Lire commutateurs, imprimantes, NAS et routeurs par SNMP

Les commutateurs, imprimantes, NAS, onduleurs et routeurs n’acceptent pas de connexion Windows, mais presque tous parlent SNMP, le protocole standard pour interroger un équipement réseau sur lui-même. Avec SNMP activé et un identifiant enregistré, NetBlade lit leur modèle, leur numéro de série et leur firmware, chaque port avec ses VLAN et son PoE, les adresses MAC apprises sur chaque port, les consommables d’imprimante et les compteurs de pages. C’est aussi ce à partir de quoi la carte du réseau est construite. Cet article vous guide pour le faire sans ouvrir un nouveau trou.

Avant de commencer

Les appareils dans Appareils après un scan (Bien démarrer).
Un accès administrateur à l’interface web ou à la console de chaque appareil, pour activer SNMP.
L’adresse IP du PC qui exécute NetBlade, pour restreindre l’accès SNMP à lui là où l’appareil le permet.

1. Choisir la version de SNMP

NetBlade prend en charge SNMP v1, v2c et v3.

v1 et v2c s’authentifient avec une communauté, une seule chaîne partagée qui fonctionne comme un mot de passe. Elle circule en clair : chaque appareil sur le chemin peut la lire. v2c est celle à utiliser si vous devez choisir entre les deux.
v3 a un utilisateur, un mot de passe d’authentification et un mot de passe de chiffrement. C’est la seule version qui protège l’échange.

Utilisez v3 partout où l’appareil le prend en charge ; gardez v2c pour les équipements plus anciens qui ne le font pas. Dans NetBlade, v3 propose MD5 ou SHA pour l’authentification et DES ou AES pour le chiffrement. Le SHA de NetBlade est SHA-1 et son AES est AES-128, alors choisissez ceux-là sur l’appareil quand il propose plusieurs variantes.

Attention : Avec v3, vous devez choisir les algorithmes auxquels l’appareil est réellement réglé. Un appareil attendant SHA ne refuse pas une requête MD5, il l’ignore, alors un mauvais choix ressemble exactement à un appareil éteint.

2. Activer SNMP, sur chaque appareil

Chaque marque le place différemment, mais les étapes sont presque toujours les mêmes (ceci est un conseil général, pas spécifique à NetBlade) :

Ouvrez l’interface web de l’appareil et trouvez la page SNMP, généralement sous Management, Système ou Services réseau.
Activez l’agent SNMP.
Pour v2c, remplacez la communauté d’usine par une longue chaîne aléatoire et rendez-la en lecture seule. Pour v3, créez un utilisateur avec un accès en lecture seule, une authentification SHA et un chiffrement AES, chacun avec son propre mot de passe.
Si l’appareil vous laisse restreindre quelles adresses peuvent l’interroger, n’autorisez que le PC qui exécute NetBlade.
Renseignez contact et emplacement (sysContact, sysLocation). NetBlade les lit et les montre sur la fiche, ce qui transforme « un commutateur » en « le commutateur de la baie du deuxième étage, géré par vous ».
Sur les commutateurs, activez aussi LLDP si vous prévoyez de construire la carte du réseau.
Enregistrez, et sur les commutateurs qui le nécessitent, sauvegardez la configuration active.

Attention : N’activez jamais une communauté ou un utilisateur v3 en écriture (lecture-écriture) pour NetBlade. Il ne fait que lire, alors l’accès en écriture ne donnerait rien à NetBlade et tout à quiconque trouve la chaîne. Et ne laissez jamais le port UDP 161 être joignable depuis internet.

3. Enregistrer l’identifiant SNMP

Ouvrez Identifiants et appuyez sur Ajouter….
Réglez le Protocole sur SNMP et choisissez la version SNMP.
Pour v1 ou v2c, saisissez la Communauté. Pour v3, renseignez l’Utilisateur, l’Authentification et le mot de passe d’authentification, le Chiffrement et le mot de passe de chiffrement.
Choisissez Où il s’applique. Un site est le choix habituel. Si vos équipements réseau vivent dans une plage de gestion que vous avez enregistrée avec Conserver cette portée sur la page Scan, Ces portées de scan limite l’identifiant à exactement ces appareils.
Nommez-le, par exemple « Bureau A - commutateurs v3 », et appuyez sur Enregistrer.
Saisissez l’adresse d’un commutateur dans Machine à tester et appuyez sur Tester. DERNIER TEST doit indiquer « Fonctionne ».

Si différents appareils utilisent différentes communautés, enregistrez un identifiant pour chacun et ordonnez-les avec Essayer plus tôt et Essayer plus tard : NetBlade les essaie dans l’ordre et s’arrête au premier qui répond. Un appareil avec sa propre chaîne peut obtenir un Remplacement pour cet appareil depuis l’onglet Identifiants de sa fiche.

