Switches, Drucker, NAS und Router über SNMP auslesen

Switches, Drucker, NAS, USVs und Router akzeptieren keine Windows-Anmeldung, aber fast alle sprechen SNMP, das Standardprotokoll, um Netzwerkgeräte nach sich selbst zu fragen. Mit aktiviertem SNMP und hinterlegten Anmeldedaten liest NetBlade Modell, Seriennummer und Firmware, jeden Port mit seinen VLANs und PoE, die an jedem Port gelernten MAC-Adressen, Druckerverbrauchsmaterial und Seitenzähler. Daraus entsteht auch die Netzwerkkarte. Dieser Artikel führt dich durch die Einrichtung, ohne ein neues Loch aufzureißen.

Bevor du anfängst

Die Geräte stehen nach einem Scan unter Geräte (Erste Schritte).
Administratorzugang zur Weboberfläche oder Konsole jedes Geräts, um SNMP einzuschalten.
Die IP-Adresse des PCs, auf dem NetBlade läuft, um den SNMP-Zugriff dort, wo das Gerät es erlaubt, auf ihn zu beschränken.

1. Die SNMP-Version wählen

NetBlade unterstützt SNMP v1, v2c und v3.

v1 und v2c authentifizieren sich mit einer Community, einer einzigen gemeinsamen Zeichenfolge, die wie ein Passwort funktioniert. Sie wird im Klartext übertragen: Jedes Gerät auf dem Weg kann sie lesen. Musst du zwischen den beiden wählen, nimm v2c.
v3 hat einen Benutzer, ein Passwort für die Authentifizierung und eines für die Verschlüsselung. Es ist die einzige Version, die den Austausch schützt.

Nutze v3 überall, wo das Gerät es unterstützt; v2c bleibt für ältere Hardware, die es nicht kann. In NetBlade bietet v3 MD5 oder SHA für die Authentifizierung und DES oder AES für die Verschlüsselung. SHA ist in NetBlade SHA-1 und AES ist AES-128, wähle also diese Varianten am Gerät, wenn es mehrere anbietet.

Achtung: Bei v3 musst du genau die Algorithmen wählen, auf die das Gerät eingestellt ist. Ein Gerät, das SHA erwartet, lehnt eine MD5-Anfrage nicht ab, es ignoriert sie. Eine falsche Wahl sieht also genau so aus wie ein ausgeschaltetes Gerät.

2. SNMP auf jedem Gerät einschalten

Jeder Hersteller versteckt es an anderer Stelle, aber die Schritte sind fast immer dieselben (das ist ein allgemeiner Rat, nicht NetBlade-spezifisch):

Öffne die Weboberfläche des Geräts und such die SNMP-Seite, meist unter Management, System oder Netzwerkdienste.
Aktiviere den SNMP-Agent.
Ersetze bei v2c die Werks-Community durch eine lange Zufallszeichenfolge und setze sie auf nur Lesen. Leg bei v3 einen Benutzer mit Lesezugriff, SHA-Authentifizierung und AES-Verschlüsselung an, jeweils mit eigenem Passwort.
Wenn das Gerät einschränken kann, welche Adressen es abfragen dürfen, erlaube nur den PC, auf dem NetBlade läuft.
Fülle Kontakt und Standort aus (sysContact, sysLocation). NetBlade liest sie und zeigt sie auf der Karte an, und so wird aus „ein Switch“ „der Switch im Rack im zweiten Stock, betreut von dir“.
Schalte auf Switches auch LLDP ein, wenn du die Netzwerkkarte aufbauen willst.
Speichere, und sichere auf Switches, die das brauchen, die laufende Konfiguration.

Achtung: Aktiviere für NetBlade niemals eine Schreib-Community (Lesen/Schreiben) oder einen v3-Benutzer mit Schreibrechten. NetBlade liest nur; Schreibzugriff würde NetBlade nichts bringen und demjenigen alles, der die Zeichenfolge findet. Und lass UDP-Port 161 niemals aus dem Internet erreichbar sein.

3. Die SNMP-Anmeldedaten hinterlegen

Öffne Anmeldedaten und klicke auf Hinzufügen….
Stelle Protokoll auf SNMP und wähle die SNMP-Version.
Gib bei v1 oder v2c die Community ein. Fülle bei v3 Benutzer, Authentifizierung und Authentifizierungspasswort, Verschlüsselung und Verschlüsselungspasswort aus.
Wähle Wo sie gelten. Ein Standort ist die übliche Wahl. Liegen deine Netzwerkgeräte in einem Management-Netz, das du auf der Scan-Seite mit Bereich behalten gespeichert hast, beschränkt Diese Scanbereiche die Anmeldedaten genau auf diese Geräte.
Gib eine Bezeichnung, zum Beispiel „Büro A - Switches v3“, und klicke auf Hinterlegen.
Gib die Adresse eines Switches unter Rechner zum Testen ein und klicke auf Testen. LETZTER TEST sollte «Funktioniert» zeigen.

Nutzen verschiedene Geräte verschiedene Communities, hinterlege für jede eigene Anmeldedaten und ordne sie mit Früher versuchen und Später versuchen: NetBlade probiert sie der Reihe nach und hört beim ersten auf, das antwortet. Ein Gerät mit eigener Zeichenfolge kann auf der Registerkarte Anmeldedaten seiner Karte eine Ausnahme für dieses Gerät bekommen.

4. Die Geräte auslesen

Öffne Geräte, filtere nach Typ, wenn du nur Netzwerkgeräte willst, und klicke auf Tiefeninventar. Oder klicke unter Standorte auf Alle Geräte auslesen.
Öffne die Karte eines Switches. Der Auslesestatus zeigt «Ausgelesen am … über …».

