在ACI中配置SNMP

简介

本文档介绍在ACI中配置简单网络管理协议(SNMP)和SNMP陷阱。

先决条件

要求

Cisco 建议您了解以下主题：

• 交换矩阵发现已完成。
• 与应用策略基础设施控制器(APIC)和交换矩阵交换机的带内/带外连接。
• 带内/带外合同配置为允许SNMP流量（UDP端口161和162），
• 在默认管理租户下为APIC和交换矩阵交换机配置的静态节点管理地址（如果不这样做，从APIC提取SNMP信息失败），
• 了解SNMP协议工作流程，

使用的组件

本文档中的信息基于以下软件和硬件版本：

• APIC
• 浏览器
• 运行5.2(8e)的以应用为中心的基础设施(ACI)
• Snmpwalk命令

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

配置

思科ACI提供SNMPv1、v2c和v3支持，包括管理信息库(MIB)和通知（陷阱）。 SNMP标准允许支持不同MIB的任何第三方应用管理和监控ACI枝叶和主干交换机以及APIC控制器。但是，ACI不支持SNMP write命令(Set)。

SNMP策略在枝叶和主干交换机以及APIC控制器上独立应用和运行。由于每个ACI设备都有自己的SNMP实体(即APIC集群中的多个APIC)，因此必须单独监控该设备以及交换机。但是，SNMP策略源创建为整个ACI交换矩阵的监控策略。

默认情况下，SNMP使用UDPport 161进行轮询，使用端口162进行TRAP。

了解SNMP范围

ACI中SNMP的一个快速基本概念是可以从两个范围提取SNMP信息：
1.全球
2.虚拟路由和转发(VRF)情景

Global Scope是拉取机箱MIB，例如枝叶/主干节点的接口数、接口索引、接口名称、接口状态等。

特定于MIB的VRF Context Scope提取特定于VRF的信息，例如IP地址和路由协议信息。

Cisco ACI MIB Support List中提供了受支持的APIC和交换矩阵交换机全局和VRF情景MIB的完整列表。

配置步骤（适用于全局和VRF情景范围）

步骤1.配置SNMP交换矩阵策略

配置SNMP的第一步是创建必要的SNMP交换矩阵策略。要创建SNMP交换矩阵策略，请导航至APIC Web GUI路径；Fabric > Fabric Policies > Policies > Pod > SNMP.

您可以创建新的SNMP策略或修改默认SNMP策略。

在文档中，SNMP策略称为New-SNMP，使用SNMP版本v2c，仅需要社区策略和客户端组策略字段。

Community Policy Name字段定义要使用的SNMP社区字符串。在本例中，New-1和您可以看到这两个社区字符串在后面进入的位置。

Name:SNMP策略的名称（此名称可以是1到64个字母数字字符）。

说明：SNMP策略的说明（说明可以是0到128个字母数字字符）。

Admin State:SNMP策略的管理状态(状态可以启用或禁用，状态为：

• 已启用：管理员状态已启用。

• 禁用:  管理员状态已禁用。

• 默认值为disabled。

联系人:SNMP策略的联系人信息。

Location:SNMP策略的位置。

SNMP v3 Users:SNMP用户配置文件用于将用户与SNMP策略相关联，用于监控网络中的设备。

社区策略：SNMP社区配置文件允许访问路由器或交换机统计信息以进行监控。

客户端组策略：

下一步是添加客户端组策略/配置文件。客户端组策略/配置文件的目的是定义哪些IP/子网可以从APIC和交换矩阵交换机提取SNMP数据：

Name：客户端组配置文件的名称（此名称可以是1到64个字母数字字符）。

Description：客户端组配置文件的说明（说明可以是0到128个字母数字字符）。

关联管理终端组(EPG):可通过其访问VRF的终端组的可分辨名称。

• 支持的最大字符串长度为255个ASCII字符。默认为管理租户带外管理访问EPG。

Client Entries:SNMP客户端配置文件IP地址。

在文档中，客户端组策略/配置文件称为新客户端。

在Client Group Policy/Profile中，您必须关联首选的管理EPG。您必须确保您选择的管理EPG具有允许SNMP流量（UDP端口161和162）的必要合同。

• 文档中使用了默认的带外管理EPG进行演示。

最后一步是定义Client条目以允许特定IP或整个子网访问提取ACI SNMP数据。有一个用于定义特定IP或整个子网的语法：

• 特定主机IP:192.168.1.5
• 整个子网：192.168.1.0/24

步骤2.将SNMP策略应用于Pod策略组（交换矩阵策略组）

要应用此配置，请导航至APIC Web GUI路径；Fabric > Fabric Policies > Pods > Policy Groups > POD_POLICY_GROUP（文档中的默认值）。

在右侧窗格中，您可以看到SNMP Policy字段。从下拉菜单中，选择新创建的SNMP策略并提交更改。

步骤3.将Pod策略组与Pod配置文件关联

在本文档中，为简单起见，请使用默认Pod配置文件。为此，请导航至APIC Web GUI路径；Fabric > Fabric Policies > Pods > Profiles > POD_PROFILE（文档中的默认值）。

