Obsolens kennisbank Naar het portaal
Kennisbank › Netwerk en beveiliging

SNMP instellen voor betere herkenning

Hoe je SNMP-gegevens in de config van de collector zet, waarom dat de herkenning verbetert en hoe je het gebruik van de community public uitzet.

Met SNMP-lezen herkent de collector merk, model, serienummer, firmware en hardwareversie van switches, firewalls, access points, printers en UPS'en het betrouwbaarst. Ook vindt hij via de router de VLAN's en de MAC-adressen in andere netwerken. In dit artikel zet je de SNMP-gegevens in de config van de collector.

Waarom SNMP

  • Exacte gegevens: model en firmware komen rechtstreeks van het apparaat. Alleen uit SNMP neemt de collector een hardwareversie over. Die is bij sommige merken nodig om de juiste einddatum te vinden.
  • Netwerken vinden: via SNMP leest de collector de interfaces van de router of core-switch en vindt zo de VLAN's (zie Welke netwerken scant de collector?).
  • Andere VLAN's: van switches en routers leest hij de ARP-tabel en de buren via LLDP en CDP. Zo ziet hij ook MAC-adressen van apparaten achter de router (zie Meerdere VLAN's scannen).

Stappen

  1. Maak op de apparaten een alleen-lezen SNMP-account aan. Gebruik bij voorkeur SNMPv3 met authenticatie en versleuteling (authPriv). Sta op het apparaat alleen het IP-adres van de collector toe als dat kan.

  2. Open op de collector de config:

    • Linux: /etc/obsolens/collector.json
    • Windows: C:\ProgramData\Obsolens\collector.json

  3. Voeg een blok snmp toe met een of meer sets gegevens:

    "snmp": [
  {
    "version": "v3",
    "username": "obsolens-ro",
    "auth_proto": "SHA256",
    "auth_pass": "lang-wachtwoord-1",
    "priv_proto": "AES",
    "priv_pass": "lang-wachtwoord-2",
    "scope": ["10.0.10.0/24", "10.0.0.1"]
  },
  {
    "version": "v2c",
    "community": "leesgemeenschap",
    "scope": ["10.0.50.0/24"]
  }
]

  4. Herstart de collector (Linux: sudo systemctl restart obsolens-collector, Windows: beëindig en start de geplande taak Obsolens Collector).

  5. Klik in het portaal op Nu scannen en controleer bij de apparaten of merk en model nu uit SNMP komen.

De velden

VeldBetekenis
versionv3 of v2c.
usernameSNMPv3-gebruiker (verplicht bij v3).
auth_protoSHA, SHA256 of SHA512. MD5 wordt geweigerd.
auth_passWachtwoord voor authenticatie (verplicht bij v3).
priv_protoAES of AES256. Leeg betekent authenticatie zonder versleuteling. DES wordt geweigerd.
priv_passWachtwoord voor versleuteling, verplicht als priv_proto is ingevuld.
communityCommunity voor v2c (verplicht bij v2c).
scopeNetwerken (CIDR) of losse adressen waar deze gegevens heen mogen. Leeg betekent: alle levende apparaten in de scan.

Een config met een onvolledige of onbekende set gegevens laadt niet. De collector geeft dan een foutmelding met het veld dat niet klopt.

Tip: vul altijd scope in. De collector stuurt de gegevens dan alleen naar de adressen waar ze horen. Zo kan een nep-apparaat in een ander netwerk ze niet opvangen.

SNMP en veiligheid

  • De collector stuurt SNMP alleen naar levende apparaten in de scan. Per set gegevens blijft hij binnen de scope.
  • SNMPv2c en SNMPv3 zonder versleuteling gaan leesbaar over het netwerk. Gebruik ze alleen als het apparaat niets beters kan.
  • De SNMP-gegevens staan alleen in de config op de collector. Ze gaan niet naar het platform en staan dus niet in de database. Het configbestand is alleen leesbaar voor root (Linux) of SYSTEM en Administrators (Windows). De collector weigert te starten als anderen het kunnen lezen.

De community public

Bij levende apparaten waarvoor geen ingestelde gegevens gelden, probeert de collector ook de standaard-community public, alleen lezen. Veel printers en kleine switches staan zo ingesteld. Dat levert vaak extra gegevens op, maar een IDS kan het melden als "SNMP public access". Ook bij het zoeken naar netwerken via de router gebruikt de collector public als er geen passende gegevens zijn.

Uitzetten doe je in de config:

"snmp_public": false

Herstart daarna de collector.

Let op: een apparaat dat op public antwoordt, is zelf een bevinding. Iedereen in het netwerk kan het dan uitlezen. Overweeg om bij de klant die community te wijzigen of uit te zetten.

Zie ook