Monitor Catalyst 9800 WLC via SNMP met OID's

Inleiding

In dit document wordt beschreven hoe u Simple Network Management Protocol (SNMP) configureert om de Cisco 9800 Wireless LAN Controller (WLC) te bewaken.

Voorwaarden

Vereisten

• Basiskennis van het 9800 WLC- en SNMP-protocol
• SNMP-server/tool

Gebruikte componenten

Alle tests werden uitgevoerd op MacOS 10.14 en een 9800-CL WLC met beeldversie 17.5.1. Sommige van de OID's die in dit artikel worden genoemd, bestaan niet op oudere afbeeldingsversies.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

SNMP vs. telemetrie

Oudere WLC's van AireOS vertrouwen op SNMP als het belangrijkste protocol voor de monitor. Het merendeel van de relevante informatie zoals het aantal clients, het aantal aangesloten toegangspunten, het processor- en geheugengebruik kan worden verkregen via SNMP-query van de tool die bewaakt, naar de WLC.

Met 9800 WLC is de focus gelegd op telemetrie. Telemetrie werkt in een "push"-model waarbij WLC relevante informatie naar de server verzendt zonder dat deze hoeft te worden opgevraagd. Catalyst 9800 biedt nog steeds SNMP voor oudere doeleinden. Sommige informatie kan exclusief zijn voor telemetrie en sommige van de OID's die eerder beschikbaar waren op AireOS zijn nog niet beschikbaar op 9800.

SNMP configureren op WLC

Vanaf Cisco IOS XE Bengaluru 17.6.1 wordt de Ethernet-servicepoort (beheerinterface VRF/Gigabit Ethernet 0) ondersteund in de draadloze controller uit de Cisco Catalyst 9800-reeks.
Voorafgaand aan deze release kon de Catalyst 9800 WLC alleen worden bewaakt met SNMP via de Wireless Management Interface of via Redundancy Management Interface (in het geval van een stand-by WLC in HA-cluster op versies 17.5.1 en hoger). 

Via webinterface

SNMPv2c is een community-gebaseerde versie van SNMP en alle communicatie tussen de apparaten is in duidelijke tekst. SNMPv3 is de veiligste versie die berichtintegriteitscontroles, authenticatie en codering van de pakketten biedt. SNMPv1 is zeer verouderd, maar bestaat nog steeds om compatibiliteit met oudere software te bieden. Het wordt niet genoemd in dit artikel.

Belangrijk: SNMPv2c is standaard ingeschakeld met community "privé" met lees+schrijf-bevoegdheden en community "openbaar" met alleen-lezen-bevoegdheden. Het wordt aanbevolen om ze te verwijderen en een nieuwe community met een andere naam te maken.

Meld u aan bij de webinterface van de 9800 WLC. Onder Beheer > Beheer > SNMP zorgt u ervoor dat SNMP wereldwijd is ingeschakeld. Onder Community Strings worden alle momenteel geconfigureerde communities en hun machtigingsniveau weergegeven:

Voordat een SNMP V3-gebruiker wordt gemaakt, moet een SNMP V3-groep worden gedefinieerd. Als u een groep gebruikers wilt maken met lees+schrijf-machtiging, stelt u de leesweergave en schrijfweergave in op v1standaard. Alleen-lezen groep moet Schrijfweergave leeg hebben

Op het tabblad SNMP V3-gebruikers ziet u alle geconfigureerde gebruikers, hun bevoegdheden en protocollen die worden gebruikt voor verificatie en codering. Button New maakt het mogelijk om een nieuwe gebruiker aan te maken.

Er zijn 3 beveiligingsmodi beschikbaar:

1. AuthPriv = Berichten worden geverifieerd en gecodeerd
2. AuthNoPriv = Berichten zijn geverifieerd, maar niet versleuteld
3. NoAuthNoPriv = Geen beveiliging toegepast op berichten

Selecteer SHA als verificatieprotocol en ten minste AES-128 als privacyprotocol wordt aanbevolen.

Via opdrachtregel

SNMP kan ook worden geconfigureerd via de Command Line Interface (CLI). CLI biedt extra configuratieparameters, zoals de mogelijkheid om een toegangslijst toe te wijzen aan de v2-community of v3-gebruiker.

Voorbeeldconfiguratie van v2 read+write-community, v3 read+write-groep en v3-gebruiker die tot deze groep behoort:

snmp-server manager
snmp-server community  RW 
snmp-server community  RO 
snmp-server group  v3 auth write v1default
snmp-server user   v3 auth sha  priv aes 128  access 

Voorbeeld van een toegangslijst waarmee het apparaat alleen op IP-adres 192.168.10.10 de WLC v2-community met de naam "ReadWriteCommunity" kan bevragen:

ip access-list standard 50
 10 permit 192.168.10.10
 20 deny   any
snmp-server manager
snmp-server community ReadWriteCommunity RW 50

Opmerking: op het moment dat dit document wordt geschreven, worden alleen standaard ACL's ondersteund. Uitgebreide ACL's kunnen worden toegewezen, maar ze werken niet.

