SNMPv3 インフォーム
Junos OSは、トラップとインフォームの2種類の通知をサポートしています。
トラップでは、受信者はトラップを受信しても確認応答は送信されません。そのため、送信者はトラップが受信されたかどうかを判断することができません。送信中に問題が発生し、トラップが失われることがあります。信頼性を高めるために、インフォームはトラップと似ていますが、インフォームは保存され、次の条件のいずれかが発生するまで一定の間隔で再送信されます。
-
インフォームの受信者(ターゲット)が、SNMPエージェントに確認応答を返す。
-
指定した回数の再送信が失敗し、エージェントがインフォームメッセージを破棄します。
送信者が応答を受け取らない場合は、再度インフォームを送信することができます。そのため、トラップよりもインフォームの方が意図した宛先に到達する可能性が高くなります。インフォームは、トラップと同じ通信チャネル(同じソケットとポート)を使用しますが、プロトコルデータユニット(PDU)タイプが異なります。
インフォームはトラップよりも信頼性が高いですが、ネットワーク、ルーター、スイッチのリソースを多く消費します。トラップとは異なり、インフォームは応答を受信するか、タイムアウトに達するまでメモリに保持されます。また、トラップは1回しか送信されませんが、インフォームは何度も再試行される場合があります。SNMP マネージャーがすべての通知を受け取ることが重要な場合は、インフォームを使用します。ただし、ネットワークトラフィック、またはルーターとスイッチのメモリにより重点を置く場合は、トラップを使用します。
例:インフォームの通知タイプとターゲットアドレスを設定する
次の例では、ターゲット 172.17.20.184 は情報に応答するように設定されています。inform タイムアウトは 30 秒で、最大再送信カウントは 3 です。インフォームは、tl1リスト内のすべてのターゲットに送信されます。リモート ユーザーのセキュリティ モデルは usm、リモート エンジンのユーザー名は u10 です。
[edit snmp v3]
notify n1 {
type inform;
tag tl1;
}
notify-filter nf1 {
oid .1.3 include;
}
target-address ta1 {
address 172.17.20.184;
retry-count 3;
tag-list tl1;
address-mask 255.255.255.0;
target-parameters tp1;
timeout 30;
}
target-parameters tp1 {
parameters {
message-processing-model v3;
security-model usm;
security-level privacy;
security-name u10;
}
notify-filter nf1;
}
例:リモートエンジンIDとリモートユーザーを設定する
この例では、SNMPのインフォーム通知を受信して応答できるように、リモートエンジンとリモートユーザーを設定する方法を示しています。インフォームの通知は、認証および暗号化が可能です。また、Junos OSがサポートする別のタイプの通知であるトラップよりも信頼性が高いです。トラップとは異なり、インフォーム通知は、以下の条件のいずれかが発生するまで、保存され、一定間隔で再送信されます。
インフォーム通知のターゲットが、SNMPエージェントに確認応答を返す。
指定された回数の再送信が失敗しました。
要件
この機能では、SNMPv3に有効なプレーンテキストパスワードを使用する必要があります。ルーターまたはスイッチでプレーンテキストパスワードを作成する場合、SNMPv3には次の要件があります。
パスワードは、少なくとも8文字以上でなければなりません。
パスワードには、英数字、特殊文字を含めることができますが、制御文字を含めることはできません。
引用符でパスワードを囲む必要はありませんが、使用するのが最適です。パスワードにスペース、特定の特殊文字、句読点が含まれる場合は、引用符が必要です。
概要
インフォーム通知は、信頼性を高めるためにSNMPv3でサポートされています。例えば、インフォーム通知を受信するSNMPエージェントは受信を確認します。
インフォーム通知では、リモートエンジンIDは、ユーザーが存在するリモートデバイス上のSNMPエージェントを識別し、ユーザー名は、インフォーム通知を受信するリモートSNMPエンジン上のユーザーを識別します。
この例で、リモートエンジンIDとリモートユーザーの設定に使用する 表1 の値があるシナリオを考えてみましょう。
リモートデバイス上のSNMPv3ユーザーにインフォームメッセージを送信するには、まず、ユーザーが存在するリモートデバイス上のSNMPエージェントのエンジン識別子を指定する必要があります。リモートエンジンIDは、リモートホスト上のユーザーに送信されたパケットを認証および暗号化するためのセキュリティダイジェストの計算に使用されます。インフォームメッセージを送信する場合、エージェントはリモートエンジンで設定されたユーザーの認証情報を使用します(インフォームターゲット)。
インフォームの場合、 remote-engine engine-id はユーザーが存在するリモートデバイス上のSNMPエージェントの識別子です。
