Configurer SNMP dans l'ACI

Introduction

Ce document décrit la configuration du protocole SNMP (Simple Network Management Protocol) et des déroutements SNMP dans l'ACI.

Conditions préalables

Exigences

Cisco vous recommande de prendre connaissance des rubriques suivantes :

• Détection du fabric terminée.
• Connectivité intra-bande/hors-bande à votre contrôleur APIC (Application Policy Infrastructure Controller) et à vos commutateurs de fabric.
• Contrats intrabande/hors bande configurés pour autoriser le trafic SNMP (ports UDP 161 et 162),
• Adresses de gestion de noeuds statiques configurées pour vos APIC et vos commutateurs de fabric sous le locataire de gestion par défaut (sans cela, l'extraction des informations SNMP d'un APIC échoue),
• Comprendre le workflow du protocole SNMP,

Composants utilisés

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

• APIC
• Navigateur
• Infrastructure axée sur les applications (ACI) 5.2 (8e)
• Snmpwalk, commande

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Configurer

L'ACI Cisco prend en charge les protocoles SNMPv1, v2c et v3, y compris les bases d'informations de gestion (MIB) et les notifications (déroutements). La norme SNMP permet à toute application tierce prenant en charge les différentes MIB de gérer et de surveiller les commutateurs Leaf & Spine ACI et les contrôleurs APIC. Cependant, les commandes d'écriture SNMP (Set) ne sont pas prises en charge dans l'ACI.

La politique SNMP est appliquée et s'exécute indépendamment sur les commutateurs Leaf & Spine et sur les contrôleurs APIC. Comme chaque périphérique ACI possède sa propre entité SNMP (c'est-à-dire plusieurs APIC dans un cluster APIC), il doit être surveillé séparément, ainsi que les commutateurs. Cependant, la source de la politique SNMP est créée en tant que politique de surveillance pour l'ensemble du fabric ACI.

Par défaut, le protocole SNMP utilise le port UDP 161 pour l'interrogation et le port 162 pour les TRAP.

Présentation des étendues SNMP

Un concept fondamental du protocole SNMP dans l'ACI est qu'il existe deux étendues à partir desquelles les informations SNMP peuvent être extraites :
1. Mondial
2. Contexte du routage et du transfert virtuels (VRF)

L'étendue globale consiste à extraire les MIB du châssis, tels que le nombre d'interfaces, les index d'interface, les noms d'interface, l'état de l'interface, etc. d'un noeud leaf/spine.

Contexte VRF La portée spécifique aux MIB extrait les informations spécifiques à VRF telles que les adresses IP et les informations de protocole de routage.

La liste de prise en charge des MIB de contexte VRF et global de commutateur de fabric et APIC pris en charge est exhaustive dans Cisco ACI MIB Support List.

Étapes de configuration (pour les étendues globales et de contexte VRF)

Étape 1 : configuration de la politique de fabric SNMP

La première étape de la configuration du protocole SNMP consiste à créer les politiques de fabric SNMP nécessaires. Pour créer les politiques de fabric SNMP, accédez au chemin de l'interface utilisateur graphique Web APIC ; Fabric > Fabric Policies > Policies > Pod > SNMP.

Vous pouvez créer une nouvelle stratégie SNMP ou modifier la stratégie SNMP par défaut.

Dans le document, la politique SNMP est appelée New-SNMP et utilise SNMP version v2c, les seuls champs requis sont les politiques de communauté et les politiques de groupe client.

Le champ Community Policy Name définit la chaîne de communauté SNMP à utiliser. Dans ce cas, New-1 et vous pouvez voir où ces deux chaînes de communauté viennent plus tard.

Name : nom de la stratégie SNMP (ce nom peut comporter entre 1 et 64 caractères alphanumériques).

Description : description de la stratégie SNMP (la description peut comporter de 0 à 128 caractères alphanumériques).

État admin : état administratif de la stratégie SNMP (l'état peut être activé ou désactivé et les états sont les suivants :

• Enabled : l'état admin est activé.

• Désactivé:  L'état admin est désactivé.

• La valeur par défaut est disabled.

Contact : informations de contact pour la stratégie SNMP.

Location : emplacement de la stratégie SNMP.

SNMP v3 Users : le profil utilisateur SNMP est utilisé pour associer des utilisateurs à des politiques SNMP pour la surveillance des périphériques sur un réseau.

Community Policies : le profil de communauté SNMP permet d’accéder aux statistiques du routeur ou du commutateur à des fins de surveillance.

Stratégies de groupe client :

L'étape suivante consiste à ajouter la stratégie/le profil de groupe du client. L'objectif de la stratégie/du profil de groupe client est de définir quels IP/sous-réseaux peuvent extraire des données SNMP des APIC et des commutateurs de fabric :

Nom : nom du profil du groupe de clients (ce nom peut comporter entre 1 et 64 caractères alphanumériques).

