Monitoraggio tramite SNMP

Router, switch, firewall, stampanti, appliance, UPS, sensori hardware e molti altri dispositivi non consentono l'installazione di un agente Checkmk. Tuttavia, dispongono già di un'interfaccia integrata per il monitoraggio fornita dal produttore: un agente SNMP. Si può accedere a questo agente tramite il Simple Network Management Protocol (SNMP). Checkmk utilizza SNMP per monitorare questi dispositivi. Il vantaggio per l'utente è che l'installazione del monitoraggio è molto semplice.

Esistono anche agenti SNMP per Windows e Linux, ma non è consigliabile utilizzarli al posto dell' agente Checkmk. SNMP non è molto performante, quindi utilizzarlo per il monitoraggio significa in genere che il server Checkmk ha bisogno di più CPU e memoria per host rispetto a quando lavora con il proprio agente. Inoltre, i dati forniti tramite SNMP sono incompleti. In alcuni casi, tuttavia, il monitoraggio tramite SNMP in aggiunta all'agente Checkmk può essere utile. Vedi il capitolo sull'SNMP e l'agente Checkmk per maggiori informazioni su questo tema.

Tuttavia, se non esiste un plug-in dell'agente Checkmk per il monitoraggio di un particolare componente hardware o software (es. un controller RAID), ma il componente dispone di un'interfaccia SNMP, puoi ovviamente raccogliere ulteriori dati di monitoraggio tramite SNMP. In questo caso, assicurati che gli intervalli di interrogazione siano sufficientemente lunghi.

Monitorare i dispositivi SNMP con Checkmk è molto semplice. Se vuoi iniziare rapidamente con SNMP, probabilmente dovrai leggere la breve sezione dedicata a SNMP nella Guida per principianti. Questo articolo approfondisce molto di più e ti mostra tutti i dettagli e gli scenari specifici del monitoraggio SNMP con Checkmk.

Il protocollo SNMP è disponibile in diverse versioni, tutte incompatibili tra loro, per cui il sistema di monitoraggio e il dispositivo monitorato devono sempre utilizzare la stessa versione del protocollo. Checkmk supporta le versioni v1, v2c e v3. In pratica, si stima che il 99% delle installazioni utilizzi la v2c. Ecco una panoramica di tutte le versioni SNMP rilevanti:

Checkmk utilizza richieste attive per il port monitoring SNMP - un metodo pull. Checkmk invia un pacchetto UDP (porta 161) contenente una richiesta SNMP al dispositivo che richiede la fornitura di dati specifici. Il dispositivo risponde con un pacchetto UDP contenente i dati di risposta (o un messaggio di errore).

L'SNMP ha un secondo processo: Si tratta di messaggi spontanei inviati dai dispositivi agli indirizzi configurati tramite UDP (porta 162) in modalità push. Le trappole hanno molti svantaggi rispetto alle richieste attive, motivo per cui non sono molto importanti per il monitoraggio. Alcuni degli svantaggi sono:

Tuttavia, se vuoi o devi lavorare con le trappole, la Console degli Eventi ti offre una soluzione: può ricevere le trappole e generare eventi da esse.

Il primo passo consiste nel preparare il dispositivo. Ogni dispositivo che supporta SNMP ha una propria maschera di configurazione da qualche parte nella sua configurazione. Effettua le seguenti impostazioni in questa maschera di configurazione:

La Community è una sorta di password, ad eccezione del fatto che non esiste una comunità degli utenti per il protocollo SNMP. La convenzione prevede che la community sia public. Questa è l'impostazione predefinita per molti dispositivi e anche per la comunità di Checkmk. Naturalmente si può obiettare che questa è insicura e che dovresti specificare un'altra community. Questo ha certamente senso, ma devi sapere che SNMP trasmette la comunità in chiaro (ad eccezione della versione 3 di SNMP). Chiunque sia in grado di ascoltare i pacchetti può quindi identificare molto facilmente la comunità. D'altra parte hai un accesso limitato alla sola lettura e la maggior parte delle informazioni che possono essere recuperate tramite SNMP non sono molto critiche.

Inoltre, l'uso di comunità diverse per ogni dispositivo è molto complicato da gestire: dopo tutto, queste non devono essere mantenute solo nei dispositivi, ma anche nel sistema di monitoraggio. Per questo motivo, nella pratica le comunità degli utenti di solito usano la stessa comunità ovunque, o almeno all'interno di una regione, di un dipartimento, di un data center, ecc.

