Usando o SNMP com PIX/ASA dos dispositivos de segurança

Opções de download

PDF (249.1 KB)
Ver no Adobe Reader em vários dispositivos
ePub (117.4 KB)
Ver em vários aplicativos no iPhone, iPad, Android, Sony Reader ou Windows Phone
Mobi (Kindle) (167.6 KB)
Ver no dispositivo Kindle ou no aplicativo Kindle em vários dispositivos

Atualizado:29 de dezembro de 2006

ID do documento:13822

Linguagem imparcial

O conjunto de documentação deste produto faz o possível para usar uma linguagem imparcial. Para os fins deste conjunto de documentação, a imparcialidade é definida como uma linguagem que não implica em discriminação baseada em idade, deficiência, gênero, identidade racial, identidade étnica, orientação sexual, status socioeconômico e interseccionalidade. Pode haver exceções na documentação devido à linguagem codificada nas interfaces de usuário do software do produto, linguagem usada com base na documentação de RFP ou linguagem usada por um produto de terceiros referenciado. Saiba mais sobre como a Cisco está usando a linguagem inclusiva.

Sobre esta tradução

A Cisco traduziu este documento com a ajuda de tecnologias de tradução automática e humana para oferecer conteúdo de suporte aos seus usuários no seu próprio idioma, independentemente da localização. Observe que mesmo a melhor tradução automática não será tão precisa quanto as realizadas por um tradutor profissional. A Cisco Systems, Inc. não se responsabiliza pela precisão destas traduções e recomenda que o documento original em inglês (link fornecido) seja sempre consultado.

Introduction

Prerequisites

Requirements

Componentes Utilizados

Produtos Relacionados

Conventions

SNMP através do PIX/ASA

Armadilhas de fora para dentro

Armadilhas de dentro para fora

Controlando de fora para dentro

Controlando de dentro para fora

SNMP para PIX/ASA

Suporte de MIB por versão

Ativando o SNMP no PIX/ASA

SNMP para PIX/ASA - Pesquisa

SNMP para PIX/ASA - Armadilhas

Problemas de SNMP

Descoberta PIX

Descubra os dispositivos dentro do PIX

Descobrir dispositivos fora do PIX

snmpwalk de PIX versão 6.2

Informações a serem coletadas se você abrir um caso de TAC

Informações Relacionadas

Introduction

É possível monitorar os eventos do sistema no PIX usando o SNMP (Protocolo simples de gestão de rede). Este documento descreve como usar o SNMP com o PIX, que inclui:

Comandos para executar o SNMP através do PIX ou para o PIX
Amostra do PIX
Suporte à Base de Informações de Gerenciamento (MIB - Management Information Base) no software PIX versão 4.0 e posterior
Níveis de armadilhas
exemplos de nível de gravidade syslog
Problemas no descobrimento de dispositivos PIX e SNMP

Observação: a porta para snmpget/snmpwalk é UDP/161. A porta para interceptações SNMP é UDP/162.

Prerequisites

Requirements

Não existem requisitos específicos para este documento.

Componentes Utilizados

As informações neste documento são baseadas no Cisco Secure PIX Firewall Software Release 4.0 e posteriores.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Produtos Relacionados

Essa configuração também pode ser usada com o Cisco Adaptive Security Appliance (ASA) versão 7.x.

Conventions

Algumas linhas de saída e dados de registro deste documento foram retornadas por considerações de espaço.

Consulte as Convenções de Dicas Técnicas da Cisco para obter mais informações sobre convenções de documentos.

SNMP através do PIX/ASA

Armadilhas de fora para dentro

Para permitir armadilhas de 50.50.50.50 a 10.10.10.10:

 conduit permit udp host 50.50.50.75 eq snmptrap host 50.50.50.50
 static (inside,outside) 50.50.50.75 10.10.10.10 netmask 255.255.255.255 0 0

Se você usa listas de controle de acesso (ACLs), disponíveis no PIX 5.0 e posteriores, em vez de conduítes:

access-list Inbound permit udp host 50.50.50.50 host 50.50.50.75 eq snmptrap 
access-group Inbound in interface outside

O PIX mostra:

302005: Built UDP connection for faddr 50.50.50.50/2388 
   gaddr 50.50.50.75/162 laddr 10.10.10.10/162

Armadilhas de dentro para fora

Por padrão, o tráfego de saída é permitido (na falta de listas de saída), e o PIX mostra:

305002: Translation built for gaddr 50.50.50.80 to laddr 10.31.1.5
302005: Built UDP connection for faddr 50.50.50.50/162 
   gaddr 50.50.50.80/2982 laddr 10.31.1.5/2982

