内容

はじめに

前提条件

要件

使用するコンポーネント

コンフィギュレーション

背景説明

トラブルシューティング

誤ったインターフェイス名

エクスポータまたはインターフェイスが見つからない

接続性の問題

エクスポータをポーリングするマネージャ(SMC)の機能を検証

エクスポータのIPアドレスを使用して、SMCでパケットキャプチャを生成します。

SNMPポーリング設定の検証

SNMPポーリングのライブトラブルシューティング

別のデバイスからのSNMPポーリングのテスト

関連情報

はじめに

このドキュメントでは、Secure Network Analyticsでエクスポータインターフェイス情報が欠落している場合のトラブルシューティング方法について説明します

前提条件

- Ciscoでは、基本的なSimple Network Management Protocol(SNMP)のポーリングに関する知識があることを推奨しています

- Secure Network Analytics(SNA/StealthWatch)に関する基本的な知識があることが推奨されます

要件

- バージョン7.4.1以降のSNA Manager

- バージョン7.4.1以降のSNA Flow Collector

- SNAにNetFlowをアクティブに送信しているエクスポータ

使用するコンポーネント

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。稼働中のネットワークで作業を行う場合は、コマンドの影響について十分に理解したうえで作業してください

- バージョン7.4.1以降のSNA Manager

- バージョン7.4.1以降のSNA Flow Collector

- SNMPwalkソフトウェア

- Wiresharkソフトウェア

コンフィギュレーション

- デバイス設定：SNMPアクセスを許可するようにエクスポータを設定する必要があります。これには、SNMPコミュニティストリング、アクセスコントロールリスト(ACL)の設定、使用するSNMPバージョンの定義など、各デバイスでのSNMP設定の設定が含まれます

- SNAでのSNMPポーリング設定：エクスポータが正しく設定されると、SMCでは事前に設定されたパラメータを使用してSNMPポーリングがデフォルトで有効になります。ポーリングメカニズムが最適に動作するためには、SNMPコミュニティストリングやSNMPバージョンなど、エクスポータに関する必要な詳細情報を提供することが重要です

背景説明

SNAは、インターフェイスステータスレポートを包括的に提供する機能と、NetFlowデータをフローコレクタにアクティブに送信しているエクスポータのインターフェイス名を表示する機能を備えています。  このインターフェイスの詳細は、Manager Web UIからInvestigate -> Interfacesメニューに移動して表示できます。

トラブルシューティング

誤ったインターフェイス名

生成されたレポートで「ifindex-#」が表示される場合、これはエクスポータインターフェイスに対応していません。これは、SMCまたはエクスポータインターフェイス自体でのSNMPポーリングに関する潜在的な設定の問題を示唆しています。   この例では、特定のエクスポータのSNMPポーリングに関する明らかな問題を取り上げています。

エクスポータまたはインターフェイスが見つからない

テンプレートの検証は、NetFlowデータ処理において非常に重要です。具体的には、エクスポータから受信したNetFlowテンプレートに、フローコレクタによるデコードと処理を正常に行うために必要なすべての必須フィールドが含まれていることを確認します。有効なテンプレートが見つからないと、関連するフローのセットがデコードから除外され、その結果、フローがインターフェイスのリストから欠落します。

インターフェイスリストに必要なエクスポータまたはインターフェイスが表示されない場合は、着信netflow data dnテンプレートを確認する必要があります。  NetFlowテンプレートを確認するために、フローコレクタ側でパケットキャプチャを作成し、エクスポータからIPを指定します。「x.x.x.x」を変更して、NetFlowを取得します。

- SSHまたはコンソール経由で、rootクレデンシャルを使用してFlow Collectorにログインします。

- 問題のエクスポータのIPポートとNetFlowポートからパケットキャプチャを実行します。
tcpdump -s0 -v -nnn -i eth0 host x.x.x.x and port 2055 -w /lancope/var/admin/tmp/

.pcap

- アプライアンスからWiresharkアプリケーションがインストールされているワークステーションにパケットキャプチャをコピーし、任意の方法（SCP、SFTPなど）を使用します。

- Wiresharkでパケットキャプチャを開き、エクスポータがフローコレクタに送信しているテンプレートとデータを確認します

NetFlowテンプレートが9個の必須フィールドを使用していることを確認します。これらのテンプレートフィールドの正確な名前はエクスポータのタイプによって異なる可能性があるため、設定するエクスポータのタイプの詳細については、次のドキュメントを参照してください。

- 送信元 IP アドレス

- 宛先 IP アドレス

- 送信元ポート

- 宛先ポート

- レイヤ4プロトコル

- バイト数

- パケット数

- フロー開始時間

- フロー終了時間

インターフェイスを正しく表示するには、次の項目も追加してください。

- インターフェイス出力

- インターフェイス入力

次に、特定のエクスポータのデバイスからのテンプレートパケットキャプチャの例を示します

- 赤い矢印：必須のNetFlowフィールド

- 緑色の矢印：SNMPフィールド

注：コマンド例に示されているポートは、エクスポータの設定によって異なる場合があります。デフォルトは2055です

注：パケットキャプチャは5 ～ 10分で実行してください。エクスポータによってはテンプレートをN分ごとに送信できるため、NetFlowが正しくデコードされるようにそのテンプレートをキャッチする必要があります。テンプレートが表示されない場合は、パケットキャプチャをより長い期間繰り返します

