SNMP gebruiken met security applicaties PIX/ASA

Downloadopties

PDF (250.5 KB)
Met Adobe Reader op diverse apparaten bekijken
ePub (116.1 KB)
Bekijken in diverse apps op iPhone, iPad, Android, Sony Reader of Windows Phone
Mobi (Kindle) (165.4 KB)
Op Kindle-apparaat of via Kindle-app op meerdere apparaten bekijken

Bijgewerkt:29 december 2006

Document-id:13822

Inclusief taalgebruik

De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.

Over deze vertaling

Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.

Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Verwante producten

Conventies

SNMP via de PIX/ASA

Vouwen naar binnen

Vangen naar buiten

Naar buiten kijken

SNMP aan de PIX/ASA

MIB-ondersteuning per versie

SNMP inschakelen in de PIX/ASA

SNMP op de PIX/ASA - Polling

SNMP op de PIX/ASA - Traps

SNMP-problemen

PIX-ontdekking

Apparaten in de PIX ontdekken

Apparaten buiten PIX ontdekken

Versie 6.2.1.1.2 van PIX

Te verzamelen informatie als u een TAC-case opent

Gerelateerde informatie

Inleiding

U kunt systeemgebeurtenissen in de PIX bewaken met behulp van Simple Network Management Protocol (SNMP). In dit document wordt beschreven hoe SNMP met de PIX moet worden gebruikt.

Opdrachten om SNMP door de PIX of naar de PIX te leiden
PIX-uitvoer van monster
Ondersteuning van Management Information Base (MIB) in PIX-softwarerelease 4.0 en hoger
Trapingsniveaus
syslog ernst voorbeelden
Problemen met de ontdekking van PIX- en SNMP-apparaten

Opmerking: De poort voor snget/snwalk is UDP/161. De poort voor SNMP-traps is UDP/162.

Voorwaarden

Vereisten

Er zijn geen specifieke vereisten van toepassing op dit document.

Gebruikte componenten

De informatie in dit document is gebaseerd op Cisco Secure PIX-firewall softwarereleases 4.0 en hoger.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Verwante producten

Deze configuratie kan ook worden gebruikt met Cisco adaptieve security applicatie (ASA) versie 7.x.

Conventies

Sommige regels uitvoer- en loggegevens in dit document zijn verpakt voor overwegingen met afstand.

Raadpleeg Cisco Technical Tips Conventions (Conventies voor technische tips van Cisco) voor meer informatie over documentconventies.

SNMP via de PIX/ASA

Vouwen naar binnen

Om vallen toe te staan van 50.50.50.50 tot 10.10.10.10:

 conduit permit udp host 50.50.50.75 eq snmptrap host 50.50.50.50
 static (inside,outside) 50.50.50.75 10.10.10.10 netmask 255.255.255.255 0 0

Als u toegangscontrolelijsten (ACL’s) gebruikt, beschikbaar in PIX 5.0 en hoger, in plaats van circuits:

access-list Inbound permit udp host 50.50.50.50 host 50.50.50.75 eq snmptrap 
access-group Inbound in interface outside

De PIX toont:

302005: Built UDP connection for faddr 50.50.50.50/2388 
   gaddr 50.50.50.75/162 laddr 10.10.10.10/162

Vangen naar buiten

Het uitgaande verkeer is standaard toegestaan (bij ontstentenis van uitgaande lijsten) en de PIX toont:

305002: Translation built for gaddr 50.50.50.80 to laddr 10.31.1.5
302005: Built UDP connection for faddr 50.50.50.50/162 
   gaddr 50.50.50.80/2982 laddr 10.31.1.5/2982

Naar buiten kijken

Om de stemming mogelijk te maken van 17.68.118.118 tot 10.10.10.20:

static (inside,outside) 171.68.118.150 10.10.10.20 netmask 255.255.255.255 0 0
conduit permit udp host 171.68.118.150 eq snmp host 171.68.118.118

Als u ACL’s (ACL’s) gebruikt, beschikbaar in PIX 5.0 en hoger, in plaats van conduits:

access-list Inbound permit udp host 171.68.118.118 host 171.68.118.150 eq snmp 
access-group Inbound in interface outside

Naar buiten kijken

Het uitgaande verkeer is standaard toegestaan (bij ontstentenis van uitgaande lijsten) en de PIX toont:

305002: Translation built for gaddr 99.99.99.11 to laddr 172.18.124.115
302005: Built UDP connection for faddr 99.99.99.5/161
   gaddr 99.99.99.11/36086 laddr 172.18.124.115/36086

