Attivazione delle copie dei file di configurazione su un server TFTP tramite SNMP

Obiettivo

L'obiettivo di questo articolo è delineare i passaggi per attivare la copia dei file di configurazione da uno switch Cisco Business tramite il protocollo SNMP (Simple Network Management Protocol).

Dispositivi interessati

• Catalyst serie 1200
• Catalyst serie 1300
• Serie CBS250
• Serie CBS350

Introduzione

I file di configurazione vengono in genere copiati da uno switch utilizzando l'interfaccia utente grafica (GUI) o l'interfaccia della riga di comando (CLI). Un metodo più insolito consiste nell'attivare l'operazione di copia tramite SNMP.

Gestione dei dati sensibili

Quando si copia un file di configurazione contenente dati riservati, l'operazione di copia può escludere i dati riservati, includerli in forma crittografata, includerli come testo normale o utilizzare un metodo predefinito. L'impostazione della gestione dei dati sensibili è facoltativa e, se non è specificata, verrà utilizzata l'impostazione predefinita.

GUI

Per accedere al menu di gestione dei dati sensibili dalla GUI, selezionare Amministrazione > Operazioni file > Menu Gestione file.

• Escludi - per escludere i dati sensibili
• Crittografa - per crittografare i dati sensibili
• Testo normale: per visualizzare i dati riservati in testo normale.

CLI

Dalla riga di comando, è possibile utilizzare il comando copy:

Ad esempio:

Il valore predefinito è quello impostato per la modalità di lettura della sessione SSD. Per visualizzare la modalità corrente, immettere show ssd session o show running-config e cercare l'indicatore SSD del file. Con le impostazioni predefinite di fabbrica, la modalità di lettura prevista per la sessione SSD è crittografata.

Se il comando copy è stato immesso senza specificare alcuna opzione, verrà copiato come se fosse stato scelto "include-encrypted".

Tuttavia, il valore di lettura della sessione può essere modificato:

Questo comando influisce sull'output di show running-config e show startup-config, nonché sul valore predefinito per il trattamento dei dati riservati da parte del comando copy.

Ad esempio:

Il file risultante includerà dati sensibili in testo normale, come l'output di "show running-config" e "show startup-config", quindi è necessario prestare attenzione alla modalità di lettura della sessione SSD. Lasciarlo al valore predefinito è il modo più sicuro.

SNMP

Gli switch Catalyst serie 1200/Catalyst 1300/CBSx50 usano l'identificatore di oggetto SNMP (OID) chiamato rlCopyOptionsRequestedSsdAccess per controllare l'opzione dei dati sensibili. L'oggetto è un numero intero e a prima vista i valori accettati sono equivalenti a quelli del comando copy:

• 1: escludere
• 2: include-encrypted
• 3: include-decrypted (uguale a "include-plaintext" sulla riga di comando)
• 4: predefinito

L'opzione 3, che copia i dati sensibili in testo non crittografato, non può essere utilizzata con SNMP v2c, né con SNMP v3 a meno che non si utilizzino sia l'autenticazione che la privacy (authPriv).

SNMP v3 con authPriv viene utilizzato solo per attivare la copia, quindi le relative impostazioni di privacy non sono utili per la protezione del file di configurazione stesso durante il trasferimento. Ad esempio, la copia con il protocollo SCP (Secure Copy Protocol) sarebbe più sicura.

 L'opzione 4 (predefinita) non funziona come previsto. Non funziona come il comando copy e il valore della sessione di lettura SSD non ha alcun effetto sul risultato della copia quando si utilizza SNMP. L'opzione 4 equivale all'opzione 1 (esclusa), con una sola eccezione: Se si utilizza SNMP v3 con authPriv, l'opzione 4 è uguale all'opzione 3 (testo normale).

 Il comportamento è riassunto nella tabella seguente:

	1 (escludi)	2 (crittografato)	3 (testo normale)	predefinito
Copia CLI	escluso	crittografia	testo normale	Valore SSD
SNMP v2c	escluso	crittografia	non riuscito	escluso
AuthPriv SNMP v3	escluso	crittografia	testo normale	testo normale
AuthNoPriv SNMP v3	escluso	crittografia	non riuscito	escluso
SNMP v3 noAuthNoPriv	escluso	crittografia	non riuscito	escluso

Configurazione switch per SNMP v3

SNMP v3 con authPriv non è richiesto specificamente per attivare l'attività di copia, ma poiché fornisce maggiore flessibilità e sicurezza, è consigliato rispetto alle altre varianti SNMP e sarà quello utilizzato per gli esempi seguenti.

 Esempio di configurazione:

La configurazione precedente consente all'utente sbscadmin di inviare comandi SNMP v3 allo switch per attivare la copia dei file. L'utente sbscadmin è un membro del gruppo snmpAdmin, a cui sono stati concessi privilegi di scrittura SNMP v3 completi sullo switch.

