 50.50.50.50/2388 
   gaddr 50.50.50.75/162 laddr 10.10.10.10/162

Trampas de adentro hacia afuera

El tráfico de salida se permite de forma predeterminada (en ausencia de listas de salida) y el PIX muestra:

305002: Translation built for gaddr 50.50.50.80 to laddr 10.31.1.5
302005: Built UDP connection for faddr 50.50.50.50/162 
   gaddr 50.50.50.80/2982 laddr 10.31.1.5/2982

Consulta de adentro hacia afuera

Para permitir el sondeo de 171.68.118.118 a 10.10.10.20:

static (inside,outside) 171.68.118.150 10.10.10.20 netmask 255.255.255.255 0 0
conduit permit udp host 171.68.118.150 eq snmp host 171.68.118.118

Si utiliza ACL, disponibles en PIX 5.0 y posteriores, en lugar de conductos:

access-list Inbound permit udp host 171.68.118.118 host 171.68.118.150 eq snmp 
access-group Inbound in interface outside

Consulta de adentro hacia afuera

El tráfico de salida se permite de forma predeterminada (en ausencia de listas de salida) y el PIX muestra:

305002: Translation built for gaddr 99.99.99.11 to laddr 172.18.124.115
302005: Built UDP connection for faddr 99.99.99.5/161
   gaddr 99.99.99.11/36086 laddr 172.18.124.115/36086

SNMP a PIX/ASA

Soporte MIB por versión

Estas son las versiones del soporte MIB en el PIX:

PIX Firewall Software Versiones 4.0 hasta 5.1—Grupos de Sistema e Interfaz de MIB-II (consulte RFC 1213 ) pero no los grupos AT, ICMP, TCP, UDP, EGP, transmisión, IP o SNMP CISCO-SYSLOG-MIB-V1SMI.my.
Software PIX Firewall Versiones 5.1.x y posteriores: MIB anteriores y CISCO-MEMORY-POOL-MIB.my y la rama cfwSystem de CISCO-FIREWALL-MIB.my.
Software PIX Firewall Versiones 5.2.x y posteriores: MIB anteriores y la ipAddrTable del grupo IP.
Software PIX Firewall Versiones 6.0.x y posteriores: MIB anteriores y modificación del OID MIB-II para identificar el PIX por modelo (y habilitar el soporte de CiscoView 5.2). Los nuevos identificadores de objeto (OID) se encuentran en CISCO-PRODUCTS-MIB; por ejemplo, el PIX 515 tiene el OID 1.3.6.1.4.1.9.1.390.
PIX Firewall Software Versiones 6.2.x y posteriores: MIB anteriores y CISCO-PROCESS-MIB-V1SMI.my.
Software PIX/ASA versión 7.x: MIB anteriores y IF-MIB, SNMPv2-MIB, ENTITY-MIB, CISCO-REMOTE-ACCESS-MONITOR-MIB, CISCO-CRYPTO-ACCELERATOR-MIB, ALTIGA-GLOBAL-REG.

Nota: La sección soportada de PROCESS MIB es la rama cpmCPUTotalTable de la rama cpmCPU de la rama ciscoProcessMIBObjects. En la rama cpmProcess de la rama ciscoProcessMIBObjects de la MIB no existe soporte para las ramas ciscoProcessMIBNotifications y ciscoProcessMIBconformance ni para las dos tablas cpmProcessTable y cpmProcessExtTable.

Activación de SNMP en PIX/ASA

Ejecute estos comandos para permitir sondeos/consultas y trampas en el PIX:

snmp-server host #.#.#.#

!--- IP address of the host allowed to poll !--- and where to send traps.

snmp-server community <whatever>
snmp-server enable traps

Las versiones 6.0x y posteriores del software PIX permiten mayor granularidad con respecto a las notificaciones de trampa y a las consultas.

snmp-server host #.#.#.#

!--- The host is to be sent traps and can query.

snmp-server host #.#.#.# trap 

!--- The host is to be sent traps and cannot query.

snmp-server host #.#.#.# poll 

!--- The host can query but is not to be sent traps.

Las versiones 7.x del software PIX/ASA permiten una mayor granularidad con respecto a las trampas y las consultas.

hostname(config)#snmp-server host <interface_name> <ip_address> trap 
               community <community string>

!--- The host is to be sent traps and cannot query !--- with community string specified.

hostname(config)#snmp-server host <interface_name> <ip_address> poll 
               community <community string>

!--- The host can query but is not to be sent traps !--- with community string specified.

Nota: Especifique trampa o sondeo si desea limitar el NMS a recibir sólo trampas o navegar (sondeo) solamente. De forma predeterminada, el NMS puede utilizar ambas funciones.

Las trampas SNMP se envían en el puerto UDP 162 de forma predeterminada. Puede cambiar el número de puerto con la palabra clave udp-port.

