SNMPv3

In den SNMPv3-Anmeldeinformationen (Menü EINSTELLUNGEN > Bibliothek > Anmeldeinformationen [SNMP v3]) werden Informationen gespeichert, die für die Überwachung von Geräten mit SNMPv3-Unterstützung durch WhatsUp Gold notwendig sind.

Mit den entsprechenden Anmeldeinformationen können Sie SNMP-basierte Monitore (Aktive Monitore von WhatsUp Gold wie Erweiterter SNMP-Monitor, Leistungsmonitore usw.) nutzen, um Zielgeräte zu verwalten und zu überwachen, die den anzeigebasierten Zugriffskontrollen (View-Based Access Control – VACM) von SNMPv3 unterliegen.

Sobald Sie SNMPv3-Anmeldeinformationen zur Anmeldeinformationen-Bibliothek hinzufügen, können Sie …

sie zu einer Liste der Anmeldeinformationen hinzufügen, die WhatsUp Gold im Rahmen des Ermittlungssuchlaufs ausprobieren soll.
sie in „Mein Netzwerk“ in den Geräteeigenschaften direkt auf von WhatsUp Gold verwalteten Geräten hinzufügen.
sie mit der VLAN-Mustersuche definieren, damit Details aus VLAN-Tabellen abgerufen werden können, ohne dass spezifische Kontextnamen oder zusätzliche Agenten oder Protokolle wie CDP/LLDP abgerufen werden müssen.

Erste Schritte

Bevor Sie Geräte über SNMPv3 mit WhatsUp Gold überwachen, stellen Sie sicher, dass das Zielgerät …

für die Verwendung von SNMPv3 konfiguriert ist (am Gerät selbst). Auf dem Gerät muss ein SNMPv3-Agent ausgeführt werden, und es benötigt eine Standard- oder benutzerdefinierte SNMP-Engine-ID.
über einen SNMPv3-Benutzer verfügt, der am Gerät selbst definiert ist und der Zugriff auf die entsprechenden SNMPv3-Gruppen und ‑Ansichten hat.
über eindeutige, für das VLAN spezifische Kontexte verfügt, die mit allen auf dem Gerät definierten VLANs verknüpft sind (bei Geräten, die VLAN-spezifische Kontexte unterstützen). (Weitere Informationen hierzu weiter unten.)
mit den entsprechenden SNMPv3-Anmeldeinformationen in WhatsUp Gold verknüpft ist. Diese Verknüpfung wird in der Gerätekarte angezeigt, wenn Sie ein Gerät in „Mein Netzwerk“ auswählen.

Tip: Bei Geräten, die das Auslesen des BRIDGE-MIB für jedes VLAN mit VLAN-spezifischem Kontext unterstützen, kann die ordnungsgemäße Konfiguration dieser Geräte und von WhatsUp Gold dazu führen, dass CDP/LLDP weniger oft zur Erfassung von ausreichenden Informationen zur Berechnung der Geräte-Konnektivität aktiviert werden muss. Weitere Informationen finden Sie unter VLAN-Muster und in den Beispielen unten.

Unterschiede zu SNMPv2

Im Gegensatz zu SNMPv2 verwendet SNMPv3 ein ansichtsbasiertes Zugriffssteuerungsmodell (View Based Access Control Model, VACM). Das bedeutet, dass für den SNMPv3-Monitor von WhatsUp Gold ein autorisierter und mit entsprechenden Berechtigungen ausgestatteter Benutzer auf dem verwalteten Gerät notwendig ist. Dieser SNMPv3-Benutzer, der im Dialogfeld für die SNMPv3-Anmeldeinformationen angegeben wird (Benutzername), ist ein Benutzer, der bereits über Berechtigungen am Gerät für den Zugriff auf bestimmte MIB-Ressourcen, die entsprechend der Standortanforderungen notwendig sind, verfügt oder diese benötigt.

Es wird empfohlen, für MIB-Objekte sowohl Benutzerauthentifizierung (Authentifizierungsprotokoll) als auch Payload-Verschlüsselung (Verschlüsselungsprotokoll) zu verwenden. Durch die Kombination dieser beiden Funktionen werden alle Eigenschaften von SNMPv3 umfassend verwendet, da sowohl die SNMPv3-Autorisierungsdienste als auch der genau definierte Ressourcenzugriff (in einer Art MIB-Objektansicht) im Zielgerät genutzt werden.