在此阶段，配置全局MIB的基本SNMP。

步骤4.配置VRF环境范围

一旦将社区字符串关联到VRF情景，该特定社区字符串将无法用于提取全局范围SNMP数据。如果您希望提取全局范围和VRF情景SNMP数据，则需要创建两个SNMP社区字符串。

在本例中，之前创建的社区字符串（在第1步中），即(New-1)，在示例中将New-1用于VRF上下文范围和VRF-1自定义VRF自定义租户。导航至APIC Web GUI路径；Tenants > Example > Networking > VRFs > VRF-1(right click) > Create SNMP Context。

提交配置后，请通过左键点击VRF、导航到VRF上的Policy选项卡并向下滚动至窗格底部来验证应用的SNMP情景配置：

要在VRF上禁用SNMP情景，请取消选中Create SNMP Context复选框（显示在屏幕截图中），或者右击VRF并选择Delete SNMP Context。

使用GUI配置SNMP陷阱

SNMP TRAP无需轮询即可发送到SNMP服务器(SNMP目标/网络管理系统(NMS))，一旦发生故障/事件（已定义的条件），ACI节点/APIC就会发送SNMP TRAP。

SNMP陷阱基于访问/交换矩阵/租户监控策略下的策略范围启用。ACI最多支持10个陷阱接收器。

要在ACI中配置SNMP TRAP，除了上节中的步骤1、2和3外，还必须使用这两个步骤。

步骤1.配置SNMP TRAP服务器

导航至APIC Web GUI路径；Admin > Eternal Data Collectors > Monitoring Destinations > SNMP。

主机名/IP:SNMP陷阱目标的主机。

端口：SNMP陷阱目标的服务端口(范围为0（未指定）至65535;默认值为162)。

版本：SNMP陷阱目标支持的CDP版本。版本可以是：

• v1:使用社区字符串匹配进行用户身份验证。

• v2c:使用社区字符串匹配进行用户身份验证。

• v3:一种用于网络管理的可互操作的、基于标准的协议，通过结合身份验证和加密网络上的帧，提供对设备的安全访问。

默认isv2c。

Security Name:SNMP陷阱目标安全名称(社区名称；并且不能包含@符号)。

v.3安全级别:SNMP目标路径的SNMPv3安全级别。级别可以是：

• auth

• noauth

• priv

默认值为noauth。

管理EPG:用于访问远程主机的SNMP目标的管理终端组的名称。

步骤2.在（访问/交换矩阵/租户）监控策略下配置SNMP TRAP源

您可以使用以下三个范围创建监控策略：

• 接入:接入端口、FEX、虚拟机控制器。
• 交换矩阵：交换矩阵端口、卡、机箱、风扇。

• 租户：- EPG、应用配置文件、服务。

选项1.在Access Policies下定义SNMP源

导航至APIC Web GUI路径；Fabric > Access Polices > Polices >  Monitoring > Default > Callhome/Smart Callhome/SNMP/Syslog/TACACS.

选项2.在“交换矩阵策略”下定义SNMP源

导航至APIC Web GUI路径；Fabric > Fabric Polices > Polices >  Monitoring > Default > Callhome/Smart Callhome/SNMP/Syslog/TACACS.

选项3.在“租户策略”下定义SNMP源

导航至APIC Web GUI路径；Tenant > (Tenant Name) > Polices > Monitoring > (Custom monitoring policy) > Callhome/Smart Callhome/SNMP/Syslog/TACACS.

验证

使用snmpwalk命令进行验证

首先，观察从枝叶交换机的全局范围中提取SNMP数据。运行snmpwalk命令可以做到这一点； snmpwalk -v 2c -c New-1 x.x.x.x

snmpwalk =安装在MacOS/Linux/Windows上的snmpwalk可执行文件
-v =指定要使用的SNMP版本
2c=指定使用SNMP版本2c
-c=指定特定社区字符串
New-1=社区字符串用于提取全局范围SNMP数据
x.x.x.x=我的枝叶交换机的带外管理IP地址

命令结果：

$ snmpwalk -v 2c -c New-1 x.x.x.x
SNMPv2-MIB::sysDescr.0 = STRING: Cisco NX-OS(tm) aci, Software (aci-n9000-system), Version 15.2(8e), RELEASE SOFTWARE Copyright (c) 2002-2015 by Cisco Systems, Inc. Compiled 2018/07/26 09:34:42
SNMPv2-MIB::sysObjectID.0 = OID: SNMPv2-SMI::enterprises.9.12.3.1.3.1626
DISMAN-EVENT-MIB::sysUpTimeInstance = Timeticks: (45013216) 5 days, 5:02:12.16
SNMPv2-MIB::sysContact.0 = STRING:
SNMPv2-MIB::sysName.0 = STRING: leaf1
SNMPv2-MIB::sysLocation.0 = STRING:
SNMPv2-MIB::sysServices.0 = INTEGER: 70
SNMPv2-MIB::sysORLastChange.0 = Timeticks: (3) 0:00:00.03
SNMPv2-MIB::sysORID.1 = OID: SNMPv2-MIB::snmpMIB
SNMPv2-MIB::sysORID.2 = OID: SNMP-VIEW-BASED-ACM-MIB::vacmBasicGroup
SNMPv2-MIB::sysORID.3 = OID: SNMP-FRAMEWORK-MIB::snmpFrameworkMIBCompliance
SNMPv2-MIB::sysORID.4 = OID: SNMP-MPD-MIB::snmpMPDCompliance
SNMPv2-MIB::sysORID.5 = OID: SNMP-USER-BASED-SM-MIB::usmMIBCompliance
SNMPv2-MIB::sysORDescr.1 = STRING: The MIB module for SNMPv2 entities
SNMPv2-MIB::sysORDescr.2 = STRING: View-based Access Control Model for SNMP.
SNMPv2-MIB::sysORDescr.3 = STRING: The SNMP Management Architecture MIB.
SNMPv2-MIB::sysORDescr.4 = STRING: The MIB for Message Processing and Dispatching.
SNMPv2-MIB::sysORDescr.5 = STRING: The management information definitions for the SNMP User-based Security Model.