Suggerimento: se vuoi aumentare la sicurezza anche senza SNMP versione 3, è opportuno estendere il concetto di rete in modo da inserire il traffico con i servizi gestiti, e quindi anche SNMP, in una VLAN di gestione separata e proteggere l'accesso con il firewall.

Aggiungi i dispositivi monitorati come host in Checkmk nel modo consueto. Se hai scelto la struttura delle cartelle in modo che solo una cartella contenga i dispositivi SNMP, puoi effettuare le altre impostazioni direttamente in quella cartella. In questo modo è più facile aggiungere altri host in un secondo momento e si evitano errori.

Ora nelle proprietà dell'host (o cartella), nel box Monitoring agents imposta Checkmk agent / API integrations su No API integrations, no Checkmk agent.

Nello stesso box, attiva anche SNMP e come protocollo SNMP seleziona SNMP v2 or v3. La selezione della versione 1 del protocollo è una soluzione di fortuna solo per i dispositivi molto vecchi. Dovresti usarla solo se sai che la v2 non è supportata o se l'implementazione del dispositivo è difettosa (in pratica, solo in casi isolati). Soprattutto, la versione 1 di SNMP è molto lenta perché non supporta gli accessi massivi. Questa differenza è molto significativa.

La terza e ultima impostazione si chiama SNMP credentials. Anche in questo caso è necessario scegliere la versione del protocollo, poiché la v2c e la v3 differiscono tra loro. Parleremo della versione 3 più avanti. Se non hai requisiti di sicurezza molto elevati, la v2c ti sarà utile - oppure puoi inserire la comunicazione SNMP in una VLAN di gestione e renderla così sicura. SNMP v2c richiede l'inserimento della Community come già detto.

Esiste un modo alternativo per configurare le credenziali SNMP, se non puoi passare facilmente attraverso la struttura delle cartelle: il set di regole Setup > Agents > SNMP rules > SNMP credentials of monitored hosts. Questo ti permetterà di assegnare le credenziali in base ai tag degli host, alle etichette e a proprietà simili. Il principio è che una comunità impostata direttamente sull'host o sulla cartella ha sempre la precedenza sulle regole.

Una volta terminate le impostazioni, puoi fare una breve deviazione attraverso la pagina di diagnostica. Per farlo, salva con il pulsante della barra delle azioni Save & go to connection test. Ecco un esempio di diagnostica per uno switch. Vengono provate simultaneamente diverse versioni del protocollo SNMP, ovvero:

Un dispositivo normale e moderno dovrebbe rispondere a tutte e quattro le varianti con gli stessi dati, ma questo potrebbe essere limitato a seconda della configurazione. Il risultato sarà simile a questo:

Le quattro informazioni in uscita sono descritte qui:

In realtà sembra che ogni possibile errore che si possa teoricamente commettere nell'implementazione di SNMP sia già stato commesso da qualche produttore a un certo punto. Quindi ci sono dispositivi con cui SNMP funziona ragionevolmente bene, ma alcune parti del protocollo non funzionano o sono state implementate in modo errato.

Se i problemi si verificano con le edizioni commerciali, uno dei motivi potrebbe essere che l'implementazione SNMP inline, più performante e attivata per impostazione predefinita, si basa maggiormente sulla conformità agli standard rispetto a snmpget. Se i dispositivi non rispondono affatto o non sono affidabili, a volte aiuta inline switchare SNMP per i dispositivi interessati e attivare così il più robusto e significativamente più lento snmpget.

Per i test da linea di comando, il comando cmk ha per alcune opzioni l'opzione aggiuntiva --snmp-backend, che accetta come parametri inline (uso di SNMP inline), classic (uso di snmpget) o stored-walk (uso di un walk SNMP memorizzato). Se il test da linea di comando ha avuto successo, puoi usare il set di regole Hosts not using Inline-SNMP per specificare gli host che non devono usare SNMP inline in modo permanente.

