不涉及

Snmp v3 trap 配置指导

一、 设备上配置snmp v3

不同于SNMPv1/v2c采用团体名认证机制，SNMPv3采用USM（User-Based Security Model，基于用户的安全模型）认证机制，使用组来管理用户。NMS使用SNMPv3用户名访问设备时，是否需要认证和加密，由组的配置决定，创建用户时，可以为不同用户配置不同的算法和认证密码、加密密码。

1.    进入系统视图

system-view

2.    启动SNMP Agent服务

snmp-agent

3.    配置设备支持SNMPv3版本

snmp-agent sys-info version v3

4.    创建MIB视图（包含子树iso）

snmp-agent mib-view include iso iso

注：第一个“iso”为新建MIB视图名称，第二个“iso”是视图可访问的子树名称

5.    创建SNMPv3组（安全模式有三种，选择其中一种进行配置）

（1）创建不认证不加密的snmpv3组，组名为“lxhgroup”，读写MIB视图名为“iso”

snmp-agent group v3 lxhgroup read-view iso write-view iso

（2）创建认证不加密的snmpv3组，组名为“lxhgroup”，读写MIB视图名为“iso”

     snmp-agent group v3 lxhgroup authentication read-view iso write-view iso

（3）创建认证加密的snmpv3组，组名为“lxhgroup”，读写MIB视图名为“iso”

snmp-agent group v3 lxhgroup privacy read-view iso write-view iso

6.    创建SNMPv3用户（下面有三种方式，需要根据注意事项选择其中一种方式，来与6中SNMPv3组安全模式匹配）

（1） 创建不认证不加密的snmpv3用户，用户名为“lxh”

snmp-agent usm-user v3 lxh lxhgroup

（2） 创建认证不加密的snmpv3用户，用户名为“lxh”，认证方式选择“md5”或者“sha”，认证密码为“lxh123”

snmp-agent usm-user v3 lxh lxhgroup simple authentication-mode md5 | sha lxh123

（3） 创建认证加密的snmpv3用户，用户名为“lxh”，认证方式选择“md5”或者“sha”，认证密码为“lxh123”，加密算法选择“aes128”或者“des56”，加密密码为“lxh123”

snmp-agent usm-user v3 lxh lxhgroup simple authentication-mode md5 | sha lxh123 privacy-mode aes128 | des56 lxh123

注：1、如果组采用不认证不加密安全模式，则加入其组的用户可选择上面任意一种方式来创建SNMPv3用户；如果组采用认证不加密模式，则用户可选择认证不加密或者认证加密的方式建立SNMPv3用户；如果组采用认证加密模式，则加入的用户也必须采用认证加密的模式。

二、配置SNMP告警

SNMP告警信息包括Trap和Inform两种，用来告知NMS设备上发生了重要事件，比如，用户的登录/退出，接口状态变成up/down等。Inform不同于Trap之处在于：Agent向NMS发送报文时，Inform要求NMS发送回应报文，而Trap则不需要。

1、配置Trap信息发送参数

1.    进入系统视图

system-view

2.    使能发送Trap报文

snmp-agent trap enable

3.    配置Trap报文的发送参数（安全模式有三种，选择其中一种进行配置）

（1）配置lxh用户以无认证无加密的方式向iMC：172.22.3.121发送Trap报文

snmp-agent target-host trap address udp-domain 172.22.3.121 params securityname lxh v3

（2）配置lxh用户以认证不加密的方式向iMC：172.22.3.121发送Trap报文

snmp-agent target-host trap address udp-domain 172.22.3.121 params securityname lxh v3 authentication

（3）配置lxh用户以认证加密方式向iMC：172.22.3.121发送Trap报文

snmp-agent target-host trap address udp-domain 172.22.3.121 params securityname lxh v3 privacy

注：1、172.22.3.121这里为NMS（即iMC所在服务器）ip地址，“lxh”为snmpv3用

户名。

2、Trap报文与SNMPv3组及用户的安全模式对应关系请参见最下面附录表《发

送Trap报文时，SNMPv3组、用户及Trap报文模式匹配如下表》

2、    配置Inform信息发送参数

Inform报文与Trap报文配置区别在于，Inform需要配置远端SNMP实体的引擎ID及与用户关联的远端实体的安全模型，即下面的（2）和（3），而Trap则不需要配置这两个命令。