Controlando de fora para dentro

Para permitir a pesquisa de 171.68.118.118 para 10.10.10.20:

static (inside,outside) 171.68.118.150 10.10.10.20 netmask 255.255.255.255 0 0
conduit permit udp host 171.68.118.150 eq snmp host 171.68.118.118

Se você usa ACLs, disponíveis no PIX 5.0 e posteriores, em vez de conduítes:

access-list Inbound permit udp host 171.68.118.118 host 171.68.118.150 eq snmp 
access-group Inbound in interface outside

Controlando de dentro para fora

Por padrão, o tráfego de saída é permitido (na falta de listas de saída), e o PIX mostra:

305002: Translation built for gaddr 99.99.99.11 to laddr 172.18.124.115
302005: Built UDP connection for faddr 99.99.99.5/161
   gaddr 99.99.99.11/36086 laddr 172.18.124.115/36086

SNMP para PIX/ASA

Suporte de MIB por versão

Estas são as versões do suporte MIB no PIX:

Software PIX Firewall versões 4.0 a 5.1—Grupo de sistemas e interfaces de MIB-II (consulte RFC 1213 ) mas não os grupos AT, ICMP, TCP, UDP, EGP, transmissão, IP ou SNMP CISCO-SYSLOG-MIB-V1SMI.my.
Software PIX Firewall versões 5.1.x e posteriores—MIBs anteriores e CISCO-MEMORY-POOL-MIB.my e a filial cfwSystem do CISCO-FIREWALL-MIB.my.
Software PIX Firewall versões 5.2.x e posteriores — MIBs anteriores e a ipAddrTable do grupo IP.
Software PIX Firewall versões 6.0.x e posteriores — MIBs anteriores e modificação do OID MIB-II para identificar PIX por modelo (e habilitar o suporte ao CiscoView 5.2). Os novos identificadores de objeto (OIDs) são encontrados no CISCO-PRODUC-MIB; por exemplo, o PIX 515 tem o OID 1.3.6.1.4.1.9.1.390.
Software PIX Firewall versões 6.2.x e posteriores—MIBs anteriores e CISCO-PROCESS-MIB-V1SMI.my.
Software PIX/ASA versão 7.x—MIBs e IF-MIB anteriores, SNMPv2-MIB, ENTITY-MIB, CISCO-REMOTE-ACCESS-MONITOR-MIB, CISCO-CRYPTO-ACCELERATOR-MIB, ALTIGA-GLOBAL-REG .

Observação: a seção suportada do MIB PROCESS é a filial cpmCPUTotalTable da filial cpmCPU da filial ciscoProcessMIBObjects. Não há suporte para os produtos ciscoProcessMIBNotifications, ciscoProcessMIBconformance ou para as duas tabelas, cpmProcessTable e cpmProcessExtTable, no produto cpmProcess do produto ciscoProcessMIBObjects do MIB.

Ativando o SNMP no PIX/ASA

Emita estes comandos para permitir pesquisas/consultas e armadilhas no PIX:

snmp-server host #.#.#.#

!--- IP address of the host allowed to poll !--- and where to send traps.

snmp-server community <whatever>
snmp-server enable traps

As versões do software PIX 6.0.x e mais recentes permitem maior granularidade com relação a armadilhas e consultas.

snmp-server host #.#.#.#

!--- The host is to be sent traps and can query.

snmp-server host #.#.#.# trap 

!--- The host is to be sent traps and cannot query.

snmp-server host #.#.#.# poll 

!--- The host can query but is not to be sent traps.

As versões 7.x do software PIX/ASA permitem mais granularidade em relação a armadilhas e consultas.

hostname(config)#snmp-server host <interface_name> <ip_address> trap 
               community <community string>

!--- The host is to be sent traps and cannot query !--- with community string specified.

hostname(config)#snmp-server host <interface_name> <ip_address> poll 
               community <community string>

!--- The host can query but is not to be sent traps !--- with community string specified.

Observação: especifique interceptação ou pesquisa se quiser limitar o NMS a receber apenas interceptações ou navegação (pesquisa). Por padrão, o NMS pode usar ambas as funções.

As interceptações SNMP (traps) são enviadas na porta UDP 162 por padrão. Você pode alterar o número da porta com a palavra-chave udp-port.

SNMP para PIX/ASA - Pesquisa

As variáveis que o PIX retorna dependem do suporte de mib na versão. Um exemplo de saída de um snmpwalk de um PIX executado6.2.1 está no final deste documento. As versões anteriores do software retornam somente os valores de mib anotados anteriormente.

