ComWare7.1.045Release3116交换机使用snmpWalk会使cpu飙升

H3C Comware7.1.045 Release3116 执行 snmpWalk 整机 CPU 飙升 完整根因 + 优化方案
一、核心故障根源
低版本固件 SNMP 模块性能缺陷（根本）
CMW710-R3116 老旧补丁存在 SNMP 遍历性能 Bug：snmpWalk全量遍历 OID 时，snmpd 进程持续遍历全量端口、ARP、LLDP、路由 MIB，无缓存优化，控制核 CPU 直接打满；大量get-next报文串行处理，不做分片节流，单次全量遍历 CPU 直接冲到 80%~100%。
网管侧全量无限制遍历
网管工具一次性全树 walk（.1根节点），不做分段、不做过滤，设备需要递归遍历上万条 MIB 节点，CPU 开销成倍放大。
SNMP 无访问 ACL，存在外网 / 扫描机大量无效 SNMP 请求叠加负载
设备开启 LLDP、大量 ARP、多 VLAN、端口流量统计 MIB，遍历计算开销叠加
二、临时快速缓解配置（不用升级固件，立刻降 CPU）
1. 限制仅可信网管 IP 访问 SNMP，屏蔽无效扫描
bash
运行
system-view
# 只允许网管服务器192.168.1.10访问SNMP
acl number 3000
rule permit source 192.168.1.10 0
rule deny
# 绑定SNMP只读团体ACL
snmp-agent community read test acl 3000
2. 自定义 MIB 视图，屏蔽无用大开销 OID（大幅减少遍历计算量）
过滤端口流量统计、ARP 表、LLDP、接口大量历史计数节点，只开放业务监控必需 OID：
bash
运行
# 创建视图，排除高开销MIB分支
snmp-agent mib-view included MONITOR-VIEW iso
snmp-agent mib-view excluded MONITOR-VIEW iso.3.6.1.2.1.16 # RMON流量统计
snmp-agent mib-view excluded MONITOR-VIEW iso.3.6.1.2.1.22 # LLDP
snmp-agent mib-view excluded MONITOR-VIEW iso.3.6.1.2.1.4 # ARP/IP表
# 只读团体绑定精简视图
snmp-agent community read test mib-view MONITOR-VIEW
3. 重启 SNMP 进程释放卡死遍历线程
bash
运行
undo snmp-agent
snmp-agent
4. 网管侧优化（关键）
禁止全量 walk .1，分段遍历：系统、CPU 内存、端口表分开采集；
延长采集间隔，由 1 分钟改为 3~5 分钟；
关闭无用指标采集（端口进出字节历史统计、ARP 全表、LLDP 邻居全表）；
不要并发多台网管同时遍历同一台设备。
三、中长期根治方案（彻底解决版本 Bug）
1. 固件升级（最优根治）
当前版本 R3116 存在 SNMP 遍历性能缺陷，升级同大版本 7.1 系列高稳定补丁 R6202P05 及以上：
联系 H3C 400 获取对应设备 IPE 升级包；
Web/TFTP 离线升级，升级前备份配置；
新版本优化 snmpd 遍历缓存、分片处理逻辑，全量 walk CPU 占用下降 70% 以上。
2. 切换 SNMPv3 替代 v2c
v3 增加报文校验、会话缓存，同等遍历量 CPU 开销低于 v2c，同时提升安全性：
bash
运行
# SNMPv3基础配置示例
snmp-agent usm-user v3 admin group-admin simple authentication-mode sha Admin@123 privacy-mode aes128 Admin@456
snmp-agent group v3 group-admin read-view MONITOR-VIEW
四、定位 CPU 占用验证命令
查看整机 CPU 利用率
bash
运行
display cpu-usage summary
查看占用 CPU 最高进程（确认 snmpd 进程高占用）
bash
运行
monitor process
查看正在执行的 SNMP 遍历任务
bash
运行
probe
display system internal snmp-agent operation in-progress
查看 SNMP 超时 / 卡死请求
bash
运行
display system internal snmp-agent operation timed-out
五、长效规避规范
生产网管禁止全根节点 snmpWalk，按需分段采集指标；
所有设备 SNMP 绑定 ACL，仅内网网管访问；
低版本 Comware7 交换机分批升级至 7.1 高补丁版本，修复 SNMP 性能缺陷；
业务量大的交换机，通过 MIB 视图屏蔽无用统计类 OID，减少遍历计算开销。
极简总结
核心根源：7.1.045 Release3116固件 SNMP 模块存在遍历性能 Bug，全量 walk 时 snmpd 进程占满控制核 CPU；
临时缓解：SNMP ACL + 精简 MIB 视图 + 网管分段采集；
彻底根治：升级 7.1 系列高版本固件，优化 SNMP 调度逻辑。