Hai incluso un dispositivo SNMP nel monitoraggio ma Checkmk riconosce solo i servizi SNMP Info e SNMP Uptime e le interfacce. Questo può essere dovuto a diverse cause:

Se il ping funziona, ma nessuna delle versioni del protocollo SNMP funziona, le cause possono essere diverse:

Per impostazione predefinita, la Community SNMP non è criptata ed è quindi molto poco autenticata da una Comunità trasmessa in chiaro sulla rete. Questo livello può essere ancora sufficiente per una rete locale e isolata, poiché in questo caso il monitoraggio è limitato all'accesso alle operazioni di sola lettura.

Se desideri un livello di sicurezza più elevato, devi ricorrere alla versione 3 di SNMP, che prevede la possibilità di crittografia e autenticazione, ma per questo è necessaria una configurazione corrispondente.

SNMP v3 riconosce diversi livelli di sicurezza:

L'impostazione necessaria in Checkmk si effettua nello stesso punto in cui hai definito la Comunità: nelle proprietà dell'host o nella regola SNMP credentials of monitored hosts. In questo caso, invece di SNMP Community, seleziona uno dei tre livelli di v3 e configura i valori necessari:

SNMP v3 introduce il concetto di Contesti. Un dispositivo può mostrare informazioni diverse in uno stesso punto dell'albero SNMP, a seconda dell'ID del contesto indicato nella query.

Se hai un dispositivo che funziona con tali contesti, dovrai effettuare due impostazioni in Checkmk:

Fortunatamente sono poche le situazioni in cui devi lavorare con i contesti, perché purtroppo non è possibile che il monitoraggio li riconosca automaticamente. È sempre necessaria una configurazione manuale dei contesti.

Le prestazioni sono sempre importanti, soprattutto in ambienti con molti host, e il monitoraggio con SNMP consuma più CPU e memoria rispetto agli agenti Checkmk.

Mentre Checkmk Raw effettua le richieste SNMP nel modo classico tramite i comandi snmpget o snmpbulkwalk, le edizioni commerciali dispongono di un motore SNMP integrato che esegue le richieste SNMP in modo molto efficiente senza generare alcun processo aggiuntivo. Grazie a ciò, il carico della CPU per l'elaborazione SNMP è approssimativamente dimezzato. I tempi di polling più brevi riducono anche il numero di processi di Checkmk necessari in contemporanea e quindi l'utilizzo della memoria.

Se le risorse raggiungono i loro limiti o se ci vogliono più di 60 secondi per interrogare un singolo dispositivo, puoi ridurre l'intervallo con cui Checkmk interroga gli host. Con il set di regole Normal check interval for service checks, che si applica specificamente ai servizi Checkmk degli host, puoi estendere l'intervallo generale di un minuto a, ad esempio, 2 o 5 minuti.

Soprattutto per i controlli SNMP, esiste anche il set di regole Check intervals for SNMP checks che ti permette di ridurre l'intervallo per i singoli plug-in di controllo. È importante sapere che non puoi mai impostare l'intervallo a un tempo superiore a quello del monitoraggio generale da parte del servizio Checkmk.

In generale, comunque, consigliamo di progettare il monitoraggio in modo da mantenere l'intervallo standard di un minuto e di aumentarlo solo in casi eccezionali per singoli host o controlli.

Per impostazione predefinita, Checkmk si aspetta una risposta in meno di un secondo per una richiesta SNMP e tenta un totale di tre volte prima di rinunciare. Per i dispositivi che rispondono molto lentamente o che possono essere raggiunti solo attraverso una rete molto lenta, potrebbe essere necessario modificare questi parametri. Puoi farlo attraverso il set di regole Timing settings for SNMP access:

Tieni presente che queste impostazioni si applicano a una singola richiesta SNMP. Il processo completo di monitoraggio di un host consiste in molte richieste separate. Il timeout totale è quindi un multiplo delle impostazioni qui specificate.

Per valore predefinito, SNMP trasmette 10 risposte in un pacchetto per ogni richiesta di GetBulk. Prova il set di regole sperimentali Bulk walk: Number of OIDs per bulk per vedere se un valore più alto è più performante. Tuttavia, questo si verifica solo quando vengono trasferite tabelle di grandi dimensioni all'host, ad es. se si tratta di uno switch con molte porte.

SNMP riempie sempre i pacchetti fino al numero specificato, includendo tutti i record successivi a quelli effettivamente richiesti; se solo alcuni di questi record sono realmente necessari, i dati extra vengono trasferiti inutilmente e l'overhead aumenta.

