Auslösen von Kopien der Konfigurationsdatei auf einen TFTP-Server über SNMP

Ziel

Ziel dieses Artikels ist es, die Schritte zu beschreiben, die das Kopieren von Konfigurationsdateien von einem Cisco Business Switch über das Simple Network Management Protocol (SNMP) auslösen.

Unterstützte Geräte

• Catalyst 1200-Serie
• Catalyst 1300-Serie
• Serie CBS 250
• Serie CBS 350

Einleitung

Konfigurationsdateien werden normalerweise über die grafische Benutzeroberfläche (GUI) oder die Befehlszeilenschnittstelle (CLI) von einem Switch kopiert. Eine ungewöhnlichere Methode besteht darin, den Kopiervorgang über SNMP auszulösen.

Verarbeitung vertraulicher Daten

Beim Kopieren einer Konfigurationsdatei, die vertrauliche Daten enthält, kann der Kopiervorgang vertrauliche Daten ausschließen, sie in verschlüsselter Form einschließen, sie als Klartext einschließen oder eine Standardmethode verwenden. Die Angabe des Umgangs mit vertraulichen Daten ist optional. Die Standardeinstellung wird verwendet, wenn sie nicht angegeben wird.

GUI

Um über die GUI auf das Menü für die Verarbeitung vertraulicher Daten zuzugreifen, navigieren Sie zu Administration > File Operations > File Management menu.

• Ausschließen - um vertrauliche Daten auszuschließen
• Verschlüsseln - um vertrauliche Daten zu verschlüsseln
• Nur-Text - um vertrauliche Daten im Klartext anzuzeigen.

CLI

In der Befehlszeile kann der Befehl copy verwendet werden:

Beispiele:

Der Standardwert ist der für den SSD-Sitzungslesemodus (Secure Sensitive Data) festgelegte Wert. Um den aktuellen Modus anzuzeigen, geben Sie show ssd session ein, oder geben show running-config ein, und suchen Sie nach der Datei-SSD-Anzeige. Mit den Werkseinstellungen wird der erwartete SSD-Sitzungslesemodus verschlüsselt.

Wenn der Befehl copy eingegeben wurde, ohne dass eine Option angegeben wurde, würde er kopieren, als ob "include-encrypted" gewählt wurde.

Der Sitzungslesewert kann jedoch geändert werden:

Dieser Befehl beeinflusst die Ausgabe von show running-config und show startup-config und fungiert als Standardwert für die Verarbeitung vertraulicher Daten durch den Befehl copy.

Beispiele:

Die resultierende Datei enthält vertrauliche Daten im Klartext, ebenso wie die Ausgabe von "show running-config" und "show startup-config". Daher sollte der SSD-Sitzungs-Lesemodus mit Vorsicht angewendet werden. Am sichersten ist es, es beim Standard zu belassen.

SNMP

Die Switches der Serien Catalyst 1200/Catalyst 1300/CBSx50 verwenden den SNMP-Objektbezeichner (OID) rlCopyOptionsRequestedSsdAccess, um die Option für vertrauliche Daten zu steuern. Das Objekt ist eine ganze Zahl, und auf den ersten Blick sehen die Werte, die es akzeptiert, denen des Befehls copy ähnlich:

• 1: ausschließen
• 2: inkl. verschlüsselt
• 3: include-decrypted (wie "include-plaintext" in der Kommandozeile)
• 4: standard

Option 3, mit der vertrauliche Daten im Klartext kopiert werden, kann mit SNMP v2c nicht verwendet werden. Sie kann auch nicht mit SNMP v3 verwendet werden, es sei denn, sowohl Authentifizierung als auch Datenschutz (authPriv) werden verwendet.

SNMP v3 mit authPriv wird nur zum Auslösen der Kopie verwendet. Die Datenschutzeinstellungen sind daher für den Schutz der Konfigurationsdatei selbst während der Übertragung nicht hilfreich. Das Kopieren mit Secure Copy Protocol (SCP) beispielsweise wäre sicherer.

 Option 4, die "default"-Option, verhält sich nicht so, wie man erwarten könnte. Er funktioniert nicht wie der Befehl copy, und der SSD-Lese-Sitzungswert hat keinerlei Einfluss auf das Ergebnis copy, wenn SNMP verwendet wird. Stattdessen entspricht Option 4 Option 1 (ausschließen), mit einer Ausnahme: Bei Verwendung von SNMP v3 mit authPriv entspricht Option 4 Option 3 (Klartext).

 Das Verhalten ist in der folgenden Tabelle zusammengefasst:

	1 (ausschließen)	2 (verschlüsselt)	3 (Klartext)	standard
CLI-Text	ausgeschlossen	verschlüsselt	Klartext	SSD-Wert
SNMP v2c	ausgeschlossen	verschlüsselt	Fehlschlag	ausgeschlossen
SNMP v3 authPriv	ausgeschlossen	verschlüsselt	Klartext	Klartext
SNMP v3 authNoPriv	ausgeschlossen	verschlüsselt	Fehlschlag	ausgeschlossen
SNMP v3 ohne AuthKein Priv	ausgeschlossen	verschlüsselt	Fehlschlag	ausgeschlossen

Switch-Konfiguration für SNMP v3

SNMP v3 mit authPriv ist nicht unbedingt erforderlich, um den Kopiervorgang auszulösen. Da es jedoch mehr Flexibilität und Sicherheit bietet, wird es im Vergleich zu den anderen SNMP-Varianten empfohlen und für die folgenden Beispiele verwendet.

 Beispielkonfiguration:

Mit der obigen Konfiguration kann der Benutzer sbscadmin SNMP v3-Befehle an den Switch senden, um die Dateikopie auszulösen. Der Benutzer sbscadmin ist Mitglied der snmpAdmin-Gruppe, die über vollständige SNMP v3-Schreibberechtigungen für den Switch verfügt.