Note: Für den Zugriff auf VLAN-spezifische Daten im MIB eines Geräts (d. h. das BRIDGE-MIB mit den Weiterleitungsdaten zur Berechnung der Konnektivität) ist Benutzer- oder Gruppenzugriff mit SNMP v3 auf einen eindeutigen Kontext, der für jedes einzelne VLAN konfiguriert werden muss, notwendig. SNMPv3-Kontexte bieten Zugriff auf Objektsammlungen und sind für die Abfrage von VLAN-Informationen auf einem Zielgerät notwendig. (Im Gegensatz dazu verwendete SNMP v1/2 die Community-Name-Indizierung – die für SNMP v3 nicht verfügbar ist – zum Zugriff auf VLAN-spezifische Informationen.)

Tip: Wenn nur überwacht werden soll, wird empfohlen, einen SNMPv3-Benutzer für die WhatsUp Gold-Anmeldeinformationen zu verwenden, der die Berechtigungen Lesen und Benachrichtigen für die MIB-Zielobjekte besitzt. Zur Pflege von VLAN-Tabellen müssen Schreibberechtigungen für jeden VLAN-spezifischen Kontext vorkonfiguriert werden; Ihr Benutzer benötigt Zugriff auf diesen Kontext.

Dialogfeld für die Konfiguration von SNMPv3-Anmeldeinformationen

Konfigurieren Sie folgende Felder, um SNMPv3-Anmeldeinformationen zu erstellen:

Name. Geben Sie den Anmeldeinformationen einen eindeutigen Namen. Dieser Name wird in der Anmeldeinformationen-Bibliothek angezeigt.
Beschreibung. (Optional) Geben Sie zusätzliche Informationen über die Anmeldeinformationen ein. Diese Informationen werden in der Anmeldeinformationen-Bibliothek neben den Anmeldeinformationen angezeigt.
Benutzername. Geben Sie den Benutzernamen ein, der über Zugriffsberechtigungen für den SNMP-Agent, der auf dem Zielgerät ausgeführt wird, verfügt. Dieser Benutzername wird in die Authentifizierungskopfzeile eines jeden SNMP-Pakets aufgenommen. Nach Erhalt eines Pakets sucht das jeweilige SNMP-Gerät anhand dieses Benutzernamens nach konfigurierten Authentifizierungs- und Verschlüsselungsparametern und wendet sie auf die erhaltene Meldung an.
Kontext. (Optional) Wenn Sie diese Funktion nutzen möchten und einen SNMPv3-Kontextnamen kennen, der auf dem Zielgerät definiert ist, geben Sie diesen SNMPv3-Kontextnamen hier ein. Der eingegebene Wert stellt den primären Kontext dar. Kontexte können auf Geräten definiert werden, um Zugriff auf eine Sammlung von MIB-Objekten zu beschränken. Ein leerer Wert ("") (wird auch als Standardkontext bezeichnet) bedeutet, dass auf alle beliebigen MIB, die nicht durch eine explizite (benannte) Kontextdefinition definiert sind, zugegriffen werden kann.
Note: Wenn Sie Kontexte für den Zugriff auf VLAN-spezifische Tabellen verwenden (d. h. BRIDGE-MIB), geben Sie VLAN-Muster-Einträge an.
VLAN-Muster. (Zur Suche nach Übereinstimmungen mit mindestens einer aktiven BRIDGE-MIB-Kontext-Ansicht.)

Hier können Sie Kontexte für den Zugriff auf VLAN-spezifische Tabellen angeben. WhatsUp Gold probiert bei der Suche nach dem zu verwendenden Kontext für ein bestimmtes VLAN jedes Muster aus, bis das erste Muster gefunden wird, mit dem auf die VLAN-spezifischen Informationen für das übereinstimmende VLAN zugegriffen werden kann. Siehe Syntax und Beispiele für die VLAN-Mustersuche unten.

Important: Der Zugriff auf die VLAN-Tabelle muss entweder im Standardkontext ("") oder dem primären Kontext enthalten sein, damit WhatsUp Gold weiß, welche VLANs abgefragt werden sollen, wenn versucht wird, die Effektivität der Anmeldeinformationen zu überprüfen (z. B. erfolgreiches Lesen von Inhalten der Routing-Tabellen).