D'altra parte, nella pratica può capitare che i dispositivi con il valore predefinito di 10 OID per pacchetto di massa abbiano dei problemi. In tal caso può essere utile ridurre il numero.

Checkmk funziona normalmente ottenendo sempre le informazioni su tutte le porte dello switch, anche se non tutte sono effettivamente monitorate. Si tratta comunque di una buona cosa, poiché in genere è più veloce perché le query singole non possono essere eseguite con le efficienti query in blocco. Inoltre, dal nostro punto di vista, è sempre consigliabile monitorare tutte le porte per trovare quelle difettose o i cavi con un alto tasso di errore. Se le porte non sono UP in modo affidabile, puoi anche segnalare lo stato del collegamento DOWN come OK.

Tuttavia, ci sono casi isolati in cui le porte dello switch sono molto numerose e per qualche motivo rispondono molto lentamente o processano SNMP in modo molto inefficiente, per cui non è più possibile monitorare con un recupero completo di tutte le informazioni sulle porte.

Per questi casi, esiste il set di regole Bulk walk: Limit SNMP OID Ranges che ti permette di limitare staticamente l'elenco dei dati interrogati (es. porte). Nel valore della regola, per ogni particolare plug-in di controllo specifichi quali indici della rispettiva tabella devono essere recuperati.

Il tipo di controllo abituale per le porte dello switch si chiama SNMP interface check with 64 bit counters (using v2c). L'esempio seguente mostra un'impostazione in cui solo le prime due porte vengono recuperate tramite SNMP:

Nota: questo filtraggio viene applicato prima della scoperta del servizio e del monitoraggio. A seconda dell'impostazione di Network interface and switch port discovery, questo non significa automaticamente che queste due porte verranno effettivamente monitorate.

Il motore SNMP di Checkmk ha una funzione molto utile: puoi fare in modo che un dispositivo monitorato scriva un'istantanea completa di tutti i suoi dati SNMP in un file, un SNMP walk. Puoi usare questo file in un secondo momento per simulare il monitoraggio del dispositivo su un altro server Checkmk, anche se quest'ultimo non ha un'effettiva connessione di rete con il dispositivo di rete.

Utilizziamo questa funzione in modo intensivo, ad esempio quando il nostro team di supporto sviluppa nuovi plug-in di controllo per i nostri clienti. I nostri sviluppatori non hanno quindi bisogno di accedere ai tuoi dispositivi, ma solo di un walk SNMP.

Puoi creare un walk SNMP direttamente dalla GUI. La funzione si trova nel menu contestuale del servizio Checkmk degli host e anche nel menu degli host (voce Download SNMP walk):

La creazione del percorso richiede pochi secondi nel migliore dei casi, ma non sono rari i casi in cui sono necessari alcuni minuti. Al termine della creazione, puoi scaricare il file creato tramite la linea Result.

In alternativa, puoi creare una passeggiata anche dalla linea di comando. Accedi al sito dal quale il dispositivo viene monitorato. La creazione della passeggiata avviene semplicemente con il comando cmk --snmpwalk e l'host specificato (che deve essere configurato nel monitoraggio):

Utilizza anche lo switch -v per visualizzare un output più dettagliato sull'avanzamento:

Il file verrà collocato nella directory var/check_mk/snmpwalks, dove riporterà semplicemente il nome dell'host. Si tratta di un file di testo. Se sei curioso, puoi visualizzarlo - ad es. con less- e chiudere il programma con il tasto Q:

Il comando cmk --snmpwalk ha altre opzioni utili:

Se vuoi utilizzare questo percorso in un'altra (o nella stessa) istanza Checkmk per una simulazione, salva il file del percorso con il nome dell'host in questo sito sotto var/check_mk/snmpwalks. Assicurati che l'utente dell'istanza sia il proprietario del file e che i permessi siano impostati su 0600 (solo il proprietario può leggere e scrivere).

Ora crea una regola nel set di regole Simulating SNMP by using a stored SNMP walk che acceda agli host interessati.

D'ora in poi, solo il file salvato verrà utilizzato per monitorare l'host. Ora non c'è più alcun accesso di rete all'host, ad eccezione del ping per il controllo dell'host e di eventuali controlli attivi configurati. Puoi semplicemente reindirizzare questi ultimi al server Checkmk dando l'indirizzo IP 127.0.0.1 agli host.