Beachten Sie, dass der Benutzer sowohl über ein Authentifizierungs- (auth) als auch über ein Datenschutzkennwort (priv) verfügt, d. h., authPriv, und die snmpAdmin-Gruppe ist auf "priv" gesetzt (was ebenfalls Authentifizierung beinhaltet, da Datenschutz ohne diese nicht verwendet werden kann).

 Auslösen der Kopieraufgabe

Im folgenden Beispiel wird der Befehl snmpset verwendet, der den Kopiervorgang auslöst. Es ist lang, da es mehrere Objektwerte setzen muss. Der Befehl wird in einer Zeile eingegeben, aber ein umgekehrter Schrägstrich kann als Escapezeichen verwendet werden, um jedes Element auf einer eigenen Zeile zu trennen, wenn gewünscht. Dies wurde nachfolgend zur Verbesserung der Lesbarkeit durchgeführt. Input wird blau und Output weiß angezeigt.

• An jede OID wird ".1" angehängt, die die Zeile in der Tabelle darstellt, die für die Aufgabe verwendet wird.
• "rlCopyRowStatus.1" wird verwendet, um den Eintrag in die rlCopyTable einzufügen. Sie wird auf "createAndGo" gesetzt, d. h., die Zeile wird erstellt und auf "active" gesetzt, damit sie vom Switch verwendet werden kann.
• Der SSD-Zugriffswert ist auf "include-encrypted" (nur für diese Kopie) festgelegt.
• Die Datei running-config wird auf den TFTP-Server unter der Adresse 192.168.111.18 mit dem Zieldateinamen "v3-2.txt" kopiert.

 Nachdem die Kopieraufgabe ausgeführt wurde, wird der Wert von rlCopyOptionsRequestedSsdAccess auf 4 (Standard) zurückgesetzt.

 Die folgende Tabelle entspricht dem symbolischen Namen für jedes Objekt seiner OID.

Symbolischer Name	Objektkennung (OID)
rlCopyOptionsTable	1.3.6.1.4.1.9.6.1.101.87.12
rlCopyOptionsRequestedSsdAccess	1.3.6.1.4.1.9.6.1.101.87.12.1.2
rlCopyTable	1.3.6.1.4.1.9.6.1.101.87.2
rlCopyRowStatus	1.3.6.1.4.1.9.6.1.101.87.2.1.17
rlKopieQuellort	1.3.6.1.4.1.9.6.1.101.87.2.1.3
rlCopySourceIP-Adresse	1.3.6.1.4.1.9.6.1.101.87.2.1.4
rlKopieQuelleEinheitennummer	1.3.6.1.4.1.9.6.1.101.87.2.1.5
rlCopySourceFileType	1.3.6.1.4.1.9.6.1.101.87.2.1.7
rlCopyDestinationLocation	1.3.6.1.4.1.9.6.1.101.87.2.1.8
rlCopyDestinationIP-Adresse	1.3.6.1.4.1.9.6.1.101.87.2.1.9
rlCopyZielDateiname	1.3.6.1.4.1.9.6.1.101.87.2.1.11
rlCopyDestinationFileType	1.3.6.1.4.1.9.6.1.101.87.2.1.12

Wenn MIB-Dateien nicht verwendet werden, kann die Dateikopie mit den OIDs anstelle der symbolischen Namen ausgelöst werden, obwohl die Ein- und Ausgabe weniger intuitiv ist.

Ein einfaches "="-Symbol wurde nicht verwendet, um die Werte festzulegen, da der Befehl ohne MIB jeden Objekttyp explizit festlegen muss ("i" für Ganzzahl, "a" für Adresse und "s" für Zeichenfolge). Die Namen für die Werte ("local", "runningConfig" usw.) können ebenfalls nicht verwendet werden, da sie von der MIB definiert werden. Daher müssen die ganzen Zahlen, die diese Optionen darstellen, direkt festgelegt werden.

 Net-SNMP- und Switch-MIB-Dateien

SNMP-Verwaltungstools können für Test- und Fehlerbehebungszwecke hilfreich sein. In diesem Artikel wird der Befehl snmpset verwendet, der im Lieferumfang von Net-SNMP, einer Suite aus freien und Open-Source-SNMP-Tools, enthalten ist.

 Um die Switch-MIB-Dateien mit Net-SNMP zu verwenden, stellen Sie zunächst sicher, dass die Net-SNMP-eigenen MIB-Dateien an einem Speicherort abgelegt werden, an dem Net-SNMP nach ihnen sucht, z. B. $HOME/.snmp/mibs. Ohne die installierten Net-SNMP MIB-Dateien funktionieren die Switch-MIBs nicht ordnungsgemäß.

 Die Switch-MIB-Dateien können extrahiert und am gleichen Speicherort wie die MIB-Dateien von Net-SNMP abgelegt werden. Um Kompatibilitätsprobleme zu vermeiden, sollten Sie jedoch die Net-SNMP-Versionen von nicht überschreiben, die sich zwischen den beiden Gruppen überschneiden.

 Sobald sich alle MIB-Dateien an einem geeigneten Speicherort befinden, können die relevanten MIB(s) mit dem Argument "-m" mit dem gewünschten Befehl aufgerufen werden.

Beispiele:

 Weitere Informationen zur Verwendung der Net-SNMP-Tools finden Sie in der Dokumentation und den Tutorials, die auf der Net-SNMP-Website verfügbar sind.

Schlussfolgerung

Nun wissen Sie, wie Sie das Kopieren der Konfigurationsdateien von einem Cisco Business Switch über SNMP auf einen TFTP-Server auslösen können.