接続性の問題

接続の確認：SNA Managerアプライアンスとエクスポータが接続されていることを確認します。IPアドレスをpingして、StealthWatch管理コンソールからエクスポータにアクセスできることを確認します。ネットワーク接続の問題がある場合は、トラブルシューティングを行い、状況に応じて問題を解決します。

エクスポータをポーリングするマネージャ(SMC)の機能を検証

- SSH経由でSNAマネージャに接続し、ルートクレデンシャルでログインします

- /lancope/var/smc/log/smc-configuration.logファイルを分析し、ExporterSnmpSession:
INFO [ExporterSnmpSession] SNMP polling for 10.1.0.253 took 0s

INFO [ExporterSnmpSession] SNMP polling for 10.1.0.253 took 0s

WARN [ExporterSnmpSession] SNMP polling for 10.10.0.254 failed: java.lang.Exception: timeout

INFO [ExporterSnmpSession] SNMP polling for 10.10.0.254 took 20s

WARN [ExporterSnmpSession] SNMP polling for 10.10.0.254 failed: java.lang.Exception: timeout

INFO [ExporterSnmpSession] SNMP polling for 10.10.0.254 took 20s

- このポーリング例では、エクスポータ10.1.0.253に対してエラーは検出されませんでした。しかし、エクスポータ10.1.0.254で最初にタイムアウトエラーメッセージが発生し、その後20秒の遅延後にポーリング動作を正常に実行することができました。

エクスポータのIPアドレスを使用して、SMCでパケットキャプチャを生成します。

- rootクレデンシャルを使用して、SSHまたはコンソール経由でマネージャノードにログインします

- 次のコマンドを実行します。
tcpdump -s0 -v -nnn -i [Interface] host [Exporter_IP_address] -w /lancope/var/admin/tmp/[file_name].pcap

- 希望する方法（例：SCP、SFTP）でアプライアンスからパケットキャプチャをエクスポートします。

- Wiresharkでパケットキャプチャを開き、ポーリングの成功を確認します

- SMCからの要求：

- インターフェイス情報を含むエクスポータからのSNMP応答：

SNMPポーリング設定の検証

ポーリング間隔が適切であり、必要なメトリックがSNMPクエリに含まれていることを確認します

- Web UIで、Configure -> Exporters -> Exporter SNMP Profilesの順に選択します。

- 正しいSNMPポート（通常はUDPポート161）と正しいSNMPクエリー方式が選択されていることを確認します。これらは、エクスポータ（ifxTableカラム、CatOS MIB、PanOS MIB）と適切に一致している必要があります

注：インターフェイスの速度が10 Gbpsの場合は、SNMPクエリー方式にifxTable columnsオプションを選択することをお勧めします。

注：最適なシステムパフォーマンスを得るには、SNMPポーリングを12時間間隔に設定します。ポーリングの頻度を上げても、使用率メトリックが最新の状態になるわけではなく、システムの実行速度が低下する可能性があります。

- SNAとエクスポータの両方で設定されているSNMPバージョンに互換性があることを確認します。SNAはSNMPv1、SNMPv2c、およびSNMPv3をサポートします。SNAで設定されているSNMPバージョンと同じバージョンを使用するようにエクスポータが設定されているかどうかを確認します。

- SNMPv3を使用する場合は、SNMP設定が正しいことを確認します（ユーザ名、認証パスワード、認証プロトコル、プライバシーパスワード、プライバシープロトコル）

SNMPポーリングのライブトラブルシューティング

Web UIで、Configure -> Exporters -> Exporter SNMP Profilesの順に選択します。

- ポーリング（分）を一時的に1（分）に設定します。

- SSHまたはコンソール経由で、rootクレデンシャルを使用してSMCにログインします。

- 次のフォルダに移動します。
cd /lancope/var/smc/log

- 次のコマンドを実行します。
tail -f smc-configuration.log

- SNMPv3の場合、一般的なエラーメッセージは次のようになります。
failed: java.lang.IllegalArgumentException: USM passphrases must be at least 8 bytes long (RFC3414 §11.2)

- SNMPプロファイルの認証パスワードが8文字以上に設定されていることを確認します。

- ライブトラブルシューティングが終了したら、エクスポータまたはその設定テンプレートのポーリング（分）設定を以前の値に戻します。

別のデバイスからのSNMPポーリングのテスト

SNMPポーリングのテスト：ローカルマシンから特定のネットワークデバイスへのSNMPポーリングを手動で開始し、応答を受信するかどうかを確認します。これは、SNMPポーリングツールまたはSNMPwalkなどのユーティリティを使用して実行できます。ネットワークデバイスが要求されたSNMPデータで応答することを確認します。応答がない場合は、SNMPの設定または接続に問題があることを示しています。

- SNMPwalkソフトウェアがインストールされているローカルマシンで、エクスポータIPを「x.x.x.x」に置き換えて、CLIで実行します。
snmpwalk -v2c -c public x.x.x.x

- -v2c：使用するSNMPバージョンを指定します。

- -c：コミュニティ文字列を設定する

- エクスポータがSNMPデータで応答することを確認します。

関連情報

- 詳細については、Technical Assistance Center(TAC)にお問い合わせください。有効なサポート契約が必要です。 各国のシスコ サポートの連絡先.

- また、Cisco Security Analyticsコミュニティもご覧ください。

- テクニカル サポートとドキュメント - Cisco Systems