インフォームの場合、 user username はインフォームを受信するリモートSNMPエンジン上のユーザーです。
生成されるインフォームは、リモートエンジン(インフォームレシーバー)で設定されたSNMPv3ユーザーのセキュリティレベルに応じて、 unauthenticated、 authenticated、または authenticated_and_encryptedにすることができます。認証キーは、メッセージ認証コード(MAC)の生成に使用されます。秘密鍵は、メッセージのインフォームPDU部分の暗号化に使用されます。
変数名 |
値 |
|---|---|
ユーザー名 |
U10 |
リモートエンジンID |
800007E5804089071BC6D10A41 |
認証タイプ |
認証-MD5 |
認証パスワード |
qol67R%ですか? |
暗号化タイプ |
プライバシーデス |
プライバシーパスワード |
m*72Jl9v |
設定
CLIクイックコンフィグレーション
この例を迅速に設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、これらのコマンドを [edit snmp v3] 階層レベルのCLIにコピーアンドペーストして、設定モードから commit を入力します。
set usm remote-engine 800007E5804089071BC6D10A41 user u10 authentication-md5 authentication-password "qol67R%?" set usm remote-engine 800007E5804089071BC6D10A41 user u10 privacy-des privacy-password "m*72Jl9v"
リモートエンジンとリモートユーザーの設定
ステップバイステップの手順
次の例では、設定階層内のさまざまなレベルに移動する必要があります。CLIのナビゲーションについては、『Junos OS CLIユーザーガイド』の「設定モードでのCLIエディターの使用」を参照してください。
リモートエンジンIDとリモートユーザーを設定するには:
リモートエンジンID、ユーザー名、認証タイプとパスワードを設定します。
[edit snmp v3] user@host# set usm remote-engine 800007E5804089071BC6D10A41 user u10 authentication-md5 authentication-password "qol67R%?"
暗号化タイプとプライバシーパスワードを設定します。
SNMPv3ユーザー1つにつき、暗号化タイプは1つだけ設定できます。
[edit snmp v3] user@host# set usm remote-engine 800007E5804089071BC6D10A41 user u10 privacy-des privacy-password "m*72Jl9v"
結果
設定モードで、 show コマンドを入力して設定を確認します。出力に意図した設定が表示されない場合は、この例の手順を繰り返して設定を修正します。
[edit snmp v3]
user@ host# show
usm {
remote-engine 800007E5804089071BC6D10A41 {
user u10 {
authentication-md5 {
authentication-key "$9$hagSyKNdbY2acyvLN-2g69CtpBRhSvMX/CLx-V4oZUjkqfQz69CuF36Apu1Idbw2ZUiHm3/C.mF/CA1IVws4oGkqf6CtzF";## SECRET-DATA
}
privacy-des {
privacy-key "$9$GJDmf3nCtO1zFnCu0hcrevM87bs2oaUbwqmP5F3Ap0O1hrevMLxcSYgoaUDqmf5n/Ap0REyk.BIREyr4aJZUHfTz9tu5T";## SECRET-DATA
}
}
}
}
設定が正しいことを確認した後、設定モードから commit を入力します。
検証
リモートエンジンIDとユーザー名の設定の確認
目的
エンジンIDとユーザー情報のステータスを確認します。
アクション
SNMPv3エンジンIDとユーザーに関する情報を表示します。
user@host> show snmp v3
Local engine ID: 80 00 0a 4c 01 0a ff 03 e3
Engine boots: 3
Engine time: 769187 seconds
Max msg size: 65507 bytes
Engine ID: 80 00 07 e5 80 40 89 07 1b c6 d1 0a 41
User Auth/Priv Storage Status
u10 md5/des nonvolatile active
意味
出力には、以下の情報が表示されます。
ローカルエンジンIDとエンジンの詳細
リモートエンジンID(ラベル付き
Engine ID)ユーザー名
ユーザー向けに設定された認証タイプと暗号化(プライバシー)タイプ
ユーザー名のストレージタイプ、不揮発性(設定保存される)または揮発性(保存されない)
新しいユーザーのステータスアクティブなユーザーのみがSNMPv3を使用できます