Description : description du profil du groupe de clients (la description peut comporter de 0 à 128 caractères alphanumériques).

Associated Management End Point Group (EPG) : nom distinctif d'un groupe de terminaux via lequel le VRF est accessible.

• La longueur de chaîne maximale prise en charge est de 255 caractères ASCII. La valeur par défaut est l'EPG d'accès à la gestion hors bande du locataire de gestion.

Client Entries : adresse IP du profil client SNMP.

Dans le document, la stratégie/le profil de groupe client est appeléNouveau-Client.

Dans le profil/stratégie de groupe client, vous devez associer le groupe de gestion préféré. Vous devez vous assurer que l'EPG de gestion que vous choisissez a les contrats nécessaires pour autoriser le trafic SNMP (ports UDP 161 et 162).

• L'EPG de gestion hors bande par défaut est utilisé dans le document à des fins de démonstration.

La dernière étape consiste à définir vos entrées client pour permettre à des adresses IP spécifiques ou à des sous-réseaux entiers d'accéder aux données SNMP d'extraction ACI. Il existe une syntaxe permettant de définir une adresse IP spécifique ou un sous-réseau entier :

• Adresse IP hôte spécifique : 192.168.1.5
• Sous-réseau entier : 192.168.1.0/24

Étape 2 : application de la stratégie SNMP au groupe de stratégies Pod (Fabric Policy Group)

Pour appliquer cette configuration, accédez au chemin de l'interface utilisateur graphique Web APIC Fabric > Fabric Policies > Pods > Policy Groups > POD_POLICY_GROUP (par défaut dans le document).

Dans le volet de droite, vous pouvez voir un champ pour la politique SNMP. Dans le menu déroulant, sélectionnez la politique SNMP que vous venez de créer et envoyez vos modifications.

Étape 3. Associer le groupe de stratégies Pod au profil Pod

Dans ce document, utilisez le profil pod par défaut pour plus de simplicité. Pour ce faire, accédez au chemin de l'interface utilisateur graphique Web APIC Fabric > Fabric Policies > Pods > Profiles > POD_PROFILE(par défaut dans le document).

À ce stade, configurez le protocole SNMP de base pour les MIB globales.

Étape 4 : configuration des étendues de contexte VRF

Une fois que vous associez une chaîne de communauté à un contexte VRF, cette chaîne de communauté spécifique ne peut pas être utilisée pour extraire les données SNMP d'étendue globale. Il est nécessaire de créer deux chaînes de communauté SNMP si vous cherchez à extraire à la fois les données de portée globale et les données SNMP de contexte VRF.

Dans ce cas, les chaînes de communauté précédemment créées (à l'étape 1), à savoir (New-1), utilisent New-1 pour la portée de contexte VRF et VRF-1custom VRF dans l'exemplelocataire personnalisé. Accédez au chemin de l'interface utilisateur graphique Web du contrôleur APIC ;Tenants > Example > Networking > VRFs > VRF-1(right click) > Create SNMP Context.

Après avoir envoyé la configuration, vérifiez la configuration du contexte SNMP que vous avez appliquée en cliquant avec le bouton gauche sur votre VRF, en naviguant jusqu'à l'onglet Policy sur le VRF, et en faisant défiler vers le bas vers le bas du volet :

Pour désactiver un contexte SNMP sur un VRF, décochez la case Create SNMP Context (Créer un contexte SNMP) (vue dans la capture d'écran) ou cliquez avec le bouton droit sur le VRF et choisissez Delete SNMP Context.

Configuration des déroutements SNMP via l'interface utilisateur graphique

Les déroutements SNMP sont envoyés au serveur SNMP (SNMP Destination/Network Management Systems (NMS)) sans interrogation, et le noeud ACI/APIC envoie le déroutement SNMP une fois que la panne/l'événement (condition définie) se produit.

Les interruptions SNMP sont activées en fonction de l'étendue de la stratégie sous les stratégies de surveillance Access/Fabric/Tenant. L'ACI prend en charge un maximum de 10 récepteurs d'interruptions.

Pour configurer les déroutements SNMP dans l'ACI, vous devez utiliser les deux étapes en plus des étapes 1, 2 et 3 de la section précédente.

Étape 1 : configuration du serveur TRAP SNMP

Accédez au chemin de l'interface utilisateur graphique Web du contrôleur APIC ; Admin > Eternal Data Collectors > Monitoring Destinations > SNMP.

Host Name/IP : hôte de la destination de déroutement SNMP.

Port : port de service de la destination de déroutement SNMP (la plage est comprise entre 0 (non spécifié) et 65535 ; la valeur par défaut est 162).

