1.1 SNMP定义#

SNMP（Simple Network Management Protocol，简单网络管理协议）是IETF定义的用于管理和监控网络设备的应用层协议。它工作在UDP之上，采用管理者-代理模型，广泛应用于路由器、交换机、服务器、打印机等各种网络设备的管理。

1.2 SNMP发展历程#

1.3 SNMP架构组件#

SNMP网络管理架构由以下核心组件构成：

• NMS（Network Management Station，网络管理站）：网络管理的中心节点，运行网络管理软件（如华为eSight/iMaster NCE），负责发送管理请求、接收告警通知，是网络管理的”管理者”。
• Agent（代理）：运行在被管理设备上的软件模块，负责接收和处理NMS发送的管理请求，并将设备的状态和告警信息上报给NMS，是被管理设备的”被管理者”。
• MIB（Management Information Base，管理信息库）：被管理对象的集合，以树状层次结构组织，定义了设备可以被管理的所有参数。
• OID（Object Identifier，对象标识符）：MIB树中每个节点的唯一标识，采用点分数字命名，如 1.3.6.1.2.1.1.1.0 表示系统描述信息。
• Community（团体名）：SNMPv1/v2c中用于NMS与Agent之间认证的字符串，类似于密码，分为只读团体名和读写团体名。

1
┌──────────────────────────────────────────────────────────────┐
2
│                      SNMP 管理架构                            │
3
│                                                              │
4
│   ┌─────────────┐  Get/Set (UDP 161)   ┌─────────────────┐   │
5
│   │            │ ──────────────────► │                 │   │
6
│   │    NMS     │                      │     Agent       │   │
7
│   │ (管理者)   │ ◄────────────────── │   (被管理设备)   │   │
8
│   │            │  Response (UDP 161)  │                 │   │
9
│   └─────────────┘                      └─────────────────┘   │
10
│         ▲                                    │              │
11
│         │ Trap/Inform (UDP 162)              │              │
12
│         └────────────────────────────────────┘              │
13
│                                                              │
14
│   MIB: 被管理对象集合  |  OID: 对象标识符  |  Community: 认证 │
15
└──────────────────────────────────────────────────────────────┘

2.1 三版本特性对比#

2.2 版本选择建议#

• SNMPv1：仅在对安全性无要求的老旧设备环境中使用，已逐步淘汰。
• SNMPv2c：适合内部网络管理，需要批量查询但安全性要求不高的场景，目前应用广泛。
• SNMPv3：推荐在生产环境中使用，尤其是涉及公网或安全性要求高的场景，提供完整的认证和加密机制。

3.1 报文类型汇总#

3.2 报文详细说明#

1
GetBulk(non-repeaters=1, max-repetitions=5)
2
↓
3
等价于：1次GetNext + 5次连续GetNext = 6次GetNext操作

4.1 SNMP通信机制#

• NMS通过 UDP 161端口 向Agent发送Get/GetNext/GetBulk/Set请求
• Agent通过 UDP 161端口 向NMS返回Response响应
• Agent通过 UDP 162端口 向NMS发送Trap/Inform通知

SNMP使用无连接的UDP协议，优点是开销小、效率高，缺点是不保证可靠传输（因此v2c+引入Inform弥补Trap的不可靠性）。

4.2 SNMP交互流程图#

4.3 Community认证机制#

SNMPv1/v2c使用Community进行简单的认证：

• Read Community（只读团体名）：允许NMS执行Get/GetNext/GetBulk查询操作
• Write Community（读写团体名）：允许NMS执行Set配置操作（同时也具有读权限）

