SNMPv3 インフォーム
Junos OS は、以下の 2 種類の通知をサポートします。トラップとインフォーム
トラップでは、受信者はトラップを受信しても確認応答は送信されません。そのため、送信者はトラップが受信されたかどうかを判断することができません。送信中に問題が発生し、トラップが失われることがあります。インフォームはトラップと似ていますが、信頼性を高めるためにインフォームは保存され、次の条件が発生するまで一定の間隔で再送されます。
-
インフォームの受信者（ターゲット）が、SNMP エージェントに確認応答を返す。
-
指定した回数の再送信の試みが失敗し、エージェントがインフォームメッセージを破棄する。
送信者が応答を受け取らない場合は、再度インフォームを送信することができます。そのため、トラップよりもインフォームの方が意図した宛先に到達する可能性が高くなります。インフォームは、トラップと同じ通信チャネル（同じソケットとポート）を使用しますが、プロトコル データ ユニット（PDU）の種類が異なります。
インフォームはトラップよりも信頼性が高いですが、ネットワーク、ルーター、スイッチのリソースを多く消費します。トラップとは異なり、インフォームは応答を受信するか、タイムアウトに達するまでメモリに保持されます。また、トラップは1回しか送信されませんが、インフォームは何度も再試行さされます。SNMP マネージャーがすべての通知を受け取ることが重要な場合は、インフォームを使用します。しかし、ネットワークトラフィックまたはルーターやスイッチのメモリにより重点を置く場合は、トラップを使用します。
例：インフォ―ムの通知タイプとターゲットアドレスを構成する
次の例では、ターゲット 172.17.20.184 は情報に応答するように設定されています。inform タイムアウトは 30 秒であり、最大再送信カウントは 3 です。inform は tl1 リスト内のすべてのターゲットに送信されます。リモート ユーザーのセキュリティ モデルは usm、リモート エンジンのユーザー名は u10 です。
[edit snmp v3]
notify n1 {
type inform;
tag tl1;
}
notify-filter nf1 {
oid .1.3 include;
}
target-address ta1 {
address 172.17.20.184;
retry-count 3;
tag-list tl1;
address-mask 255.255.255.0;
target-parameters tp1;
timeout 30;
}
target-parameters tp1 {
parameters {
message-processing-model v3;
security-model usm;
security-level privacy;
security-name u10;
}
notify-filter nf1;
}
例：リモートエンジンIDとリモートユーザーを設定する
この例では、リモートエンジンとリモートユーザーを設定して、SNMPのインフォーム通知を受信し、応答を可能にする方法を説明します。インフォームの通知は、認証し、暗号化することができます。また、Junos OSが対応する別タイプの通知のトラップよりも信頼性が高いです。トラップとは異なり、インフォームの通知は、以下の条件の1つが発生するまで、保存され、一定間隔で再送信されます。
インフォーム通知のターゲットが、SNMPエージェントに確認応答を返す。
指定された回数の再送信が失敗した。
要件
この機能は、SNMPv3に有効なプレーンテキストパスワードの使用を必要とします。ルーターまたはスイッチでプレーンテキストのパスワードを作成する場合、SNMPv3には次の要件があります。
パスワードは、少なくとも8文字以上でなければなりません。
パスワードには、英数字、特殊文字を使うことができますが、制御文字は使用できません。
引用符でパスワードを囲む必要はありませんが、使用するのが最適です。パスワードに、スペース、特定の特殊文字、句読点が含まれる場合は、引用符が必要です。
概要
インフォーム通知は、信頼性向上のため、SNMPv3で対応されています。例えば、インフォームの通知を受信するSNMPエージェントは受信を確認します。
インフォーム通知に対して、リモートエンジンIDは、ユーザーが存在するリモートデバイス上のSNMPエージェントを識別し、ユーザー名は、インフォーム通知を受信するリモートSNMPエンジン上のユーザーを識別します。
この例で、リモートエンジンIDとリモートユーザーの設定に使用する、表 1にある値を持っているシナリオを考えてみましょう。
リモートデバイスでSNMPv3ユーザーにインフォームメッセージを送信するには、まず、ユーザーが存在するリモートデバイスでSNMPエージェント用のエンジン識別子を指定する必要があります。リモートエンジンIDは、リモートホストで送信されたパケットを認証して暗号化するためのセキュリティダイジェストの計算に使用されます。インフォームメッセージを送信する場合、エージェントはリモートエンジンで設定されたユーザーの認証情報を使用します（インフォームターゲット）。
インフォームでは、remote-engine engine-idはユーザーが存在するリモートデバイスでのSNMPエージェント用の識別子です。
