Switches, printers, NAS en routers uitlezen via SNMP

Switches, printers, NAS-apparaten, UPS’en en routers accepteren geen Windows-aanmelding, maar bijna allemaal spreken ze SNMP, het standaardprotocol om netwerkapparatuur naar zichzelf te vragen. Met SNMP aan en één vastgelegde referentie leest NetBlade hun model, serienummer en firmware, elke poort met VLAN’s en PoE, de MAC-adressen die per poort zijn geleerd, de verbruiksartikelen van printers en het aantal pagina’s. Het is ook de basis van de netwerkkaart. Dit artikel laat zien hoe je dat doet zonder een nieuw gat te openen.

Voordat je begint

De apparaten in Apparaten na een scan (Aan de slag).
Beheerderstoegang tot de webinterface of console van elk apparaat, om SNMP aan te zetten.
Het IP-adres van de pc waarop NetBlade draait, om de SNMP-toegang daartoe te beperken waar het apparaat dat toestaat.

1. Kies de SNMP-versie

NetBlade ondersteunt SNMP v1, v2c en v3.

v1 en v2c verifiëren met een community, één gedeelde tekenreeks die werkt als een wachtwoord. Die gaat onversleuteld over het netwerk: elk apparaat onderweg kan hem lezen. Moet je tussen de twee kiezen, gebruik dan v2c.
v3 heeft een gebruiker, een verificatiewachtwoord en een versleutelingswachtwoord. Het is de enige versie die de uitwisseling beschermt.

Gebruik v3 waar het apparaat het ondersteunt; bewaar v2c voor oudere apparatuur die het niet kan. In NetBlade biedt v3 MD5 of SHA voor verificatie en DES of AES voor versleuteling. De SHA van NetBlade is SHA-1 en de AES is AES-128, dus kies die op het apparaat als het meerdere varianten biedt.

Waarschuwing: Bij v3 moet je de algoritmen kiezen waarop het apparaat echt is ingesteld. Een apparaat dat SHA verwacht, weigert een MD5-verzoek niet, het negeert het, dus een verkeerde keuze ziet er precies zo uit als een apparaat dat uitstaat.

2. Zet SNMP aan op elk apparaat

Elk merk zet het op een andere plek, maar de stappen zijn bijna altijd hetzelfde (dit is algemeen advies, niet specifiek voor NetBlade):

Open de webinterface van het apparaat en zoek de SNMP-pagina, meestal onder Beheer, Systeem of Netwerkdiensten.
Schakel de SNMP-agent in.
Vervang bij v2c de fabriekscommunity door een lange willekeurige tekenreeks en maak hem alleen-lezen. Maak bij v3 een gebruiker met alleen-lezentoegang, SHA-verificatie en AES-versleuteling, elk met een eigen wachtwoord.
Kun je op het apparaat beperken welke adressen het mogen bevragen, sta dan alleen de pc toe waarop NetBlade draait.
Vul contact en locatie in (sysContact, sysLocation). NetBlade leest ze uit en toont ze op de kaart, waardoor “een switch” verandert in “de switch in het rack op de tweede verdieping, beheerd door jou”.
Zet op switches ook LLDP aan als je de netwerkkaart wilt bouwen.
Sla op, en sla op switches die dat vereisen de actieve configuratie op.

Waarschuwing: Schakel voor NetBlade nooit een community of v3-gebruiker met schrijfrechten (read-write) in. NetBlade leest alleen, dus schrijftoegang geeft NetBlade niets en degene die de tekenreeks vindt alles. En laat UDP-poort 161 nooit bereikbaar zijn vanaf internet.

3. Leg de SNMP-referentie vast

Open Referenties en klik op Toevoegen….
Zet Protocol op SNMP en kies de SNMP-versie.
Typ voor v1 of v2c de Community. Vul voor v3 Gebruiker, Verificatie en Verificatiewachtwoord, Versleuteling en Versleutelingswachtwoord in.
Kies Waar hij geldt. Eén locatie is de gebruikelijke keuze. Staat je netwerkapparatuur in een beheerbereik dat je op de pagina Scan hebt opgeslagen met Dit bereik bewaren, dan beperkt Deze scanbereiken de referentie tot precies die apparaten.
Geef hem een label, bijvoorbeeld “Kantoor A - switches v3”, en klik op Vastleggen.
Typ het adres van een switch bij Machine om op te testen en klik op Testen. LAATSTE TEST hoort «Werkt» te zeggen.

Gebruiken verschillende apparaten verschillende community’s, leg dan voor elk een referentie vast en zet ze op volgorde met Eerder proberen en Later proberen: NetBlade probeert ze op volgorde en stopt bij de eerste die antwoordt. Een apparaat met een eigen tekenreeks kan een Uitzondering voor dit apparaat krijgen vanaf het tabblad Referenties op zijn kaart.

4. Lees de apparaten uit

Open Apparaten, filter op Type als je alleen netwerkapparatuur wilt, en klik op Grondige inventarisatie. Of klik in Locaties op Alle apparaten uitlezen.
Open de kaart van een switch. De uitleesstatus zegt «Uitgelezen op … via …».

