OID in Nexus 5k, 7k en 9K uitsluiten in SNMP v2- en v3-configuratie

Inleiding

Voorwaarden

Vereisten

Cisco raadt u aan kennis te hebben van deze onderwerpen voordat u OID-uitsluitingen (Object Identifier) implementeert:

• Eenvoudig netwerkbeheerprotocol (SNMP)
• Toegang tot apparaatconfiguratiemodus
• Begrip van OID's die moeten worden uitgesloten
• Inzicht in SNMP-community- en gebruikersconfiguraties

Gebruikte componenten

De informatie in dit document is gebaseerd op de Lab-test met deze Nexus-modellen:

• Nexus 5k
• Nexus 7k
• Nexus 9k

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

In de wereld van SNMP komt u vaak situaties tegen waarbij het parseren van de MIB-boom (Management Information Base) hindernissen ondervindt, waardoor een stilstand wordt bereikt bij specifieke OID's, wat soms leidt tot time-outs van vensters of soortgelijke problemen. Een andere veel voorkomende uitdaging doet zich voor wanneer continue polling voor een lastige OID waarschuwingen activeert die niet noodzakelijk of impactvol zijn. Een mogelijke manier om van dit soort scenario's af te komen, is door uitsluitingen te maken en het apparaat te instrueren om die specifieke OID over te slaan en door te gaan met de rest van de MIB-structuur. Door het apparaat te sturen om de lastige OID te omzeilen en door te gaan met de rest van de MIB-structuur, kunt u een vlotte doorstroming van de MIB-structuur bevorderen.

Opmerking: Het is belangrijk op te merken dat deze uitsluiting van invloed kan zijn op de manier waarop we gegevens uit de MIB-structuur lezen. Wees voorzichtig en zorg voor de noodzaak van de OID voordat u doorgaat met deze uitsluitingen.

Basisstappen

Configuratiemodus voor toegang:

#conf t

De rol van OID-uitsluiting definiëren:

#role name 
#rule 1 permit read feature snmp
#rule 2 deny {read/ read-write} oid 

Tip: {read/read-write} laat je kiezen tussen 'read' en 'read-write' SNMP bewerkingen. 'Lezen' bewerkingen omvatten meestal het ophalen van informatie, terwijl 'lezen-schrijven' bewerkingen zowel het ophalen als het wijzigen van informatie inhouden. U kunt kiezen voor lezen/lezen-schrijven volgens uw voorkeur.

Verlaat de configuratiemodus:

#exit

Configuratie toepassen op SNMP-community/gebruiker.

Voor SNMPv2:

#snmp-server community  group 

Voor SNMPv3:

#snmp-server user   auth {sha/md5}  priv {aes/des} 

Configuratie

Opmerking: Dit voorbeeld omvat de uitsluiting van OID 1.3.6.1.2.1.2.2.1.3 (ifType). Zorg ervoor dat u de ifType OID vervangt door degene die u wilt uitsluiten.

Een rol definiëren om OID ifType uit te sluiten:

switch#
switch# config t
Enter configuration commands, one per line. End with CNTL/Z.
switch(config)# role name deny_oid
switch(config-role)# rule 1 permit read feature snmp
switch(config-role)# rule 2 deny read oid 1.3.6.1.2.1.2.2.1.3
switch(config-role)# exit
switch(config)# exit
switch# sh role name deny_oid
Role: deny_oid
  Description: new role
  Vlan policy: permit (default)
  Interface policy: permit (default)
  Vrf policy: permit (default)
  -------------------------------------------------------------------
  Rule    Perm    Type        Scope               Entity
  -------------------------------------------------------------------
  2       deny    read        oid                 1.3.6.1.2.1.2.2.1.3
  1       permit  read        feature             snmp
switch#

Een SNMPv2-community maken met de volgendedeny_oidrol:

switch(config)# snmp-server community snmpv2user group deny_oid
switch(config)# exit
switch# sh snmp community
Community             Group / Access      context    acl_filter
_________             ______________      _______    __________
snmpv2user            deny_oid
switch#