Was per SNMP zurückkommt:

Übersicht und Hardware: Modell, Seriennummer, Firmware- und Hardware-Revision, wie das Gerät sich nennt und beschreibt, Betriebszeit, Kontakt und Standort.
Registerkarte Schnittstellen: jeder Port mit seinem Zustand (aktiv, inaktiv, vom Administrator deaktiviert), Geschwindigkeit, VLANs (tagged und untagged), Power over Ethernet pro Port und An jedem Port gesehen: die MAC-Adressen, die der Switch hinter jedem Port gelernt hat, wo möglich den Geräten in deinem Katalog zugeordnet.
Drucker: Verbrauchsmaterial (Toner, Trommel, Fixiereinheit, Resttonerbehälter usw. mit Füllstand), Status und Gedruckte Seiten.
NAS und Server, die es veröffentlichen: Arbeitsspeicher und Speicherplatz.

Ein Gerät antwortet mit dem, was sein SNMP-Agent veröffentlicht, und mehr lässt sich nicht abfragen. Die Karte sagt das klar: «Über SNMP ausgelesen. Das Gerät antwortet mit dem, was sein Agent veröffentlicht — Modell, Seriennummer, Schnittstellen, Verbrauchsmaterial — und mehr lässt sich hier nicht abfragen.»

5. Ein Gerät nach allem fragen

Das Inventar stellt eine feste Liste von Fragen. Brauchst du etwas anderes, etwa die Restlaufzeit einer USV, die Plattentemperatur eines NAS oder die exakte Firmware-Zeichenfolge eines Switches, nutze die Registerkarte Veröffentlicht der Karte:

Öffne die Karte des Geräts und die Registerkarte Veröffentlicht.
Klicke auf Alles abfragen. NetBlade durchläuft den gesamten SNMP-Baum des Geräts, den Standardteil und den herstellereigenen Teilbaum.
Tippe in nach Name, OID oder Wert filtern, um zu finden, was du brauchst.

Das ist langsam, ein Roundtrip pro Wert, und wird nicht gespeichert: Die meisten Werte sind Zähler, die nur für eine Sekunde stimmten.

6. Ein Gerät schnell prüfen, ohne etwas zu hinterlegen

Die Seite Tools enthält ein SNMP-Tool, das die Systemgruppe einer beliebigen Adresse (Name, Beschreibung, Modell, Seriennummer, Betriebszeit, Kontakt, Standort) mit einer Community abfragt, die du eingibst. Praktisch am Telefon mit jemandem, der das Gerät in der Hand hält. Antwortet das Gerät auf die Werks-Community, sagt das Tool es: «Es antwortet auf die Werks-Community. Jeder, der diese Adresse erreicht, kann alles lesen, was es veröffentlicht.»

7. Werks-Communities schließen

Die Identifizierung (Identifizieren auf einer Karte oder Alle Geräte identifizieren unter Standorte) probiert öffentliches SNMP. Jedes Gerät, das noch auf seine Werks-Community antwortet, bekommt unter Zu beheben einen Befund, «SNMP antwortet auf das Werkspasswort», und verletzt die Compliance-Regel «SNMP ohne Werks-Community».

Für jedes davon:

Öffne die Weboberfläche des Geräts.
Ändere die Community in eine lange Zeichenfolge oder, besser, steig auf v3 um. Braucht auf diesem Gerät nichts SNMP, schalte es ab.
Aktualisiere in NetBlade deine Anmeldedaten (siehe Rotation) und lies das Gerät erneut aus.
Klicke unter Zu beheben auf Jetzt prüfen.

Prüfen, ob es geklappt hat

Die Karte des Switches zeigt «Ausgelesen am … über …», und die Registerkarte Schnittstellen listet Ports, VLANs und gelernte MAC-Adressen.
Die Karte des Druckers zeigt Verbrauchsmaterial und Gedruckte Seiten.
Zu beheben listet «SNMP antwortet auf das Werkspasswort» für die geänderten Geräte nicht mehr.

Wenn etwas schiefgeht

«keine Antwort auf eine SNMP-…-Anfrage: Der Agent ist aus, auf eine andere Version eingestellt oder erwartet eine andere Community». Prüfe in dieser Reihenfolge: SNMP am Gerät aktiviert, Version in NetBlade stimmt überein, Community oder v3-Benutzer korrekt, und das Gerät erlaubt Abfragen von der Adresse des NetBlade-PCs.
v3 antwortet nicht, v2c aber schon. Fast immer die Algorithmen. Stimme Authentifizierung und Verschlüsselung exakt auf die Einstellungen des Geräts ab (SHA-1 und AES-128 für SHA und AES in NetBlade).
Die Registerkarte „Veröffentlicht“ meldet, dass nur ein SNMP-Gerät einen Baum veröffentlicht. Hinterlege SNMP-Anmeldedaten, die für dieses Gerät gelten.
Eine MAC-Adresse hinter einem Router fehlt. Ein Scan sieht MAC-Adressen nur im lokalen Segment. Hinter einem Router sind MAC-Adressen nur per SNMP sichtbar, von den Geräten, die sie gelernt haben.

Weiter

Wenn deine Switches auf SNMP antworten, kannst du zeichnen, wie alles verkabelt ist: Die Netzwerkkarte aufbauen. Betreibst du auch Linux-Server, siehe Linux-Rechner über SSH.

← Alle Anleitungen Funktionsübersicht → Das Produkt: NetBlade Windows →