SNMP a PIX/ASA - Sondeo

Las variables que devuelve el PIX dependen del soporte mib en la versión. Al final de este documento se encuentra un ejemplo de salida de una snmpwalk de un PIX que ejecuta 6.2.1. Las versiones anteriores del software devuelven solamente los valores mib previamente mencionados.

SNMP a PIX/ASA - Trampas

Nota: Un OID SNMP para Firewall PIX se muestra en las trampas de eventos SNMP enviadas desde el Firewall PIX. OID 1.3.6.1.4.1.9.1.227 se utilizó como OID del sistema PIX Firewall hasta la versión 6.0 del software PIX. Las nuevas OID específicas del modelo se encuentran en CISCO-PRODUCTS-MIB.

Ejecute estos comandos para activar las trampas en el PIX:

snmp-server host #.#.#.#

!--- IP address of the host allowed to do queries !--- and where to send traps.

snmp-server community 
      
      
        snmp-server enable traps

Trampas Versión 4.0 Hasta 5.1

Cuando utiliza PIX Software 4.0 y posterior, puede generar estas trampas:

cold start = 1.3.6.1.6.3.1.1.5.1
link_up = 1.3.6.1.6.3.1.1.5.4
link_down = 1.3.6.1.6.3.1.1.5.3
syslog trap (clogMessageGenerated) = 1.3.6.1.4.1.9.9.41.2.0.1

Cambios de trampas (PIX 5.1)

En la versión 5.1.1 y posteriores del software PIX, los niveles de trampa se separan de los niveles de syslog para las trampas de syslog. El PIX todavía envía trampas de syslog, pero se puede configurar más granularidad. Este ejemplo de archivo trapd.log sin procesar (y esto es lo mismo para HP OpenView [HPOV] o Netview) incluía 3 trampas link_up y 9 trampas syslog, con 7 identificadores syslog diferentes: 101003, 104001, 111005, 111007, 199002, 302005, 305002.

Ejemplo de trapd.log

952376318 1 Mon Mar 06 15:58:38 2000 10.31.1.150 - 1=20 2=7 
   3=Syslog Trap 4=199002: 
PIX startup completed. Beginning operation. 5=0;1 .1.3.6.1.4.1.9.9.4 1.2.0.1 0

952376318 1 Mon Mar 06 15:58:38 [10.31.1.150.2.2] %PIX-1-104001: (Secondary) 
Switching to ACTIVE - no failover cable.

952376332 1 Mon Mar 06 15:58:52 2000 10.31.1.150 - 1=20 2=2 
   3=Syslog Trap 4=101003: (Secondary) Failover cable not connected (this unit) 
   5=1400;1 .1.3.6.1.4.1.9.9.41.2.0.1 0

952376332 1 Mon Mar 06 15:58:52 [10.31.1.150.2.2] %PIX-1-101003: (Secondary) 
Failover cable not connected (this unit)

952376345 1 Mon Mar 06 15:59:05 2000 10.31.1.150 - 1=20 2=7 
   3=Syslog Trap 4=305002: 
Translation built for gaddr 50.50.50.75 to laddr 171.68.118.118 5=2800;1 
.1.3.6.1.4.1.9.9.41.2.0.1 0

952376345 1 Mon Mar 06 15:59:05 2000 10.31.1.150 - 1=20 2=7 
   3=Syslog Trap 4=302005: Built UDP connection for faddr 50.50.50.50/2388 
   gaddr 50.50.50.75/162 laddr 171.68.118.118/162 
   5=2800;1 .1.3.6.1.4.1.9.9.41.2.0.1 0

952376347 1 Mon Mar 06 15:59:07 2000 10.31.1.150 - Agent Interface Up (linkUp 
Trap) enterprise:ENTERPRISES.9.1.227 (.1.3.6.1.4.1.9.1.227) on interface 1;1 
.1.3.6.1.6.3.1.1.5.4.1.3.6.1.4.1.9.1.227 0

952376347 1 Mon Mar 06 15:59:07 2000 10.31.1.150 - Agent Interface Up (linkUp 
Trap) enterprise:ENTERPRISES.9.1.227 (.1.3.6.1.4.1.9.1.227) on interface 2;1 
.1.3.6.1.6.3.1.1.5.4.1.3.6.1.4.1.9.1.227 0

952376347 1 Mon Mar 06 15:59:07 2000 10.31.1.150 - Agent Interface Up (linkUp 
Trap) enterprise:ENTERPRISES.9.1.227 (.1.3.6.1.4.1.9.1.227) on interface 3;1 
.1.3.6.1.6.3.1.1.5.4.1.3.6.1.4.1.9.1.227 0

952376360 1 Mon Mar 06 15:59:20 2000 10.31.1.150 - 1=20 2=6 
   3=Syslog Trap 4=111007: Begin configuration: console reading from terminal 
   5=4200;1 .1.3.6.1.4.1.9.9.41.2.0.1 0

