UNIVERSIDADE DA CORUÑA FACULTADE DE INFORMÁTICA LABORATORIO DE GESTIÓN DE REDES: HERRAMIENTA NET-SNMP (PARTE II)

Transcripción

1 UNIVERSIDADE DA CORUÑA FACULTADE DE INFORMÁTICA LABORATORIO DE GESTIÓN DE REDES: HERRAMIENTA NET-SNMP (PARTE II)

2 1. PRÁCTICA 4: EL AGENTE Net-SNMP 1.1. Objetivos - Conocer los parámetros de configuración de un agente: comunidad, vistas, acceso y valores de objetos de MIBs del sistema. - Familiarizarse con las operaciones soportadas por SNMPv1: snmpget, snmpgetnext y snmpset. - Conocer otras herramientas básicas de Net-SNMP: snmptranslate, snmpwalk y snmptable. - Familiarizarse con los contenidos de MIB Requisitos Lectura de la documentación de la herramienta Net-SNMP Descripción Realizar los siguientes ejercicios: 1. Crear el fichero de configuración del agente snmpd.conf (ejecutar man snmpd.conf para ver opciones de configuración) en el directorio oculto $HOME/.snmp. Configurar snmpd.conf para que defina: Una comunidad de lectura denominada comunidadpublica con permisos de acceso desde la red del laboratorio de prácticas a toda la mib (mediante el elemento rocommunity). Una comunidad de escritura comunidadprivada con acceso único desde el equipo local al grupo system de la mib-2 (mediante el elemento rwcommunity). Un valor para los siguientes objetos del grupo system de la mib-2: syscontact y sysservices. Los valores se pueden configurar de dos formas diferentes (una de ellas en mediante la utilización del elemento override), identificarlas y ver diferencias entre ellas. 2. Arrancar el agente, snmpd, (por defecto se ejecuta en el puerto 161 y es necesario lanzarlo en un puerto para el que no se necesiten permisos de superusuario), con el nuevo fichero de configuración. Ver man snmpd para ver opciones de ejecución del agente. 3. Navegar con la herramienta tkmib sobre el contenido del grupo system. Cuáles son los objetos de dicho grupo? 4. Obtener con la herramienta tkmib el valor de los objetos del grupo system. Para poder realizar dicha operación es necesario configurar en la herramienta el puerto y el nombre de la comunidad. Probar con las dos comunidades definidas en el apartado 1. NOTA: hay que tener especial cuidado con el interfaz de red configurado en el tkmib (dependiendo de la comunidad utilizada la cual tiene unos permisos de acceso concretos- será necesario utilizar un interfaz u otro). 5. Consultar con el comando snmpget el valor de los objetos del grupo system. Es posible obtener el valor de todos los elementos?

3 Ejemplo: snmpget -v1 -c public <host>:<port> system.syscontact.0 6. Consultar con el comando snmpgetnext el valor de los objetos del grupo system. 7. Cambiar el valor de system.syscontact.0 con el comando snmpset. Es posible cambiar su valor? Si no es así, configura el agente para que permita hacerlo (el funcionamiento del comando snmpset depende de la resolución del tercer punto del ejercicio 1). 8. Comprobar el funcionamiento del acceso de las comunidades definidas con anterioridad en el apartado 1, es decir, verificar: Que no se puede leer el valor de un objeto si la comunidad especificada en la petición verifica una de la siguientes condiciones: No existe No tiene asociada una vista o subárbol que incluya el elemento No tiene especificados permisos de acceso para el origen de la petición Que no se puede modificar el valor de un objeto si la comunidad utilizada verifica una de las siguientes condiciones: No existe No tiene especificados permisos de escritura No tiene asociada una vista o subárbol que incluya el elemento No tiene especificados permisos de acceso para el origen de la petición 9. Configurar snmpd.conf con los siguientes parámetros (mediante la definición de elementos com2sec, group, view y access). NOTA: ejecutar man snmpd.conf y man snmpd.examples para obtener documentación sobre los elementos de configuración: Comunidades (mediante la utilización de elementos com2sec): Comunidad private con acceso único desde el equipo local. Comunidad public con acceso desde cualquier punto de la red. Comunidad adminet con acceso desde cualquier punto del laboratorio. Vistas (mediante la utilización de elementos view): Una vista denominada todo donde se vea la mib-2. Una vista denominada protocolos donde se vean los grupos interfaces, ip, snmp, icmp, tcp y udp. Una vista denominada sistema donde se vea el grupo system. Acceso de comunidades (mediante la utilización de elementos group y access):

4 Comunidad private con acceso de lectura y escritura en la vista sistema. Comunidad public con acceso de sólo de lectura en la vista todo. Comunidad adminet con acceso lectura y escritura en la vista protocolos. 10. Comprobar el funcionamiento del acceso de las comunidades definidas con anterioridad en el apartado 9 (la verificación debe realizarse de forma análoga a la realizada en el apartado 8). 11. Ver la definición del objeto system.syscontact.0 (utilizando la macro OBJECT-TYPE) con el comando snmptranslate. Qué tipo de acceso tiene el objeto? Se puede ver esa misma información desde el tkmib? NOTA: Al ejecutar el comando snmptranslate, si no se especifica el OID completo es necesario indicar mediante una opción de entrada que se realiza un acceso aleatorio, para que busque en la MIB un objeto con ese identificador. 12. Obtener el OBJECT IDENTIFIER completo de system.syscontact.0 utilizando el comando snmptranslate. 13. Obtener un listado de todas las tablas del grupo ip mediante el comando snmptranslate utilizando una expresión regular (es decir, hay que buscar los objetos de la MIB cuyo nombre comienza por ip y tiene como sufijo Table ). 14. Únicamente con el comando snmpgetnext (sin utilizar el tkmib), contestar a las siguientes preguntas sobre la tabla del grupo interfaces denominada iftable: Cuántas columnas tiene la tabla? Cuántas filas tiene la tabla? Qué columnas componen el índice de la tabla? Observar que el comando snmpgetnext nos permite consultar el contenido de la MIB sin conocer exactamente su estructura. 15. Abrir conexiones (ftp, telnet, http...) y consultar la tabla de conexiones abiertas del grupo tcp de las siguientes formas alternativas: a) Con el comando snmpwalk b) Con el comando snmptable Comprobar que la información contenida en la tabla varía dinámicamente en función del estado de las conexiones en la máquina en la que reside el agente. 16. Lanzar el demonio snmptrapd (por defecto se ejecuta en el puerto 162 y es necesario lanzarlo en un puerto para el que no se necesiten permisos de superusuario) encargado de manejar excepciones. 17. Enviar un trap (versión 1) mediante el comando snmptrap. Observar que para algunos de los parámetros del comando no es necesario especificar un valor (basta con especificar la cadena vacía).

5 18. Crear el fichero de configuración snmptrapd.conf del demonio snmptrapd en el directorio oculto $HOME/.snmp. Configurar dicho fichero para que el demonio acepte bien todas las notificaciones (mediante el elemento disableauthorization) o las notificaciones enviadas desde cierta comunidad (mediante el elemento authcommunity). Configurar dicho fichero (mediante el elemento traphandle) para que ante la recepción de un trap como el generado en el ejercicio anterior, se ejecute una acción (como por ejemplo, el registro en un fichero del trap recibido y su hora de recepción).