SNMP para PIX/ASA - Armadilhas

Observação: um OID SNMP para PIX Firewall é exibido em interceptações de eventos SNMP enviadas do PIX Firewall. O OID 1.3.6.1.4.1.9.1.227 foi usado como o OID do sistema do PIX Firewall até a versão 6.0 do software PIX. Os novos OIDs específicos para o modelo são encontrados no CISCO-PRODUCTS-MIB.

Emita estes comandos para ativar as interceptações no PIX:

snmp-server host #.#.#.#

!--- IP address of the host allowed to do queries !--- and where to send traps.

snmp-server community 
      
      
        snmp-server enable traps

Traps Versão 4.0 Até 5.1

Ao usar o PIX Software 4.0 e posterior, você pode gerar estas armadilhas:

cold start = 1.3.6.1.6.3.1.1.5.1
link_up = 1.3.6.1.6.3.1.1.5.4
link_down = 1.3.6.1.6.3.1.1.5.3
syslog trap (clogMessageGenerated) = 1.3.6.1.4.1.9.9.41.2.0.1

Alterações de armadilha (PIX 5.1)

No software PIX versão 5.1.1 e posterior, os níveis de interceptação (trapping) são separados dos níveis de syslog para as interceptações de syslog. O PIX ainda envia armadilhas de syslog, mas mais granularidade pode ser configurada. Este exemplo de arquivo raw trapd.log (e este é o mesmo para o HP OpenView [HPOV] ou Netview) incluiu 3 armadilhas de link_up e 9 armadilhas de syslog, com 7 IDs de syslog diferentes: 101003, 104001, 111005, 111007, 199002, 302005, 305002.

Exemplo de trapd.log

952376318 1 Mon Mar 06 15:58:38 2000 10.31.1.150 - 1=20 2=7 
   3=Syslog Trap 4=199002: 
PIX startup completed. Beginning operation. 5=0;1 .1.3.6.1.4.1.9.9.4 1.2.0.1 0

952376318 1 Mon Mar 06 15:58:38 [10.31.1.150.2.2] %PIX-1-104001: (Secondary) 
Switching to ACTIVE - no failover cable.

952376332 1 Mon Mar 06 15:58:52 2000 10.31.1.150 - 1=20 2=2 
   3=Syslog Trap 4=101003: (Secondary) Failover cable not connected (this unit) 
   5=1400;1 .1.3.6.1.4.1.9.9.41.2.0.1 0

952376332 1 Mon Mar 06 15:58:52 [10.31.1.150.2.2] %PIX-1-101003: (Secondary) 
Failover cable not connected (this unit)

952376345 1 Mon Mar 06 15:59:05 2000 10.31.1.150 - 1=20 2=7 
   3=Syslog Trap 4=305002: 
Translation built for gaddr 50.50.50.75 to laddr 171.68.118.118 5=2800;1 
.1.3.6.1.4.1.9.9.41.2.0.1 0

952376345 1 Mon Mar 06 15:59:05 2000 10.31.1.150 - 1=20 2=7 
   3=Syslog Trap 4=302005: Built UDP connection for faddr 50.50.50.50/2388 
   gaddr 50.50.50.75/162 laddr 171.68.118.118/162 
   5=2800;1 .1.3.6.1.4.1.9.9.41.2.0.1 0

952376347 1 Mon Mar 06 15:59:07 2000 10.31.1.150 - Agent Interface Up (linkUp 
Trap) enterprise:ENTERPRISES.9.1.227 (.1.3.6.1.4.1.9.1.227) on interface 1;1 
.1.3.6.1.6.3.1.1.5.4.1.3.6.1.4.1.9.1.227 0

952376347 1 Mon Mar 06 15:59:07 2000 10.31.1.150 - Agent Interface Up (linkUp 
Trap) enterprise:ENTERPRISES.9.1.227 (.1.3.6.1.4.1.9.1.227) on interface 2;1 
.1.3.6.1.6.3.1.1.5.4.1.3.6.1.4.1.9.1.227 0

952376347 1 Mon Mar 06 15:59:07 2000 10.31.1.150 - Agent Interface Up (linkUp 
Trap) enterprise:ENTERPRISES.9.1.227 (.1.3.6.1.4.1.9.1.227) on interface 3;1 
.1.3.6.1.6.3.1.1.5.4.1.3.6.1.4.1.9.1.227 0

952376360 1 Mon Mar 06 15:59:20 2000 10.31.1.150 - 1=20 2=6 
   3=Syslog Trap 4=111007: Begin configuration: console reading from terminal 
   5=4200;1 .1.3.6.1.4.1.9.9.41.2.0.1 0

952376365 1 Mon Mar 06 15:59:25 2000 10.31.1.150 - 1=20 2=6 
   3=Syslog Trap 4=111005: console end configuration: OK 
   5=4700;1 .1.3.6.1.4.1.9.9.41.2.0.1 0

Descrição de cada interceptação - trapd.log

199002 (syslog)
4=199002: PIX startup completed. Beginning operation. 
5=0;1 .1.3.6.1.4.1.9.9.41.2.0.1 0



104001 (syslog)
Mar 6 15:58:38 [10.31.1.150.2.2] %PIX-1-104001: (Secondary) 
Switching to ACTIVE - no failover cable.