在截取的命令输出中，snmpwalk成功且提取了特定于硬件的信息。如果让snmpwalk继续，您将看到硬件接口名称、说明等。

现在，请继续检索VRF情景SNMP数据，之前创建的SNMP情景，New-VRF-SNMP，用于使用SNMP社区字符串New-1。由于使用的是相同的社区字符串，因此在两个不同的SNMP情景中，必须指定要从哪个SNMP情景中提取SNMP数据。您还必须使用snmpwalk语法来指定特定SNMP情景； snmpwalk -v 2c -c New-1@New-VrF-SNMP 10.x.x.x

您可以看到，要从特定SNMP情景中提取，请使用以下格式：

使用CLI Show命令

在APIC上：

show snmp
show snmp policy 
show snmp summary
show snmp clientgroups
show snmp community
show snmp hosts
show snmp engineid

在交换机上：

show snmp
show snmp | grep "SNMP packets"
show snmp summary
show snmp community
show snmp host
show snmp engineID
show snmp context
show snmp user
show snmp internal dump-internal-log
show snmp internal globals
show snmp internal trace log

使用CLI Moquery命令

在APIC/交换机上：

moquery -c snmpGroup         #The SNMP destination group, which contains information needed to send traps or informs to a set of destinations. 
moquery -c snmpTrapDest      #A destination to which traps and informs are sent.
moquery -c snmpRtDestGroup   #A target relation to SNMP destination group. This group contains information needed to send traps or informs to a set of destinations.
moquery -c snmpPol           #The SNMP policy, which enables you to monitor client group, v3 user, and/or community SNMP policies. 
moquery -c snmpClientGrpP    #A client group, which is a group of client IP addresses that allows SNMP access to routers or switches.
moquery -c snmpCommunityP    #The SNMP community profile, which enables access to the router or switch statistics for monitoring. 
moquery -c snmpRtSnmpPol     #A target relation to an SNMP policy that contains site information and general protocol configuration parameters. Note that this relation is an internal object.
moquery -c snmpClientP       #The client profile information.
moquery -c snmpRsEpg         #A source relation to the endpoint group VRF through which the clients can connect. The VRF is an in-band or out of-band management endpoint.
moquery -c snmpSrc           #The SNMP source profile, which determines the fault information, severity level, and destination for sending messages to the SNMP destination. 
moquery -c snmpCtxP          #The SNMP context profile, which enables you to specify a context to monitor with a community profile.

使用CLI Cat命令

在APIC上：

cat /aci/tenants/mgmt/security-policies/out-of-band-contracts/summary
cat /aci/tenants/mgmt/security-policies/filters/summary
cat /aci/tenants/mgmt/node-management-epgs/default/out-of-band/default/summary
cat /aci/admin/external-data-collectors/monitoring-destinations/snmp/*/snmp-trap-destinations/summary
cat /aci/fabric/fabric-policies/pod-policies/policies/snmp/summary
cat /aci/fabric/fabric-policies/pod-policies/policies/snmp/*/summary
cat /aci/fabric/fabric-policies/pod-policies/policies/snmp/*/client-group-policies/*/*/summary
cat /aci/fabric/fabric-policies/pod-policies/policy-groups/summary
cat /aci/fabric/fabric-policies/pod-policies/pod-selector-default-all/summary
cat /aci/fabric/fabric-policies/monitoring-policies/monitoring-policy-default/callhome-snmp-syslog/all/snmp*/summary
cat /aci/fabric/fabric-policies/monitoring-policies/common-policy/callhome-snmp-syslog/snmp/*/summary
cat /aci/fabric/access-policies/monitoring-policies/default/callhome-snmp-syslog/all/snmp*/summary

故障排除

检查snmpd流程

在交换机上：

ps aux | grep snmp
pidof snmpd

在APIC上：

ps aux | grep snmp

如果过程正常，请联系思科TAC以获得更多帮助。

修订历史记录

版本	发布日期	备注
3.0	22-Jun-2026	更新了拼写、语法、间距，添加了1个标记(user_written)。
2.0	10-Apr-2024	首次公开发布
1.0	05-Apr-2024	初始版本