SNMPv3-gebruiker maken met deny_oid-rol:

switch# config t
Enter configuration commands, one per line. End with CNTL/Z.
switch(config)# snmp-server user snmpv3user deny_oid auth sha password!123 priv ?
  WORD  Privacy password for user (Max Size 134)
switch(config)# snmp-server user snmpv3user deny_oid auth sha password!123 priv password!123
switch(config)# do sh snmp user
______________________________________________________________
                  SNMP USERS
______________________________________________________________
 
User                Auth      Priv(enforce) Groups              acl_filter 
____                ____      _____________ ______              __________
admin               md5       aes-128(no)   network-admin
snmpv3user          sha       aes-128(no)   deny_oid
______________________________________________________________
 NOTIFICATION TARGET USERS (configured  for sending V3 Inform)
______________________________________________________________
User                          Auth      Priv
___                          ____      ____
switch(config)#

Verificatie

Opmerking: Er is een proefversie van de testgebruiker gebruikt om de polling van ifType OID te controleren. De rest van de gebruikers werden in kaart gebracht met de rol deny_oid en het toonde geen gegevens voor ifType OID zoals geïllustreerd.

SNMPwalk zonder uitsluiting:

Opmerking: a.b.c.d wordt gebruikt in plaats van het IP-adres van het apparaat in het hele artikel.

[root@user ~]# snmpwalk -v2c -c trial a.b.c.d 1.3.6.1.2.1.2.2.1.3
IF-MIB::ifType.83886080 = INTEGER: ethernetCsmacd(6)
IF-MIB::ifType.436207616 = INTEGER: ethernetCsmacd(6)
IF-MIB::ifType.436208128 = INTEGER: ethernetCsmacd(6)
IF-MIB::ifType.436208640 = INTEGER: ethernetCsmacd(6)
IF-MIB::ifType.436209152 = INTEGER: ethernetCsmacd(6)
IF-MIB::ifType.436209664 = INTEGER: ethernetCsmacd(6)
IF-MIB::ifType.436210176 = INTEGER: ethernetCsmacd(6)
IF-MIB::ifType.436210688 = INTEGER: ethernetCsmacd(6)
IF-MIB::ifType.436211200 = INTEGER: ethernetCsmacd(6)
IF-MIB::ifType.436211712 = INTEGER: ethernetCsmacd(6)
^C

SNMPwalk voor SNMPv2 met uitgesloten OID:

[root@user ~]# snmpwalk -v2c -c snmpv2user a.b.c.d 1.3.6.1.2.1.2.2.1.3
IF-MIB::ifType = No Such Object available on this agent at this OID

Opmerking: Er is een nieuwe gebruiker 'trialv3' gemaakt om polling te illustreren zonder de uitsluiting van de OID.

SNMPwalk zonder de OID uit te sluiten:

[root@user ~]# snmpwalk -v3 -u trialv3 -l authPriv -a sha -A 'password!123' -x aes -X 'password!123' a.b.c.d 1.3.6.1.2.1.2.2.1.3
IF-MIB::ifType.83886080 = INTEGER: ethernetCsmacd(6)
IF-MIB::ifType.436207616 = INTEGER: ethernetCsmacd(6)
IF-MIB::ifType.436208128 = INTEGER: ethernetCsmacd(6)
IF-MIB::ifType.436208640 = INTEGER: ethernetCsmacd(6)
IF-MIB::ifType.436209152 = INTEGER: ethernetCsmacd(6)
IF-MIB::ifType.436209664 = INTEGER: ethernetCsmacd(6)
IF-MIB::ifType.436210176 = INTEGER: ethernetCsmacd(6)
IF-MIB::ifType.436210688 = INTEGER: ethernetCsmacd(6)
IF-MIB::ifType.436211200 = INTEGER: ethernetCsmacd(6)
IF-MIB::ifType.436211712 = INTEGER: ethernetCsmacd(6)
IF-MIB::ifType.436212224 = INTEGER: ethernetCsmacd(6)
^C
[root@user  ~]#

SNMPwalk voor SNMPv3-gebruiker met uitgesloten OID:

[root@user ~]# snmpwalk -v3 -u snmpv3user -l authPriv -a sha -A 'password!123' -x aes -X 'password!123' a.b.c.d 1.3.6.1.2.1.2.2.1.3
IF-MIB::ifType = No Such Object available on this agent at this OID
[root@user ~]#