インフォームでは、user usernameはインフォームを受信するリモートSNMPエンジン上のユーザーです。
生成されたインフォームは、リモートエンジン（インフォ―ムレシーバー）で設定されたSNMPv3ユーザーのセキュリティレベルに応じて、unauthenticatedauthenticatedまたはauthenticated_and_encrypted、です。認証鍵は、MAC（認証コード）の生成に使用されます。秘密鍵は、メッセージのインフォームPDU部分の暗号化に使用されます。
変数名 |
値 |
|---|---|
ユーザー名 |
u10 |
リモートエンジンID |
800007E5804089071BC6D10A41 |
認証タイプ |
authentication-md5 |
認証パスワード |
qol67R%? |
暗号化タイプ |
privacy-des |
プライバシーパスワード |
m*72Jl9v |
設定
CLIクイック構成
この例を迅速に設定するには、以下のコマンドをコピーし、テキストファイルにペーストし、強制改行を削除し、必要な詳細の変更でネットワーク設定に一致させ、以下のコマンドを[edit snmp v3]の階層レベルのCLIにコピーアンドペーストし、そして設定モードからcommitを入力します。
set usm remote-engine 800007E5804089071BC6D10A41 user u10 authentication-md5 authentication-password "qol67R%?" set usm remote-engine 800007E5804089071BC6D10A41 user u10 privacy-des privacy-password "m*72Jl9v"
リモートエンジンとリモートユーザーの設定
ステップバイステップでの手順
次の例では、設定階層内のさまざまなレベルを移動する必要があります。CLIのナビゲーションについては、Junos OS CLIユーザーガイドの 設定モードでCLIエディターを使用する を参照してください。
リモートエンジンIDとリモートユーザーを設定するには、以下を実行してください。
リモートエンジンID、ユーザー名、認証タイプとパスワードを設定します。
[edit snmp v3] user@host# set usm remote-engine 800007E5804089071BC6D10A41 user u10 authentication-md5 authentication-password "qol67R%?"
暗号化タイプとプライバシーパスワードを設定します。
SNMPv3ユーザー1つにつき、暗号化タイプは1つだけ設定できます。
[edit snmp v3] user@host# set usm remote-engine 800007E5804089071BC6D10A41 user u10 privacy-des privacy-password "m*72Jl9v"
結果
設定モードで、showコマンドを入力して設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の手順を繰り返して設定を修正します。
[edit snmp v3]
user@ host# show
usm {
remote-engine 800007E5804089071BC6D10A41 {
user u10 {
authentication-md5 {
authentication-key "$9$hagSyKNdbY2acyvLN-2g69CtpBRhSvMX/CLx-V4oZUjkqfQz69CuF36Apu1Idbw2ZUiHm3/C.mF/CA1IVws4oGkqf6CtzF";## SECRET-DATA
}
privacy-des {
privacy-key "$9$GJDmf3nCtO1zFnCu0hcrevM87bs2oaUbwqmP5F3Ap0O1hrevMLxcSYgoaUDqmf5n/Ap0REyk.BIREyr4aJZUHfTz9tu5T";## SECRET-DATA
}
}
}
}
設定が正しいことを確認した後、設定モードからcommitを入力します。
検証
リモートエンジンIDとユーザー名の設定の確認
目的
エンジンIDとユーザー情報のステータスを確認します。
アクション
SNMPv3エンジンIDとユーザーに関する情報を表示します。
user@host> show snmp v3
Local engine ID: 80 00 0a 4c 01 0a ff 03 e3
Engine boots: 3
Engine time: 769187 seconds
Max msg size: 65507 bytes
Engine ID: 80 00 07 e5 80 40 89 07 1b c6 d1 0a 41
User Auth/Priv Storage Status
u10 md5/des nonvolatile active
意味
出力は、以下の情報を表示します。
ローカルエンジンIDとエンジンの詳細
リモートエンジンID（ラベル付き
Engine ID）ユーザー名
ユーザー向けに設定された認証タイプと暗号（プライバシー）タイプ
ユーザー名のストレージタイプ、不揮発性（設定保存される）もしくは揮発性（保存されない）
新しいユーザーのステータス：アクティブなユーザーのみがSNMPv3使用可能