Community以明文方式在UDP报文中传输，安全性低，容易被抓包获取。这也是SNMPv3引入USM安全模型的主要原因。

5.1 MIB树结构#

MIB采用层次化的树状结构，从根节点开始，每个分支代表一个不同的管理类别。MIB树的主要分支如下：

1
MIB树根节点 (iso, 1)
2
├── 1 (iso)
3
│   ├── 3 (identified-organization)
4
│   │   ├── 6 (dod)
5
│   │   │   ├── 1 (internet)
6
│   │   │   │   ├── 2 (mgmt)
7
│   │   │   │   │   ├── 1 (mib-2)
8
│   │   │   │   │   │   ├── 1 (system)       系统信息
9
│   │   │   │   │   │   ├── 2 (interfaces)    接口信息
10
│   │   │   │   │   │   ├── 4 (ip)            IP信息
11
│   │   │   │   │   │   ├── 5 (icmp)          ICMP信息
12
│   │   │   │   │   │   ├── 6 (tcp)           TCP信息
13
│   │   │   │   │   │   └── 7 (udp)           UDP信息
14
│   │   │   │   │   └── ...
15
│   │   │   │   ├── 4 (private)
16
│   │   │   │   │   └── 1 (enterprises)
17
│   │   │   │   │       └── 2011 (Huawei)     华为私有MIB
18
│   │   │   │   │           └── ...

5.2 OID命名规则#

OID采用点分数字命名法，从根节点到目标节点的完整路径即为OID。例如：

OID末尾的 .0 表示标量对象的实例索引，表示该对象只有一个实例（非表格对象）。

5.3 常用MIB节点#

6.1 USM概述#

USM（User-based Security Model，基于用户的安全模型）是SNMPv3引入的安全框架，提供认证和加密两种安全服务，解决SNMPv1/v2c Community明文传输的安全问题。

6.2 安全级别#

USM定义了三个安全级别，安全级别依次递增：

NMS和Agent的SNMPv3用户安全级别必须一致，否则通信失败。

6.3 认证机制#

认证用于验证报文的完整性和来源的真实性，采用HMAC（Hash-based Message Authentication Code）算法：

6.4 加密机制#

加密用于保护报文内容的机密性，使用对称加密算法：

6.5 VACM（View-based Access Control Model）#

VACM是基于视图的访问控制模型，在USM认证通过后，进一步控制用户对MIB对象的访问权限：

1
VACM访问控制流程：
2
1. 用户通过USM认证 → 确定用户身份
3
2. 用户所属的组 → 确定组的访问权限
4
3. 组绑定的MIB视图 → 确定可访问的OID范围
5
4. 读写权限 → 确定可执行的操作（读/写）

VACM核心概念：

• 视图（View）：定义可访问的OID子树
• 组（Group）：包含一个或多个用户，绑定MIB视图和读写权限
• 用户（User）：属于某个组，配置USM认证和加密参数

选择建议#

• Trap适用场景：网络环境稳定、告警频率高、对个别告警丢失不敏感的场景。优点是不消耗网络带宽（无重传）。
• Inform适用场景：关键告警必须送达、网络可能不稳定、NMS可能短暂离线的场景。优点是可靠传输。

8.1 SNMPv2c配置#

1
# 使能SNMP Agent服务
2
snmp-agent
3

4
# 配置SNMP版本（仅允许v2c）
5
snmp-agent sys-info version v2c
6

7
# 配置只读团体名（public），并绑定ACL 2001限制访问源
8
snmp-agent community read read123 acl 2001
9

10
# 配置读写团体名（private），并绑定ACL 2001限制访问源
11
snmp-agent community write write123 acl 2001
12

13
# 配置Agent发送Trap的目标主机（NMS地址：192.168.1.100）
14
snmp-agent target-host trap-host name NMS address 192.168.1.100 trap-params paramsNMS
15

16
# 配置Trap参数（使用v2c版本，团体名public）
17
snmp-agent target-host trap-params paramsNMS v2c securityname read123
18

19
# 使能所有模块的Trap功能
20
snmp-agent trap enable
21

22
# 配置Agent的系统信息（位置、联系人）
23
snmp-agent sys-info contact "Network Admin"
24
snmp-agent sys-info location "DataCenter-Room1"
25

26
# ACL配置：仅允许192.168.1.0/24网段访问
27
acl number 2001
28
 rule 5 permit source 192.168.1.0 0.0.0.255
29
 rule 10 deny