SNMP aan de PIX/ASA

MIB-ondersteuning per versie

Dit zijn de versies van MIB ondersteuning in PIX:

PIX-firewallsoftwareversies 4.0 tot 5.1 — Systeem en interfacegroepen van MIB-II (zie RFC 1213 ) maar niet de groepen AT, ICMP, TCP, UDP, EGP, transmissie, IP of SNMP CISCO-SYSLOG-MIB-V1SMI.my.
PIX-firewallsoftwareversies 5.1.x en later — Vorige MIBs en CISCO-MEMORY-POOL-MIB.my en de cfwSystem-tak van de CISCO-FIREWALL-MIB.my.
PIX-firewall-softwareversies 5.2.x en later-vorige MIB’s en de ipAddressTable van de IP-groep.
PIX-firewallsoftwareversies 6.0.x en later — Vorige MIB’s en wijziging van de MIB-II OID om PIX door model te identificeren (en CiscoView 5.2 ondersteuning mogelijk te maken). De nieuwe doelidentificatoren (OID’s) worden gevonden in de CISCO-PRODUCTS-MIB; de PIX 515 heeft bijvoorbeeld de OID 1.3.6.1.4.1.9.1.390.
PIX-firewallsoftwareversies 6.2.x en later — Vorige MIB’s en CISCO-PROCESS-MIB-V1SMI.my.
PIX/ASA-software versie 7.x—Voorgaande MIB's en IF-MIB, SNMPv2-MIB, ENTITY-MIB, CISCO-REMOTE-ACCESS-MONITOR-MIB, CISCO-CRYPTO-ACCELERATOR-MIB, ALTIGA-GG BAL-REG.

Opmerking: het ondersteunde gedeelte van het PROCES MIB is de cpmCPUTotalTable tak van de cpmCPU-tak van de ciscoProcesbalkMIBObjects-tak. Er is geen ondersteuning voor de ciscoProcentMIBNderhalve-routing, de ciscoProceMIBconformance tak of de twee tabellen, cpmProcestabel en cpmProceingsExtTable, in de cpmProcestak van de ciscoProcessingMIBObjects tak van de MIB.

SNMP inschakelen in de PIX/ASA

Geef deze opdrachten uit om opiniepeilingen/vragen en vallen in de PIX toe te staan:

snmp-server host #.#.#.#

!--- IP address of the host allowed to poll !--- and where to send traps.

snmp-server community <whatever>
snmp-server enable traps

PIX-softwarereleases 6.0.x en zorgen later voor meer granulariteit met betrekking tot vallen en vragen.

snmp-server host #.#.#.#

!--- The host is to be sent traps and can query.

snmp-server host #.#.#.# trap 

!--- The host is to be sent traps and cannot query.

snmp-server host #.#.#.# poll 

!--- The host can query but is not to be sent traps.

PIX/ASA-softwareversies 7.x maken meer granulariteit met betrekking tot vallen en vragen mogelijk.

hostname(config)#snmp-server host <interface_name> <ip_address> trap 
               community <community string>

!--- The host is to be sent traps and cannot query !--- with community string specified.

hostname(config)#snmp-server host <interface_name> <ip_address> poll 
               community <community string>

!--- The host can query but is not to be sent traps !--- with community string specified.

Opmerking: Specificeer de val of enquête als u de NMS alleen wilt beperken tot het ontvangen van vallen of het bladeren (opiniepeiling) alleen. NMS kan standaard beide functies gebruiken.

SNMP-traps worden standaard verzonden op UDP-poort 162. U kunt het poortnummer wijzigen met het udp-poort sleutelwoord.

SNMP op de PIX/ASA - Polling

De variabelen dat de PIX retourneert zijn afhankelijk van de ondersteuning van de mib in de versie. Een voorbeelduitvoer van een stok van een PIX die6.2.1 draait, is aan het eind van dit document. Eerdere versies van software geven alleen de eerder genoemde mib waarden terug.

SNMP op de PIX/ASA - Traps

Opmerking: Een SNMP OID voor PIX-firewall wordt weergegeven in SNMP-gebeurtenissen die vanuit de PIX-firewall zijn verstuurd. OID 1.3.6.1.4.1.9.1.27 werd gebruikt als het PIX-firewallsysteem OID tot PIX-softwareversie 6.0. De nieuwe model-specifieke OIDs zijn gevonden in de CISCO-PRODUCTS-MIB.