952376365 1 Mon Mar 06 15:59:25 2000 10.31.1.150 - 1=20 2=6 
   3=Syslog Trap 4=111005: console end configuration: OK 
   5=4700;1 .1.3.6.1.4.1.9.9.41.2.0.1 0

Descripción de cada trampa - trapd.log

199002 (syslog)
4=199002: PIX startup completed. Beginning operation. 
5=0;1 .1.3.6.1.4.1.9.9.41.2.0.1 0



104001 (syslog)
Mar 6 15:58:38 [10.31.1.150.2.2] %PIX-1-104001: (Secondary) 
Switching to ACTIVE - no failover cable.


101003 (syslog)
952376332 1 Mon Mar 06 15:58:52 2000 10.31.1.150 - 1=20 2=2 
   3=Syslog Trap 4=101003: (Secondary) Failover cable not connected (this unit) 
   5=1400;1 .1.3.6.1.4.1.9.9.41.2.0.1 0


101003 (syslog)
Mar 6 15:58:52 [10.31.1.150.2.2] %PIX-1-101003: (Secondary) Failover cable not 
connected (this unit)


305002 (syslog)
952376345 1 Mon Mar 06 15:59:05 2000 10.31.1.150 - 1=20 2=7 
   3=Syslog Trap 4=305002: Translation built for gaddr 50.50.50.75 
   to laddr 171.68.118.118 5=2800;1 .1.3.6.1.4.1.9.9.41.2.0.1 0


302005 (syslog)
952376345 1 Mon Mar 06 15:59:05 2000 10.31.1.150 - 1=20 2=7 
   3=Syslog Trap 4=302005: Built UDP connection for faddr 50.50.50.50/2388 
   gaddr 50.50.50.75/162 laddr 171.68.118.118/162 
   5=2800;1 .1.3.6.1.4.1.9.9.41.2.0.1 0


Linkup (linkup)
952376347 1 Mon Mar 06 15:59:07 2000 10.31.1.150 - Agent Interface Up (linkUp 
Trap) enterprise:ENTERPRISES.9.1.227 (.1.3.6.1.4.1.9.1.227) on interface 1;1 
.1.3.6.1.6.3.1.1.5.4.1.3.6.1.4.1.9.1.227 0


Linkup (linkup)
952376347 1 Mon Mar 06 15:59:07 2000 10.31.1.150 - Agent Interface Up (linkUp 
Trap) enterprise:ENTERPRISES.9.1.227 (.1.3.6.1.4.1.9.1.227) on interface 2;1 
.1.3.6.1.6.3.1.1.5.4.1.3.6.1.4.1.9.1.227 0


Linkup (linkup)
952376347 1 Mon Mar 06 15:59:07 2000 10.31.1.150 - Agent Interface Up (linkUp 
Trap) enterprise:ENTERPRISES.9.1.227 (.1.3.6.1.4.1.9.1.227) on interface 3;1 
.1.3.6.1.6.3.1.1.5.4.1.3.6.1.4.1.9.1.227 0


Linkup (syslog)
952376360 1 Mon Mar 06 15:59:20 2000 10.31.1.150 - 1=20 2=6 
   3=Syslog Trap 4=111007: Begin configuration: console reading from terminal 
   5=4200;1 .1.3.6.1.4.1.9.9.41.2.0.1 0


111007 (syslog)
952376360 1 Mon Mar 06 15:59:20 2000 10.31.1.150 - 1=20 2=6 
   3=Syslog Trap 4=111007: Begin configuration: console reading from terminal 
   5=4200;1 .1.3.6.1.4.1.9.9.41.2.0.1 0


111005 (syslog)
952376365 1 Mon Mar 06 15:59:25 2000 10.31.1.150 - 1=20 2=6 
   3=Syslog Trap 4=111005: console end configuration: OK 
   5=4700;1 .1.3.6.1.4.1.9.9.41.2.0.1 0

Ejemplos de nivel de gravedad de syslog

Éstos se reproducen desde la documentación para ilustrar los siete mensajes.

Alert:
  %PIX-1-101003:(Primary) failover cable not connected (this unit)
  %PIX-1-104001:(Primary) Switching to ACTIVE (cause:reason)
  Notification:
  %PIX-5-111005:IP_addr end configuration: OK
  %PIX-5-111007:Begin configuration: IP_addr reading from device.
  Informational:
  %PIX-6-305002:Translation built for gaddr IP_addr to laddr IP_addr
  %PIX-6-302005:Built UDP connection for faddr faddr/fport gaddr gaddr/gport 
     laddr laddr/lport
  %PIX-6-199002:Auth from laddr/lport to faddr/fport failed 
     (server IP addr failed) in interface int name.