Objectnamen en object-ID's (OID's)

Wat zijn objectnamen en OID's?

Object ID's, of kortweg OID's, zijn unieke id's die een bepaalde variabele of object vertegenwoordigen. Het huidige processorgebruik wordt bijvoorbeeld beschouwd als variabele waarden die kunnen worden opgehaald met de aanroep van hun object-ID. Elke OID is uniek en geen twee kan hetzelfde zijn over de hele wereld, vergelijkbaar met een MAC-adres.

Deze identifiers volgen een boomhiërarchie en elke OID kan worden opgespoord tot de wortel. Elke leverancier heeft zijn eigen tak met een gemeenschappelijke wortel.
Een analogie zou een huisadres kunnen zijn, waar de wortel het land of de staat zou zijn, gevolgd door een postcode van de stad, de straat en uiteindelijk het huisnummer. 

De nummers gevolgd door een punt vertegenwoordigen elke stap die nodig is om een bepaald punt in die boom of tak te bereiken. 

Al deze waarden worden opgeslagen in een Management Information Base, of kortweg MIB, in elk netwerkapparaat. Elke identifier heeft een naam en een definitie (bereik van mogelijke waarden, type..).

Het laden van een MIB op uw SNMP-monitortool is niet vereist voor het gebruik van SNMP en het opvragen van een apparaat.

Zolang een geldige OID bekend is, reageert het apparaat met de waarde die is opgeslagen in de variabele die de OID vertegenwoordigt. Als u echter de MIB in uw querytool laadt, biedt dit het voordeel dat de objectnamen naar hun ID's worden vertaald en dat u hun beschrijving kunt kennen.

In dit voorbeeld zoekt de SNMP-tool de SNMP-agent van een apparaat naar de systeembeschrijving met behulp van de OID 1.3.6.1.2.1.1.1.0.

MIB's en lijst met alle objectnamen en -id's op Cisco WLC's

Cisco biedt Management Information Base (MIB's) voor 9800 WLC's. Het is niet gemakkelijk leesbaar, maar de MIB bevat alle beschikbare objectnamen en hun beschrijving.

Alle 9800-modellen (9800-80, 9800-40, 9800-L, 9800-CL, EWC) gebruiken dezelfde MIB die hier kan worden gedownload: https://cfnng.cisco.com/mibs

De meest recente is degene met de meest recente datum, niet degene met de naam van de hogere codeversie. 

Het gedownloade archiefbestand bevat meerdere .my-tekstbestanden die kunnen worden geïmporteerd in een SNMP-server van een derde partij of gewoon kunnen worden geopend met een teksteditor. Om de OID van een specifieke objectnaam te vinden, moet u eerst het exacte bestand vinden dat het bevat.

Alle objecten die betrekking hebben op het bewaken van de fysieke status van het apparaat (zoals CPU en geheugen) bevinden zich bijvoorbeeld in een MIB met de naam CISCO-PROCESS-MIB.my.

Hier is "cpmCPUMemoryUsed" de objectnaam die wordt gebruikt om de hoeveelheid geheugen te bieden die door de WLC in bytes wordt gebruikt. MIB-bestanden volgen allemaal dezelfde syntaxis. Informatie over het gebruikte geheugenobject ziet er als volgt uit:

cpmCPUMemoryUsed OBJECT-TYPE
    SYNTAX          Gauge32
    UNITS           "kilo-bytes"
    MAX-ACCESS      read-only
    STATUS          current
    DESCRIPTION
        "The overall CPU wide system memory which is currently
        under use." 
    ::= { cpmCPUTotalEntry 12 }

De meeste software van derden om te controleren is gebaseerd op OID's en niet op objectnamen. Vertaling tussen objectnaam en object-ID kan worden gedaan met behulp van het Cisco SNMP-objectnavigatieprogramma. 

Voer de objectnaam in de zoekbalk in. De uitvoer bevat de OID en een korte beschrijving. Bovendien kan dezelfde tool worden gebruikt om de objectnaam van de opgegeven OID te vinden.

Gebruik OID's om de status van WLC te bewaken

Na het verkrijgen van de OID van het object dat moet worden bewaakt, kan de eerste SNMP-query worden uitgevoerd.

Voorbeelden in dit hoofdstuk laten zien hoe u een WLC-vrij geheugen (OID = 1.3.6.1.4.1.9.9.48.1.1.1.5) kunt verkrijgen voor SNMPv2 community private en SNMPv3 user snmpadmin met SHA Auth wachtwoord Cisco123# en AES Privacy wachtwoord ingesteld op Cisco123#. De beheerinterface van de controller bevindt zich op 10.48.39.133.