Geef deze opdrachten uit om de vallen in de PIX in te schakelen:

snmp-server host #.#.#.#

!--- IP address of the host allowed to do queries !--- and where to send traps.

snmp-server community 
      
      
        snmp-server enable traps

Traps versie 4.0 tot 5.1

Wanneer u PIX-software 4.0 en hoger gebruikt, kunt u deze vallen genereren:

cold start = 1.3.6.1.6.3.1.1.5.1
link_up = 1.3.6.1.6.3.1.1.5.4
link_down = 1.3.6.1.6.3.1.1.5.3
syslog trap (clogMessageGenerated) = 1.3.6.1.4.1.9.9.41.2.0.1

Wijzigingen van trap (PIX 5.1)

In PIX-softwarerelease 5.1.1 en hoger worden de val- en systeemniveaus voor de syslogvallen gescheiden. De PIX stuurt nog steeds syslogvallen, maar er kan meer granulariteit worden ingesteld. Dit voorbeeld rauw trapd.log bestand (en dit is hetzelfde voor HP OpenView [HPOV] of NetView) bevatte 3 link_up vallen en 9 syslog vallen, met 7 verschillende syslogbestanden: 101003, 104001, 111005, 11007, 199002, 302005, 305002.

Voorbeeld van een trapd.log

952376318 1 Mon Mar 06 15:58:38 2000 10.31.1.150 - 1=20 2=7 
   3=Syslog Trap 4=199002: 
PIX startup completed. Beginning operation. 5=0;1 .1.3.6.1.4.1.9.9.4 1.2.0.1 0

952376318 1 Mon Mar 06 15:58:38 [10.31.1.150.2.2] %PIX-1-104001: (Secondary) 
Switching to ACTIVE - no failover cable.

952376332 1 Mon Mar 06 15:58:52 2000 10.31.1.150 - 1=20 2=2 
   3=Syslog Trap 4=101003: (Secondary) Failover cable not connected (this unit) 
   5=1400;1 .1.3.6.1.4.1.9.9.41.2.0.1 0

952376332 1 Mon Mar 06 15:58:52 [10.31.1.150.2.2] %PIX-1-101003: (Secondary) 
Failover cable not connected (this unit)

952376345 1 Mon Mar 06 15:59:05 2000 10.31.1.150 - 1=20 2=7 
   3=Syslog Trap 4=305002: 
Translation built for gaddr 50.50.50.75 to laddr 171.68.118.118 5=2800;1 
.1.3.6.1.4.1.9.9.41.2.0.1 0

952376345 1 Mon Mar 06 15:59:05 2000 10.31.1.150 - 1=20 2=7 
   3=Syslog Trap 4=302005: Built UDP connection for faddr 50.50.50.50/2388 
   gaddr 50.50.50.75/162 laddr 171.68.118.118/162 
   5=2800;1 .1.3.6.1.4.1.9.9.41.2.0.1 0

952376347 1 Mon Mar 06 15:59:07 2000 10.31.1.150 - Agent Interface Up (linkUp 
Trap) enterprise:ENTERPRISES.9.1.227 (.1.3.6.1.4.1.9.1.227) on interface 1;1 
.1.3.6.1.6.3.1.1.5.4.1.3.6.1.4.1.9.1.227 0

952376347 1 Mon Mar 06 15:59:07 2000 10.31.1.150 - Agent Interface Up (linkUp 
Trap) enterprise:ENTERPRISES.9.1.227 (.1.3.6.1.4.1.9.1.227) on interface 2;1 
.1.3.6.1.6.3.1.1.5.4.1.3.6.1.4.1.9.1.227 0

952376347 1 Mon Mar 06 15:59:07 2000 10.31.1.150 - Agent Interface Up (linkUp 
Trap) enterprise:ENTERPRISES.9.1.227 (.1.3.6.1.4.1.9.1.227) on interface 3;1 
.1.3.6.1.6.3.1.1.5.4.1.3.6.1.4.1.9.1.227 0

952376360 1 Mon Mar 06 15:59:20 2000 10.31.1.150 - 1=20 2=6 
   3=Syslog Trap 4=111007: Begin configuration: console reading from terminal 
   5=4200;1 .1.3.6.1.4.1.9.9.41.2.0.1 0

952376365 1 Mon Mar 06 15:59:25 2000 10.31.1.150 - 1=20 2=6 
   3=Syslog Trap 4=111005: console end configuration: OK 
   5=4700;1 .1.3.6.1.4.1.9.9.41.2.0.1 0

Beschrijving van elke trap - trapd.log

199002 (syslog)
4=199002: PIX startup completed. Beginning operation. 
5=0;1 .1.3.6.1.4.1.9.9.41.2.0.1 0



104001 (syslog)
Mar 6 15:58:38 [10.31.1.150.2.2] %PIX-1-104001: (Secondary) 
Switching to ACTIVE - no failover cable.