8.2 SNMPv3配置#

1
# 使能SNMP Agent服务
2
snmp-agent
3

4
# 配置SNMP版本（仅允许v3）
5
snmp-agent sys-info version v3
6

7
# 创建MIB视图（视图名ViewAll，包含整个MIB树）
8
snmp-agent mib-view included ViewAll iso
9

10
# 创建SNMPv3组（组名GroupAdmin，使用authPriv安全级别，绑定视图ViewAll，读写权限）
11
snmp-agent group v3 GroupAdmin privacy read-view ViewAll write-view ViewAll
12

13
# 创建SNMPv3用户（用户名UserAdmin，属于GroupAdmin组，使用SHA认证，AES128加密）
14
snmp-agent usm-user v3 UserAdmin group GroupAdmin
15
snmp-agent usm-user v3 UserAdmin authentication-mode sha
16
# 输入认证密码：Admin@123
17
snmp-agent usm-user v3 UserAdmin privacy-mode aes128
18
# 输入加密密码：Encrypt@123
19

20
# 配置Trap目标主机（NMS地址：192.168.1.100，使用v3版本）
21
snmp-agent target-host trap-host name NMS address 192.168.1.100 trap-params paramsV3
22
snmp-agent target-host trap-params paramsV3 v3 user UserAdmin securitymodel usm
23

24
# 使能所有模块的Trap功能
25
snmp-agent trap enable

8.3 Trap与Inform配置#

1
# 配置Trap发送（不可靠告警）
2
snmp-agent target-host trap-host name NMS address 192.168.1.100 trap-params paramsNMS
3
snmp-agent target-host trap-params paramsNMS v2c securityname read123
4

5
# 配置Inform发送（可靠告警，需NMS确认）
6
# inform参数表示使用Inform方式，重传间隔5秒，最大重传次数3次
7
snmp-agent target-host trap-host name NMS-Reliable address 192.168.1.100 inform-params paramsInform
8
snmp-agent target-host inform-params paramsInform v2c securityname read123 timeout 5 retry-times 3
9

10
# 使能特定模块的Trap（如OSPF/BGP/接口模块）
11
snmp-agent trap enable feature-name ospf
12
snmp-agent trap enable feature-name bgp
13
snmp-agent trap enable feature-name ifnet

8.4 SNMP日志与MIB绑定配置#

1
# 使能SNMP日志功能（记录Get/Set操作）
2
snmp-agent log all
3

4
# 配置MIB绑定（将特定OID绑定到特定模块，便于管理）
5
snmp-agent mib-bind module ifnet oid 1.3.6.1.2.1.2
6

7
# 配置SNMP队列参数
8
# Trap队列大小（默认1024）
9
snmp-agent trap queue-size 1024
10
# Trap发送间隔（默认5秒）
11
snmp-agent trap interval 5

9.1 NMS无法访问Agent#

排查步骤：

1. 检查SNMP版本一致性：NMS和Agent的SNMP版本必须匹配

1
display snmp-agent sys-info version

2. 检查Community/用户配置：确认团体名或v3用户配置正确

1
# 查看团体名配置
2
display snmp-agent community
3
# 查看v3用户配置
4
display snmp-agent usm-user
5
# 查看v3组配置
6
display snmp-agent group

3. 检查ACL访问控制：确认NMS的IP地址被ACL放通

1
display acl 2001

4. 检查UDP 161端口连通性：确认网络可达且端口未被防火墙拦截

1
# 在NMS上测试（需安装net-snmp工具）
2
snmpwalk -v2c -c read123 192.168.1.1 1.3.6.1.2.1.1.1.0

9.2 Trap不发送#

排查步骤：

1. 检查Trap目标主机配置：确认NMS地址、Trap参数正确

1
display snmp-agent target-host

2. 检查Trap功能是否使能：确认对应模块的Trap已开启

1
display snmp-agent trap all

3. 检查UDP 162端口连通性：确认NMS的162端口可接收Trap报文

9.3 SNMPv3认证失败#

排查步骤：

1. 检查用户组配置：确认用户所属的组和安全级别正确

1
display snmp-agent group v3

2. 检查认证算法和密码：确认NMS和Agent的认证算法（MD5/SHA）和密码一致
3. 检查加密算法和密码：确认NMS和Agent的加密算法（DES/AES）和密码一致
4. 检查MIB视图：确认用户组绑定的视图包含要访问的OID

9.4 常用排查命令汇总#