Monitor via Snapwalk

Snapwalk is een SNMP-toepassing die SNMP GETNEXT-verzoeken gebruikt om een netwerkentiteit te bevragen naar een informatieboom. Het is standaard aanwezig op MacOS en de meeste Linux-distributies. Voor SNMPv2c volgt de opdracht de syntaxis:

snmpwalk -v2c -c   

Voorbeeld:

VAPEROVI:~ vaperovi$ snmpwalk -v2c -c private 10.48.39.133 1.3.6.1.4.1.9.9.109.1.1.1.1.12

SNMPv2-SMI::enterprises.9.9.109.1.1.1.1.12.2 = 3783236 <-------- Free Memory in Bytes

Als SNMPv3 wordt gebruikt, volgt de opdracht de syntaxis:

snmpwalk -v3 -l authPriv -u <username> -a [MD5|SHA] -A <auth_password> -x [AES|DES] -X <priv_password> <WLC_management_interface_ip> <OID>

Selecteer MD5/SHA en AES/DES op basis van hoe u de SNMPv3-gebruiker op de controller hebt gemaakt.

Voorbeeld:

VAPEROVI:~ vaperovi$ snmpwalk -v3  -l authPriv -u snmpadmin -a SHA -A Cisco123# -x AES -X Cisco123# 10.48.39.133 1.3.6.1.4.1.9.9.109.1.1.1.1.12
SNMPv2-SMI::enterprises.9.9.109.1.1.1.1.12.2 = 3783236 <-------- Free Memory in Bytes
#snmpwalk output still shows v2 even though v3 is used

Monitor via Python3 en Pysnmp Library

Codefragmenten zijn geschreven voor Python 3.9 en maken gebruik van de pysnmp-module (pip install pysnmp) om SNMP-query's te maken voor geheugengebruik van Catalyst 9800-CL WLC. Deze voorbeelden gebruiken dezelfde SNMPv2-community en SNMPv3-gebruiker die in een van de vorige hoofdstukken zijn gemaakt. Vervang eenvoudig de variabele waarden en integreer de code in uw eigen aangepaste scripts.

SNMPv2 voorbeeld:

from pysnmp.hlapi import *

communityName = 'private'
ipAddress = '10.48.39.133'
OID = '1.3.6.1.4.1.9.9.109.1.1.1.1.12'

for (errorIndication,
     errorStatus,
     errorIndex,
     varBinds) in nextCmd(SnmpEngine(), 
                          CommunityData(communityName),
                          UdpTransportTarget((ipAddress, 161)),
                          ContextData(),                                                           
                          ObjectType(ObjectIdentity(OID)),
                          lexicographicMode=False):

    if errorIndication:
        print(errorIndication)
    elif errorStatus:
        print('%s at %s' % (errorStatus.prettyPrint(),
                            errorIndex and varBinds[int(errorIndex) - 1][0] or '?'))
    else:
        for varBind in varBinds:
            print(' = '.join([x.prettyPrint() for x in varBind]))

Uitvoer afdrukken:

SNMPv2-SMI::enterprises.9.9.109.1.1.1.1.12.2 = 3783236

Voorbeeld SNMPv3:

from pysnmp.hlapi import *

username = 'snmpadmin'
ipAddress = '10.48.39.133'
OID = '1.3.6.1.4.1.9.9.109.1.1.1.1.12'
authKey = 'Cisco123#'
privKey = 'Cisco123#'

for (errorIndication,
     errorStatus,
     errorIndex,
     varBinds) in nextCmd(SnmpEngine(), 
                          UsmUserData(username, authKey, privKey,
                                       authProtocol=usmHMACSHAAuthProtocol,
                                       privProtocol=usmAesCfb128Protocol),
                          UdpTransportTarget((ipAddress, 161)),
                          ContextData(),                                                           
                          ObjectType(ObjectIdentity(OID)),
                          lexicographicMode=False):

    if errorIndication:
        print(errorIndication)
    elif errorStatus:
        print('%s at %s' % (errorStatus.prettyPrint(),
                            errorIndex and varBinds[int(errorIndex) - 1][0] or '?'))
    else:
        for varBind in varBinds:
            print(' = '.join([x.prettyPrint() for x in varBind]))

Integratie met software van derden (Grafana+Prometheus/PRTG Network Monitor/SolarWinds)

Cisco Prime Infrastructure biedt de mogelijkheid om meerdere netwerkapparaten, waaronder draadloze controllers, eenvoudig te bewaken en configureren.

Prime Infrastructure wordt geleverd met alle OID's en integratie met WLC bestaat simpelweg uit de toevoeging van de WLC-referenties aan Prime. Met 9800 WLC's vertrouwt Prime meestal op telemetrie om de meeste details van de WLC te verzamelen, terwijl het kleine deel van de informatie wordt verkregen via SNMP.