101003 (syslog)
952376332 1 Mon Mar 06 15:58:52 2000 10.31.1.150 - 1=20 2=2 
   3=Syslog Trap 4=101003: (Secondary) Failover cable not connected (this unit) 
   5=1400;1 .1.3.6.1.4.1.9.9.41.2.0.1 0


101003 (syslog)
Mar 6 15:58:52 [10.31.1.150.2.2] %PIX-1-101003: (Secondary) Failover cable not 
connected (this unit)


305002 (syslog)
952376345 1 Mon Mar 06 15:59:05 2000 10.31.1.150 - 1=20 2=7 
   3=Syslog Trap 4=305002: Translation built for gaddr 50.50.50.75 
   to laddr 171.68.118.118 5=2800;1 .1.3.6.1.4.1.9.9.41.2.0.1 0


302005 (syslog)
952376345 1 Mon Mar 06 15:59:05 2000 10.31.1.150 - 1=20 2=7 
   3=Syslog Trap 4=302005: Built UDP connection for faddr 50.50.50.50/2388 
   gaddr 50.50.50.75/162 laddr 171.68.118.118/162 
   5=2800;1 .1.3.6.1.4.1.9.9.41.2.0.1 0


Linkup (linkup)
952376347 1 Mon Mar 06 15:59:07 2000 10.31.1.150 - Agent Interface Up (linkUp 
Trap) enterprise:ENTERPRISES.9.1.227 (.1.3.6.1.4.1.9.1.227) on interface 1;1 
.1.3.6.1.6.3.1.1.5.4.1.3.6.1.4.1.9.1.227 0


Linkup (linkup)
952376347 1 Mon Mar 06 15:59:07 2000 10.31.1.150 - Agent Interface Up (linkUp 
Trap) enterprise:ENTERPRISES.9.1.227 (.1.3.6.1.4.1.9.1.227) on interface 2;1 
.1.3.6.1.6.3.1.1.5.4.1.3.6.1.4.1.9.1.227 0


Linkup (linkup)
952376347 1 Mon Mar 06 15:59:07 2000 10.31.1.150 - Agent Interface Up (linkUp 
Trap) enterprise:ENTERPRISES.9.1.227 (.1.3.6.1.4.1.9.1.227) on interface 3;1 
.1.3.6.1.6.3.1.1.5.4.1.3.6.1.4.1.9.1.227 0


Linkup (syslog)
952376360 1 Mon Mar 06 15:59:20 2000 10.31.1.150 - 1=20 2=6 
   3=Syslog Trap 4=111007: Begin configuration: console reading from terminal 
   5=4200;1 .1.3.6.1.4.1.9.9.41.2.0.1 0


111007 (syslog)
952376360 1 Mon Mar 06 15:59:20 2000 10.31.1.150 - 1=20 2=6 
   3=Syslog Trap 4=111007: Begin configuration: console reading from terminal 
   5=4200;1 .1.3.6.1.4.1.9.9.41.2.0.1 0


111005 (syslog)
952376365 1 Mon Mar 06 15:59:25 2000 10.31.1.150 - 1=20 2=6 
   3=Syslog Trap 4=111005: console end configuration: OK 
   5=4700;1 .1.3.6.1.4.1.9.9.41.2.0.1 0

syslog ernst-level-voorbeelden

Deze zijn opgenomen in de documentatie ter illustratie van de zeven berichten.

Alert:
  %PIX-1-101003:(Primary) failover cable not connected (this unit)
  %PIX-1-104001:(Primary) Switching to ACTIVE (cause:reason)
  Notification:
  %PIX-5-111005:IP_addr end configuration: OK
  %PIX-5-111007:Begin configuration: IP_addr reading from device.
  Informational:
  %PIX-6-305002:Translation built for gaddr IP_addr to laddr IP_addr
  %PIX-6-302005:Built UDP connection for faddr faddr/fport gaddr gaddr/gport 
     laddr laddr/lport
  %PIX-6-199002:Auth from laddr/lport to faddr/fport failed 
     (server IP addr failed) in interface int name.