Si noti che l'utente dispone sia di una password di autenticazione (auth) sia di una password per la privacy (priv), ad esempio authPriv, e che per il gruppo snmpAdmin è impostata l'opzione "priv" (che include anche l'autenticazione, in quanto la privacy non può essere utilizzata senza di essa).

 Attivazione dell'attività di copia

Di seguito è riportato un esempio di comando snmpset che attiva l'attività di copia. È sufficiente impostare diversi valori dell'oggetto. Il comando viene immesso in un'unica riga, ma è possibile utilizzare una barra rovesciata come carattere di escape per separare ogni elemento sulla propria riga, se lo si desidera. Questa operazione è stata eseguita di seguito per migliorare la leggibilità. L'ingresso viene visualizzato in blu e l'output in bianco.

• A ogni OID viene aggiunto ".1", che rappresenta la riga della tabella utilizzata per l'attività.
• "rlCopyRowStatus.1" viene utilizzato per inserire la voce in rlCopyTable. È impostata su "createAndGo", ovvero crea la riga e la imposta su attiva in modo che possa essere utilizzata dallo switch.
• Il valore di accesso SSD è impostato su "include-encrypted" (solo per questa copia).
• Il file running-config viene copiato sul server TFTP in 192.168.111.18 con il nome file di destinazione "v3-2.txt".

 Una volta eseguita l'attività di copia, il valore di rlCopyOptionsRequestedSsdAccess torna a 4 (impostazione predefinita).

 Nella tabella seguente il nome simbolico di ogni oggetto viene associato al relativo OID.

Nome simbolico	OID (Object Identifier)
TabellaOpzioniCopiaRl	1.3.6.1.4.1.9.6.1.101.87.12
rlCopyOptionsRequestedSsdAccess	1.3.6.1.4.1.9.6.1.101.87.12.1.2
rlCopiaTabella	1.3.6.1.4.1.9.6.1.101.87.2
rlCopiaStatoRiga	1.3.6.1.4.1.9.6.1.101.87.2.1.17
rlCopiaPosizioneOrigine	1.3.6.1.4.1.9.6.1.101.87.2.1.3
IndirizzoIpOrigineRl	1.3.6.1.4.1.9.6.1.101.87.2.1.4
NumeroUnitàOrigineRl	1.3.6.1.4.1.9.6.1.101.87.2.1.5
rlCopiaTipoFileOrigine	1.3.6.1.4.1.9.6.1.101.87.2.1.7
rlCopyDestinationLocation	1.3.6.1.4.1.9.6.1.101.87.2.1.8
rlCopyDestinationIndirizzoIp	1.3.6.1.4.1.9.6.1.101.87.2.1.9
rlCopyNomeFileDestinazione	1.3.6.1.4.1.9.6.1.101.87.2.1.11
TipoFileDestinazioneRl	1.3.6.1.4.1.9.6.1.101.87.2.1.12

Se non si utilizzano i file MIB, la copia dei file può essere attivata utilizzando gli OID anziché i nomi simbolici, anche se l'input e l'output sono meno intuitivi.

Per impostare i valori non è stato utilizzato un semplice simbolo "=" perché, senza MIB, il comando deve impostare esplicitamente ciascun tipo di oggetto ("i" per numero intero, "a" per indirizzo e "s" per stringa). I nomi per i valori ("local", "runningConfig", ecc.) non possono essere utilizzati poiché sono definiti dal MIB, quindi i numeri interi che rappresentano tali opzioni devono essere impostati direttamente.

 File MIB di Net-SNMP e switch

Gli strumenti di gestione SNMP possono essere utili a scopo di test e risoluzione dei problemi. In questo articolo viene utilizzato il comando snmpset incluso in Net-SNMP, una suite di strumenti SNMP gratuiti e open-source.

 Per utilizzare i file MIB dello switch con Net-SNMP, accertarsi innanzitutto che i file MIB di Net-SNMP siano posizionati in un punto in cui Net-SNMP li cercherà, ad esempio $HOME/.snmp/mibs. Senza i file MIB di Net-SNMP installati, i MIB dello switch non funzioneranno correttamente.

 I file MIB dello switch possono essere decompressi e collocati nella stessa posizione dei file MIB di Net-SNMP; tuttavia, per evitare problemi di compatibilità, non sovrascrivere le versioni Net-SNMP di eventuali file che si sovrappongono tra i due set.

 Una volta che tutti i file MIB si trovano nella posizione appropriata, i MIB rilevanti possono essere chiamati utilizzando l'argomento "-m" con il comando desiderato.

Ad esempio:

 Per ulteriori informazioni su come utilizzare gli strumenti Net-SNMP, vedere la documentazione e le esercitazioni disponibili sul sito Web Net-SNMP.

Conclusioni

A questo punto, è possibile conoscere tutte le procedure per attivare la copia dei file di configurazione da uno switch Cisco Business a un server TFTP tramite SNMP.