Version : version CDP prise en charge pour la destination de déroutement SNMP. La version peut être :

• v1: Utilise une correspondance de chaîne de communauté pour l'authentification utilisateur.

• v2c : Utilise une correspondance de chaîne de communauté pour l'authentification utilisateur.

• v3 : Protocole interopérable basé sur des normes pour la gestion du réseau qui fournit un accès sécurisé aux périphériques par une combinaison d'authentification et de chiffrement des trames sur le réseau.

La valeur par défaut isv2c.

Security Name : nom de sécurité de la destination du déroutement SNMP (nom de la communauté ; et ne peut pas contenir le symbole@).

Niveau de sécurité v.3 : niveau de sécurité SNMPv3 pour le chemin de destination SNMP. Le niveau peut être :

• authentification

• noauth

• priv

La valeur par défaut est noauth.

Management EPG : nom du groupe de terminaux de gestion pour la destination SNMP par laquelle l'hôte distant est accessible.

Étape 2 : configuration de la source TRAP SNMP sous la politique de surveillance (accès/fabric/locataire)

Vous pouvez créer des stratégies de surveillance avec les trois étendues suivantes :

• Accès : Ports d'accès, FEX, contrôleurs de VM.
• Fabric : Ports de fabric, cartes, châssis, ventilateurs.

• Locataire : - EPG, profils d'application, services.

Option 1. Définir la source SNMP sous Politiques d’accès

Accédez au chemin de l'interface utilisateur graphique Web du contrôleur APIC ; Fabric > Access Polices > Polices >  Monitoring > Default > Callhome/Smart Callhome/SNMP/Syslog/TACACS.

Option 2. Définir la source SNMP sous Politiques de fabric

Accédez au chemin de l'interface utilisateur graphique Web du contrôleur APIC ; Fabric > Fabric Polices > Polices >  Monitoring > Default > Callhome/Smart Callhome/SNMP/Syslog/TACACS.

Option 3. Définir la source SNMP sous Politiques de locataire

Accédez au chemin de l'interface utilisateur graphique Web du contrôleur APIC ; Tenant > (Tenant Name) > Polices > Monitoring > (Custom monitoring policy) > Callhome/Smart Callhome/SNMP/Syslog/TACACS.

Vérifier

Utiliser la commande snmpwalk pour vérifier

Commencez par extraire les données SNMP de la portée globale d'un commutateur Leaf. L'exécution de la commande snmpwalk permet d'y parvenir ; snmpwalk -v 2c -c New-1 x.x.x.x

snmpwalk = L'exécutable snmpwalk installé sur MacOS/Linux/Windows
-v = Spécifie la version du protocole SNMP à utiliser
2c= Spécifie que utilise la version 2c du protocole SNMP
-c= Spécifie qu'une chaîne de communauté particulière
New-1= La chaîne de communauté est utilisée pour extraire les données SNMP de portée globale
x.x.x.x= Adresse IP de gestion hors bande de mon commutateur Leaf

Résultat de la commande :

$ snmpwalk -v 2c -c New-1 x.x.x.x
SNMPv2-MIB::sysDescr.0 = STRING: Cisco NX-OS(tm) aci, Software (aci-n9000-system), Version 15.2(8e), RELEASE SOFTWARE Copyright (c) 2002-2015 by Cisco Systems, Inc. Compiled 2018/07/26 09:34:42
SNMPv2-MIB::sysObjectID.0 = OID: SNMPv2-SMI::enterprises.9.12.3.1.3.1626
DISMAN-EVENT-MIB::sysUpTimeInstance = Timeticks: (45013216) 5 days, 5:02:12.16
SNMPv2-MIB::sysContact.0 = STRING:
SNMPv2-MIB::sysName.0 = STRING: leaf1
SNMPv2-MIB::sysLocation.0 = STRING:
SNMPv2-MIB::sysServices.0 = INTEGER: 70
SNMPv2-MIB::sysORLastChange.0 = Timeticks: (3) 0:00:00.03
SNMPv2-MIB::sysORID.1 = OID: SNMPv2-MIB::snmpMIB
SNMPv2-MIB::sysORID.2 = OID: SNMP-VIEW-BASED-ACM-MIB::vacmBasicGroup
SNMPv2-MIB::sysORID.3 = OID: SNMP-FRAMEWORK-MIB::snmpFrameworkMIBCompliance
SNMPv2-MIB::sysORID.4 = OID: SNMP-MPD-MIB::snmpMPDCompliance
SNMPv2-MIB::sysORID.5 = OID: SNMP-USER-BASED-SM-MIB::usmMIBCompliance
SNMPv2-MIB::sysORDescr.1 = STRING: The MIB module for SNMPv2 entities
SNMPv2-MIB::sysORDescr.2 = STRING: View-based Access Control Model for SNMP.
SNMPv2-MIB::sysORDescr.3 = STRING: The SNMP Management Architecture MIB.
SNMPv2-MIB::sysORDescr.4 = STRING: The MIB for Message Processing and Dispatching.
SNMPv2-MIB::sysORDescr.5 = STRING: The management information definitions for the SNMP User-based Security Model.