4. Lire les appareils

Ouvrez Appareils, filtrez par Type si vous ne voulez que les équipements réseau, et appuyez sur Inventaire approfondi. Ou, dans Sites, appuyez sur Lire tous les appareils.
Ouvrez la fiche d’un commutateur. L’état de lecture indique « Lu … via … ».

Ce qui revient par SNMP :

Résumé et Matériel : modèle, numéro de série, firmware et révision matérielle, comment l’appareil se nomme et se décrit, temps de fonctionnement, contact et emplacement.
Onglet Interfaces : chaque port avec son état (actif, inactif, désactivé par un administrateur), sa vitesse, ses VLAN (marqués et non marqués), le Power over Ethernet par port, et Vu sur chaque port : les adresses MAC que le commutateur a apprises derrière chaque port, associées aux appareils de votre catalogue quand c’est possible.
Imprimantes : consommables (toner, tambour, four, bac à toner usagé et ainsi de suite, avec leur niveau), état et Pages imprimées.
NAS et serveurs qui le publient : mémoire et stockage.

Un appareil répond avec ce que son agent SNMP publie, et il n’y a rien de plus à demander. La fiche le dit clairement : « Lu par SNMP. L’appareil répond avec ce que son agent publie — modèle, numéro de série, interfaces, consommables — et il n’y a rien de plus à demander ici. »

5. Demander tout à un appareil

L’inventaire pose une liste fixe de questions. Quand vous avez besoin d’autre chose, l’autonomie d’un onduleur, la température d’un disque de NAS, la chaîne exacte du firmware d’un commutateur, utilisez l’onglet Publié de la fiche :

Ouvrez la fiche de l’appareil et l’onglet Publié.
Appuyez sur Tout demander. NetBlade parcourt tout l’arbre SNMP de l’appareil, la partie standard et le sous-arbre propre au fabricant.
Saisissez dans filtrer par nom, OID ou valeur pour trouver ce dont vous avez besoin.

C’est lent, un aller-retour par valeur, et ce n’est pas stocké : la plupart des valeurs sont des compteurs qui étaient vrais pour une seconde.

6. Vérifier un appareil rapidement sans rien enregistrer

La page Outils a un outil SNMP qui interroge le groupe système de n’importe quelle adresse (nom, description, modèle, numéro de série, temps de fonctionnement, contact, emplacement) avec une communauté que vous saisissez. Il est pratique au téléphone avec quelqu’un qui tient le boîtier. Si l’appareil répond à la communauté d’usine, l’outil le dit : « Il répond à la communauté d’usine. Quiconque peut atteindre cette adresse peut lire tout ce qu’il publie. »

7. Fermer les communautés d’usine

L’identification (Identifier sur une fiche, ou Identifier tous les appareils dans Sites) essaie le SNMP public. Tout appareil qui répond encore à sa communauté d’usine reçoit un constat sur À corriger, « SNMP répond au mot de passe d’usine », et enfreint la règle de conformité « SNMP sans la communauté d’usine ».

Pour chacun :

Ouvrez l’interface web de l’appareil.
Changez la communauté pour une longue chaîne, ou mieux, passez à v3. Si rien n’a besoin de SNMP sur cet appareil, désactivez-le.
Dans NetBlade, mettez à jour votre identifiant (voir rotation) et relisez l’appareil.
Sur À corriger, appuyez sur Vérifier maintenant.

Vérifier que ça a marché

La fiche du commutateur indique « Lu … via … » et l’onglet Interfaces liste les ports, les VLAN et les adresses MAC apprises.
La fiche de l’imprimante montre les consommables et Pages imprimées.
À corriger ne liste plus « SNMP répond au mot de passe d’usine » pour les appareils que vous avez modifiés.

Si quelque chose ne va pas

« aucune réponse à une requête SNMP … : l’agent est éteint, réglé sur une version différente, ou attend une autre communauté ». Vérifiez, dans cet ordre : SNMP activé sur l’appareil, la version dans NetBlade correspond, la communauté ou l’utilisateur v3 est correct, et l’appareil autorise les requêtes depuis l’adresse du PC NetBlade.
v3 ne répond pas, mais v2c oui. Presque toujours les algorithmes. Faites correspondre Authentification et Chiffrement exactement aux réglages de l’appareil (SHA-1 et AES-128 pour le SHA et l’AES de NetBlade).
L’onglet Publié dit que seul un appareil SNMP publie un arbre. Enregistrez un identifiant SNMP qui s’applique à cet appareil.
Une adresse MAC derrière un routeur manque. Un scan ne voit que les adresses MAC du segment local. Au-delà d’un routeur, les adresses MAC ne sont visibles que par SNMP, depuis l’équipement qui les a apprises.

Suite

Vos commutateurs répondant à SNMP, vous pouvez dessiner comment tout est câblé : Construire la carte du réseau. Si vous exploitez aussi des serveurs Linux, voir Machines Linux par SSH.

← Tous les tutoriels Guide des fonctionnalités → Le produit: NetBlade Windows →