1.    进入系统视图

system-view

2.    配置远端SNMP实体的引擎ID

snmp-agent remote 172.22.3.121 engineid 800063A2800123456789ABCDEF0123

注：172.22.3.121这里为NMS（即iMC所在服务器）ip地址， 800063A2800123456789ABCDEF0123为远程SNMP实体的引擎ID，不论什么设备，这个远端engineID是固定的

3.    开启向目的主机发送Inform报文功能（安全模式有下面三种，可以任选其中一种）

（1） 以不认证不加密模式向目的主机发送Inform报文

snmp-agent usm-user v3 lxh lxhgroup remote 172.22.3.121

（2） 以认证不加密模式向目的主机发送Inform报文

snmp-agent usm-user v3 lxh lxhgroup remote 172.22.3.121 simple authentication-mode md5 | sha lxh123

（3） 以认证加密模式向目的主机发送Inform报文

snmp-agent usm-user v3 lxh lxhgroup remote 172.22.3.121 simple authentication-mode md5 | sha lxh123 privacy-mode aes128 | des56 lxh123

4.    配置Inform报文的发送参数（安全模式有三种，选择其中一种进行配置）

（1）配置lxh用户以无认证无加密的方式向iMC：172.22.3.121发送Trap报文

snmp-agent target-host inform address udp-domain 172.22.3.121 params securityname lxh v3

（2）配置lxh用户以认证不加密的方式向iMC：172.22.3.121发送Trap报文

snmp-agent target-host inform address udp-domain 172.22.3.121 params securityname lxh v3 authentication

（3）配置lxh用户以认证加密的方式向iMC：172.22.3.121发送Trap报文

snmp-agent target-host inform address udp-domain 172.22.3.121 params securityname lxh v3 privacy

注：1、172.22.3.121这里为NMS（即iMC所在服务器）ip地址，“lxh”为snmpv3配置的用户名。

2、Inform报文与SNMPv3组及用户的安全模式对应关系请参见最下面附录表《发送Inform报文时，SNMPv3组、用户及Inform报文模式匹配如下表》

三、iMC配置SNMPv3参数

根据设备上配置的本地snmp用户参数， 在iMC侧该设备选择相同的安全模式、配置相同的参数。iMC侧的配置必须和设备侧保持一致，否则无法进行相应操作。

四、附：SNMPv3组、用户、Trap报文及Inform报文安全模式对应表

1、发送Trap报文时，SNMPv3组、用户及Trap报文模式匹配如下表：

2、发送Inform报文时，SNMPv3组、用户及Inform报文模式匹配如下表：

总结匹配规则，如下规律：

（1） 单独考虑SNMPv3组及用户的安全模式，应该是用户的安全模式应比组的安全模式复杂（因为snmp参数都是基于组的安全模式基础上进行校验的），举例来说就是当组采用“认证不加密”时，用户的模式至少是“认证”，至于“加密不加密”，就有两种选择了：“认证加密”与“认证不加密”

（2） 发送trap报文时，配置的trap报文安全模式，首先要比组的模式复杂（因为snmp参数都是基于组的安全模式基础上进行校验的），并且应该比用户模式简单，具体来说就是：当组及用户模式是不认证不加密时，Trap报文只能是不认证不加密；当组的模式是认证不加密，用户模式是认证加密时，trap报文模式既要比组的模式复杂，又要比用户模式简单，所以有两个选择“认证加密”与“认证不加密”。

（3）发送Inform 报文时，和上面（1）和（2）分析的规律差不多，这里主要考虑的就是snmpv3组模式、向目的主机发送Inform报文模式及Inform报文模式：

a. snmpv3组模式与向目的主机发送Inform报文模式的关系如上面（1）中snmpv3组与用户的关系

b. snmpv3组模式、向目的主机发送Inform报文模式及Inform报文模式的关系就如上面（2）中snmpv3组、用户与trap报文关系一致