Dans le résultat de la commande capturée, le snmpwalk est réussi et les informations spécifiques au matériel ont été extraites. Si vous laissez le snmpwalk continuer, vous voyez les noms d'interface matérielle, les descriptions, etc.

À présent, continuez à récupérer les données SNMP de contexte VRF, les contextes SNMP précédemment créés, New-VRF-SNMP pour les VRF utilisant la chaîne de communauté SNMP, New-1. Comme la même chaîne de communauté est utilisée, New-1 sur deux contextes SNMP différents, vous devez spécifier le contexte SNMP à partir duquel vous voulez extraire les données SNMP. Il y a la syntaxe snmpwalk que vous devez utiliser pour spécifier un contexte SNMP particulier ; snmpwalk -v 2c -c New-1@New-VrF-SNMP 10.x.x.x

Vous pouvez voir que pour extraire d'un contexte SNMP spécifique, vous utilisez le format suivant :

Utilisation des commandes show CLI

Sur APIC :

show snmp
show snmp policy 
show snmp summary
show snmp clientgroups
show snmp community
show snmp hosts
show snmp engineid

Sur le commutateur :

show snmp
show snmp | grep "SNMP packets"
show snmp summary
show snmp community
show snmp host
show snmp engineID
show snmp context
show snmp user
show snmp internal dump-internal-log
show snmp internal globals
show snmp internal trace log

Utilisation des commandes Moquery CLI

Sur APIC/commutateur :

moquery -c snmpGroup         #The SNMP destination group, which contains information needed to send traps or informs to a set of destinations. 
moquery -c snmpTrapDest      #A destination to which traps and informs are sent.
moquery -c snmpRtDestGroup   #A target relation to SNMP destination group. This group contains information needed to send traps or informs to a set of destinations.
moquery -c snmpPol           #The SNMP policy, which enables you to monitor client group, v3 user, and/or community SNMP policies. 
moquery -c snmpClientGrpP    #A client group, which is a group of client IP addresses that allows SNMP access to routers or switches.
moquery -c snmpCommunityP    #The SNMP community profile, which enables access to the router or switch statistics for monitoring. 
moquery -c snmpRtSnmpPol     #A target relation to an SNMP policy that contains site information and general protocol configuration parameters. Note that this relation is an internal object.
moquery -c snmpClientP       #The client profile information.
moquery -c snmpRsEpg         #A source relation to the endpoint group VRF through which the clients can connect. The VRF is an in-band or out of-band management endpoint.
moquery -c snmpSrc           #The SNMP source profile, which determines the fault information, severity level, and destination for sending messages to the SNMP destination. 
moquery -c snmpCtxP          #The SNMP context profile, which enables you to specify a context to monitor with a community profile.

Utilisation des commandes CLI Cat

Sur APIC :

cat /aci/tenants/mgmt/security-policies/out-of-band-contracts/summary
cat /aci/tenants/mgmt/security-policies/filters/summary
cat /aci/tenants/mgmt/node-management-epgs/default/out-of-band/default/summary
cat /aci/admin/external-data-collectors/monitoring-destinations/snmp/*/snmp-trap-destinations/summary
cat /aci/fabric/fabric-policies/pod-policies/policies/snmp/summary
cat /aci/fabric/fabric-policies/pod-policies/policies/snmp/*/summary
cat /aci/fabric/fabric-policies/pod-policies/policies/snmp/*/client-group-policies/*/*/summary
cat /aci/fabric/fabric-policies/pod-policies/policy-groups/summary
cat /aci/fabric/fabric-policies/pod-policies/pod-selector-default-all/summary
cat /aci/fabric/fabric-policies/monitoring-policies/monitoring-policy-default/callhome-snmp-syslog/all/snmp*/summary
cat /aci/fabric/fabric-policies/monitoring-policies/common-policy/callhome-snmp-syslog/snmp/*/summary
cat /aci/fabric/access-policies/monitoring-policies/default/callhome-snmp-syslog/all/snmp*/summary

Dépannage

Vérifiez le processus snmpd

Sur le commutateur :

ps aux | grep snmp
pidof snmpd

Sur APIC :

ps aux | grep snmp

Si le processus est normal, contactez le TAC Cisco pour obtenir de l'aide.

Historique de révision

Révision	Date de publication	Commentaires
3.0	22-Jun-2026	Mise à jour de l'orthographe, de la grammaire, de l'espacement, ajout d'1 balise (user_write).
2.0	10-Apr-2024	Première publication
1.0	05-Apr-2024	Première publication