Aan de andere kant kan Cisco WLC ook worden geïntegreerd met meerdere 3rd party-oplossingen voor monitoren, zolang de OID's bekend zijn.

Programma's zoals Grafana+Prometheus, PRTG Network monitor en SolarWinds server maken het mogelijk om MIB's of OID's te importeren en waarden weer te geven in een gebruiksvriendelijke grafiek.

Deze integratie kan enkele aanpassingen aan de SNMP-serverzijde vereisen. In dit voorbeeld wordt de PRTG-monitorserver geleverd met de CPU-gebruiks-OID per core die de string "0%/1%, 1%/1%, 0%/1%, 0%/1%" retourneert. PRTG verwacht een integer waarde en verhoogt een fout.

Integratie met CUCM

Cisco Unified Communications Manager (CUCM) heeft een functie voor het traceren van draadloze eindpunten waarmee de locatie van de client ongeveer kan worden gevolgd op basis van het toegangspunt waarmee de client is verbonden. Om deze functie te laten werken, moet de CUCM informatie uit de WLC halen via SNMP-query's.

Belangrijk: veel CUCM-releases worden beïnvloed door de Cisco-bug-ID CSCvv07486 - Toegangspunten in WLC kunnen niet worden gesynchroniseerd vanwege te grote SNMP-verzoeken. Dit probleem wordt veroorzaakt in situaties waarin CUCM een getroffen release uitvoert en WLC meer dan 10 toegangspunten heeft. Vanwege de onjuiste manier waarop CUCM een grote hoeveelheid OID's in een enkele bulkaanvraag opvraagt, weigert de WLC te antwoorden of antwoordt met een te grote reactie. De tooBig-reactie wordt niet altijd onmiddellijk verzonden en kan worden uitgesteld. SNMP-fouten op WLC afdrukken "SNMP: pakket ontvangen via UDP van x.x.x.x op VlanXXSrParseV1SnmpMessage: pakket is te groot SrDoSnmp: ASN Parse Error".

Tabel van de meest frequent gemonitorde OID’s

De tabel bevat enkele van de meest voorkomende objectnamen en hun OID's, met de overweging dat MIB's de gegevens in een niet-gebruikersvriendelijke syntaxis presenteren:

Opmerking: met de opdracht "show snmp mib | in <Objectnaam>" kunt u controleren of een bepaalde objectnaam beschikbaar is op 9800 WLC.

Momenteel zijn er verbeteringsverzoeken open om OID's van het totale aantal clients en het aantal aangesloten toegangspunten te ondersteunen:

Cisco bug ID CSCvu26309 - SNMP OID voor aantal clients niet aanwezig op 9800

De status van de voedingseenheid (PSU) en de ventilatorstatus worden niet ondersteund op het moment dat dit artikel wordt geschreven. Aanvraag voor verbetering is geopend:
Cisco bug ID CSCwa23598 - 9800 WLC Enhancement / Ondersteuning voor PSU en ventilatorstatus SNMP OID (1.3.6.1.4.1.9.9.13) 

Monitor standby WLC in HA

Het bewaken van een stand-by WLC in High Availability-cluster is alleen mogelijk vanaf versie 17.5.1. Standby WLC kan rechtstreeks worden gecontroleerd via RMI of met de query van de actieve WLC.

Monitor standby WLC direct

Standby WLC kan alleen rechtstreeks worden bewaakt als WLC's worden uitgevoerd in RMI + RP HA-type. Dit gebeurt via het standby Redundancy Management Interface (RMI) IP-adres van de standby WLC.

In dit scenario worden alleen OID's van IF-MIB officieel ondersteund, waardoor het alleen mogelijk is om de status van alle interfaces op de stand-by WLC te bewaken. Voorbeelduitvoer van 9800-CL WLC:

Opmerking: naar verwachting bevindt de stand-by WLC Gig 2-poort (trunkpoort die wordt gebruikt voor verkeersschakelingen) zich in de afsluittoestand. Zodra failover optreedt, verschijnt de Gig 2-poort op de standby WLC. Hetzelfde gebeurt met TenGigabit-poorten op 9800 fysieke apparaten (9800-80, 9800-40 en 9800-CL).

Monitor stand-by WLC via Active WLC

De stand-by WLC-status kan ook worden gecontroleerd met de query naar de actieve WLC. Alleen CISCO-LWAPP-HA-MIB en CISCO-PROCESS-MIB MIBs worden officieel ondersteund. Wanneer actieve WLC in HA wordt gevraagd, vertegenwoordigt de eerste respons de waarde van de actieve WLC, terwijl de tweede respons de waarde van de standby WLC vertegenwoordigt.