101003 (syslog)
952376332 1 Mon Mar 06 15:58:52 2000 10.31.1.150 - 1=20 2=2 
   3=Syslog Trap 4=101003: (Secondary) Failover cable not connected (this unit) 
   5=1400;1 .1.3.6.1.4.1.9.9.41.2.0.1 0


101003 (syslog)
Mar 6 15:58:52 [10.31.1.150.2.2] %PIX-1-101003: (Secondary) Failover cable not 
connected (this unit)


305002 (syslog)
952376345 1 Mon Mar 06 15:59:05 2000 10.31.1.150 - 1=20 2=7 
   3=Syslog Trap 4=305002: Translation built for gaddr 50.50.50.75 
   to laddr 171.68.118.118 5=2800;1 .1.3.6.1.4.1.9.9.41.2.0.1 0


302005 (syslog)
952376345 1 Mon Mar 06 15:59:05 2000 10.31.1.150 - 1=20 2=7 
   3=Syslog Trap 4=302005: Built UDP connection for faddr 50.50.50.50/2388 
   gaddr 50.50.50.75/162 laddr 171.68.118.118/162 
   5=2800;1 .1.3.6.1.4.1.9.9.41.2.0.1 0


Linkup (linkup)
952376347 1 Mon Mar 06 15:59:07 2000 10.31.1.150 - Agent Interface Up (linkUp 
Trap) enterprise:ENTERPRISES.9.1.227 (.1.3.6.1.4.1.9.1.227) on interface 1;1 
.1.3.6.1.6.3.1.1.5.4.1.3.6.1.4.1.9.1.227 0


Linkup (linkup)
952376347 1 Mon Mar 06 15:59:07 2000 10.31.1.150 - Agent Interface Up (linkUp 
Trap) enterprise:ENTERPRISES.9.1.227 (.1.3.6.1.4.1.9.1.227) on interface 2;1 
.1.3.6.1.6.3.1.1.5.4.1.3.6.1.4.1.9.1.227 0


Linkup (linkup)
952376347 1 Mon Mar 06 15:59:07 2000 10.31.1.150 - Agent Interface Up (linkUp 
Trap) enterprise:ENTERPRISES.9.1.227 (.1.3.6.1.4.1.9.1.227) on interface 3;1 
.1.3.6.1.6.3.1.1.5.4.1.3.6.1.4.1.9.1.227 0


Linkup (syslog)
952376360 1 Mon Mar 06 15:59:20 2000 10.31.1.150 - 1=20 2=6 
   3=Syslog Trap 4=111007: Begin configuration: console reading from terminal 
   5=4200;1 .1.3.6.1.4.1.9.9.41.2.0.1 0


111007 (syslog)
952376360 1 Mon Mar 06 15:59:20 2000 10.31.1.150 - 1=20 2=6 
   3=Syslog Trap 4=111007: Begin configuration: console reading from terminal 
   5=4200;1 .1.3.6.1.4.1.9.9.41.2.0.1 0


111005 (syslog)
952376365 1 Mon Mar 06 15:59:25 2000 10.31.1.150 - 1=20 2=6 
   3=Syslog Trap 4=111005: console end configuration: OK 
   5=4700;1 .1.3.6.1.4.1.9.9.41.2.0.1 0

Exemplos de Nível de Gravidade syslog

Eles são reproduzidos com base na documentação para ilustrar as sete mensagens.

Alert:
  %PIX-1-101003:(Primary) failover cable not connected (this unit)
  %PIX-1-104001:(Primary) Switching to ACTIVE (cause:reason)
  Notification:
  %PIX-5-111005:IP_addr end configuration: OK
  %PIX-5-111007:Begin configuration: IP_addr reading from device.
  Informational:
  %PIX-6-305002:Translation built for gaddr IP_addr to laddr IP_addr
  %PIX-6-302005:Built UDP connection for faddr faddr/fport gaddr gaddr/gport 
     laddr laddr/lport
  %PIX-6-199002:Auth from laddr/lport to faddr/fport failed 
     (server IP addr failed) in interface int name.