Authentifizierung. Wählen Sie gegebenenfalls das Authentifizierungsprotokoll für diese SNMP-Anmeldeinformationen.
- Protokoll. Wählen Sie die Algorithmusmethode für die Authentifizierung von SNMPv3-Paketen aus. MD5 erzeugt eine digitale 128-Bit-Signatur, SHA-1 eine digitale 160-Bit-Signatur und SHA-256 eine digitale 256-Bit-Signatur.
- Kennwort. Geben Sie das Authentifizierungskennwort ein.
- Kennwort bestätigen. Geben Sie das Authentifizierungskennwort zu Bestätigungszwecken erneut ein.
Verschlüsselung. Geben Sie das Verschlüsselungsprotokoll für die SNMP-Anmeldeinformationen ein, sofern eine Unterstützung gegeben ist und ein Authentifizierungsprotokoll für das SNMPv3-Gerät ausgewählt wurde.
- Protokoll. Wählen Sie die Algorithmusmethode für die Verschlüsselung von SNMPv3-Paketen aus. DES56 erzeugt ein 56-Bit-Verschlüsselungsschema, AES-128 ein 128-Bit-Verschlüsselungsschema, AES-192 ein 192-Bit-Verschlüsselungsschema und AES-256 ein 256-Bit-Verschlüsselungsschema. Es kann auch Triple-DES-Verschlüsselung ausgewählt werden.
- Kennwort. Geben Sie die Verschlüsselungs-Passphrase für den Schlüssel ein.
- Kennwort bestätigen. Geben Sie das Authentifizierungskennwort zu Bestätigungszwecken erneut ein.

Note: Kennwörter für SNMPv3 können maximal 64 Zeichen lang sein.

Syntax und Beispiele für die VLAN-Mustersuche

Sie können folgenden Methoden (auch kombiniert) verwenden, um nach einem aktiven VLAN-Kontext zu suchen:

Musterpräfix und Ersetzung. Nützlich, wenn Sie den Kontextnamen (aber nicht den VLAN-Namen/Index) kennen:

Beispiel 1: MeinVLanKontext-{index}

– Hierbei wird {index} (iterativ) durch den VLAN-Index ersetzt, der aus einer Liste der dem Gerät bekannten VLANs ausgelesen wird.

Beispiel 2: VLANKontext-{name}

– Hierbei wird {name} (iterativ) durch den VLAN-Namen ersetzt, der aus einer Liste der dem Gerät bekannten VLANs ausgelesen wird.

Kombination aus literalem VLAN-Namen/Index und Kontext (keine Ersetzung). Nützlich, wenn Sie über explizite Werte verfügen, die Sie sowohl für den Kontext als auch für den VLAN-Namen ausprobieren möchten.

Syntax: <Name>:<Kontext>

Beispiel 3: VLAN0065:bridge1

– Hierbei ist VLAN0065 ein dem Gerät bekanntes VLAN und bridge1 ein möglicher Kontext, der für die Zugriffssteuerung auf die MIB-Werte von VLAN0065 definiert ist.

Syntax: <Nummer>:<Kontext>

Beispiel 4: 65:bridge1

– Hierbei ist 65 die VLAN-Nummer eines dem Gerät bekannten VLANs und bridge1 ein möglicher Kontext, der für die Zugriffssteuerung auf die MIB-Werte des VLANs definiert ist.

(Kontexte sind für das Auslesen von Inhalten von BRIDGE-MIB-Objekten, die mit den VLAN-Tabellen Ihrer Geräte verknüpft sind, notwendig.)

Tip: Kontexte können mit anderen MIBs als VLAN-/BRIDGE-MIB-Objekten verknüpft werden; wenn sie jedoch mit einem BRIDGE-MIB verknüpft werden, handelt es sich um eine 1:1-Beziehung.

Best Practices für die VLAN-Mustersuche

Beachten Sie folgende Faktoren bei der Verwendung der Mustersuche oder von Ersetzungen für VLAN-Muster:

Verwenden Sie einen Präfix für Kontextnamen, der einfach zu merken ist. Beispiel: vlan-10 (wobei 10 der VLAN-Index ist).
Wenn die VLAN-Kontexte nicht über einfache Muster verfügen, können Sie ein spezifisches (literaleres) Muster angeben, um eine genaue Übereinstimmung zu erzielen.
Sie können die VLAN-Kontextnamen im Gerät überprüfen (z. B. auf unterstützten Cisco-Switches #show snmp context).