Wat er via SNMP terugkomt:

Overzicht en Hardware: model, serienummer, firmware- en hardwarerevisie, hoe het apparaat zichzelf noemt en beschrijft, uptime, contact en locatie.
Tabblad Interfaces: elke poort met zijn status (actief, inactief, uitgeschakeld door een beheerder), snelheid, VLAN’s (tagged en untagged), Power over Ethernet per poort, en Gezien op elke poort: de MAC-adressen die de switch achter elke poort heeft geleerd, waar mogelijk gekoppeld aan apparaten in je catalogus.
Printers: verbruiksartikelen (toner, drum, fuser, afvaltoner enzovoort, met hun niveau), status en Afgedrukte pagina’s.
NAS en servers die het publiceren: geheugen en opslag.

Een apparaat antwoordt met wat zijn SNMP-agent publiceert, en meer valt er niet te vragen. De kaart zegt het ronduit: «Uitgelezen via SNMP. Het apparaat antwoordt met wat zijn agent publiceert — model, serienummer, interfaces, verbruiksartikelen — en meer valt hier niet te vragen.»

5. Vraag een apparaat om alles

De inventarisatie stelt een vaste lijst vragen. Heb je iets anders nodig, zoals de resterende looptijd van een UPS, de schijftemperatuur van een NAS of de exacte firmwaretekenreeks van een switch, gebruik dan het tabblad Gepubliceerd op de kaart:

Open de kaart van het apparaat en het tabblad Gepubliceerd.
Klik op Alles opvragen. NetBlade doorloopt de hele SNMP-boom van het apparaat, het standaarddeel en de eigen subboom van de fabrikant.
Typ in filteren op naam, OID of waarde om te vinden wat je nodig hebt.

Het is traag, één heen-en-terugreis per waarde, en het wordt niet opgeslagen: de meeste waarden zijn tellers die maar een seconde klopten.

6. Controleer een apparaat snel zonder iets vast te leggen

De pagina Tools heeft een tool SNMP die de systeemgroep van elk adres opvraagt (naam, beschrijving, model, serienummer, uptime, contact, locatie) met een community die je typt. Handig aan de telefoon met iemand die het kastje vasthoudt. Antwoordt het apparaat op de fabriekscommunity, dan meldt de tool dat: «Het antwoordt op de fabriekscommunity. Iedereen die dit adres kan bereiken, kan alles lezen wat het publiceert.»

7. Sluit de fabriekscommunity’s

Identificatie (Identificeren op een kaart, of Alle apparaten identificeren in Locaties) probeert openbare SNMP. Elk apparaat dat nog op zijn fabriekscommunity antwoordt, krijgt een bevinding in Op te lossen, «SNMP antwoordt op het fabriekswachtwoord», en schendt de compliance-regel «SNMP zonder fabriekscommunity».

Voor elk apparaat:

Open de webinterface van het apparaat.
Wijzig de community in een lange tekenreeks, of beter nog, stap over op v3. Heeft niets op dat apparaat SNMP nodig, zet het dan uit.
Werk in NetBlade je referentie bij (zie rotatie) en lees het apparaat opnieuw uit.
Klik in Op te lossen op Nu controleren.

Controleer of het werkt

De kaart van de switch zegt «Uitgelezen op … via …» en het tabblad Interfaces toont poorten, VLAN’s en geleerde MAC-adressen.
De kaart van de printer toont verbruiksartikelen en Afgedrukte pagina’s.
Op te lossen toont «SNMP antwoordt op het fabriekswachtwoord» niet meer voor de apparaten die je hebt aangepast.

Als er iets misgaat

«geen antwoord op een SNMP …-verzoek: de agent staat uit, is ingesteld op een andere versie of verwacht een andere community». Controleer in deze volgorde: SNMP ingeschakeld op het apparaat, de versie in NetBlade komt overeen, de community of v3-gebruiker klopt, en het apparaat staat verzoeken toe vanaf het adres van de NetBlade-pc.
v3 antwoordt niet, maar v2c wel. Bijna altijd de algoritmen. Stem Verificatie en Versleuteling precies af op de instellingen van het apparaat (SHA-1 en AES-128 voor de SHA en AES van NetBlade).
Het tabblad Gepubliceerd zegt dat alleen een SNMP-apparaat een boom publiceert. Leg een SNMP-referentie vast die voor dat apparaat geldt.
Een MAC-adres achter een router ontbreekt. Een scan ziet alleen MAC-adressen op het lokale segment. Voorbij een router zijn MAC-adressen alleen via SNMP zichtbaar, vanaf de apparatuur die ze heeft geleerd.

Volgende stap

Nu je switches op SNMP antwoorden, kun je tekenen hoe alles is bekabeld: De netwerkkaart bouwen. Heb je ook Linux-servers, zie dan Linux-machines via SSH.

← Alle how-to-handleidingen Functiehandleiding → Het product: NetBlade Windows →