Leia switches, impressoras, NAS e roteadores via SNMP

Switches, impressoras, unidades NAS, no-breaks e roteadores não aceitam um logon do Windows, mas quase todos falam SNMP, o protocolo padrão para perguntar a um equipamento de rede sobre ele mesmo. Com o SNMP ativado e uma credencial registrada, o NetBlade lê o modelo, o número de série e o firmware, cada porta com suas VLANs e PoE, os endereços MAC aprendidos em cada porta, os suprimentos das impressoras e a contagem de páginas. É também a partir disso que o mapa da rede é montado. Este artigo mostra como fazer isso sem abrir um novo buraco.

Antes de começar

Os dispositivos em Dispositivos depois de uma varredura (Primeiros passos).
Acesso de administrador à interface web ou ao console de cada dispositivo, para ativar o SNMP.
O endereço IP do PC que executa o NetBlade, para restringir o acesso SNMP a ele onde o dispositivo permitir.

1. Escolha a versão do SNMP

O NetBlade suporta SNMP v1, v2c e v3.

v1 e v2c autenticam com uma community, uma única string compartilhada que funciona como uma senha. Ela viaja em texto puro: todo dispositivo no caminho pode lê-la. A v2c é a que usar se tiver que escolher entre as duas.
v3 tem um usuário, uma senha de autenticação e uma senha de criptografia. É a única versão que protege a troca.

Use v3 onde o dispositivo suportar; guarde a v2c para equipamentos antigos que não têm. No NetBlade, a v3 oferece MD5 ou SHA para autenticação e DES ou AES para criptografia. O SHA do NetBlade é SHA-1 e o AES dele é AES-128, então escolha esses no dispositivo quando ele oferecer várias variantes.

Atenção: Com v3 você precisa escolher os algoritmos aos quais o dispositivo está realmente configurado. Um dispositivo que espera SHA não recusa uma solicitação MD5, ele a ignora, então uma escolha errada parece exatamente um dispositivo desligado.

2. Ative o SNMP em cada dispositivo

Cada marca o coloca em um lugar diferente, mas os passos são quase sempre os mesmos (isto é um conselho geral, não específico do NetBlade):

Abra a interface web do dispositivo e encontre a página SNMP, geralmente em Gerenciamento, Sistema ou Serviços de rede.
Habilite o agente SNMP.
Para v2c, substitua a community de fábrica por uma string longa e aleatória e deixe-a somente leitura. Para v3, crie um usuário com acesso somente leitura, autenticação SHA e criptografia AES, cada um com a própria senha.
Se o dispositivo permitir restringir quais endereços podem consultá-lo, autorize apenas o PC que executa o NetBlade.
Preencha contato e localização (sysContact, sysLocation). O NetBlade os lê e os mostra na ficha, o que transforma “um switch” em “o switch no rack do segundo andar, gerenciado por você”.
Nos switches, ative também o LLDP se você pretende montar o mapa da rede.
Salve e, nos switches que exigem, salve a configuração em execução.

Atenção: Nunca habilite uma community ou um usuário v3 de escrita (read-write) para o NetBlade. Ele só lê, então o acesso de escrita não dá nada ao NetBlade e dá tudo a quem descobrir a string. E nunca deixe a porta UDP 161 acessível pela internet.

3. Registre a credencial SNMP

Abra Credenciais e clique em Adicionar….
Defina Protocolo como SNMP e escolha a Versão do SNMP.
Para v1 ou v2c, digite a Community. Para v3, preencha Usuário, Autenticação e Senha de autenticação, Criptografia e Senha de criptografia.
Escolha Onde vale. Um site é a escolha usual. Se seus equipamentos de rede ficam em um intervalo de gerenciamento que você salvou com Guardar este escopo na página Varredura, Estes escopos de varredura limita a credencial exatamente a esses dispositivos.
Dê a ela um rótulo, por exemplo “Escritório A - switches v3”, e clique em Registrar.
Digite o endereço de um switch em Máquina para testar e clique em Testar. ÚLTIMO TESTE deve dizer «Funciona».

Se dispositivos diferentes usam communities diferentes, registre uma credencial para cada e ordene-as com Tentar antes e Tentar depois: o NetBlade as testa em ordem e para na primeira que responde. Um dispositivo com a própria string pode receber uma Exceção para este dispositivo pela aba Credenciais da ficha dele.

4. Leia os dispositivos

Abra Dispositivos, filtre por Tipo se quiser só equipamentos de rede, e clique em Inventário detalhado. Ou, em Sites, clique em Ler todos os dispositivos.
Abra a ficha de um switch. O estado de leitura diz «Lido em … via …».

O que volta pelo SNMP:

Resumo e Hardware: modelo, número de série, revisão de firmware e de hardware, como o dispositivo se chama e se descreve, uptime, contato e localização.
Aba Interfaces: cada porta com seu estado (ativa, inativa, desativada por um administrador), velocidade, VLANs (tagged e untagged), Power over Ethernet por porta, e Visto em cada porta: os endereços MAC que o switch aprendeu atrás de cada porta, associados a dispositivos do seu catálogo onde for possível.
Impressoras: suprimentos (toner, cilindro, fusor, toner residual e assim por diante, com o nível), status e Páginas impressas.
NAS e servidores que publicam isso: memória e armazenamento.

Um dispositivo responde com o que o agente SNMP dele publica, e não há mais nada a pedir. A ficha diz isso com clareza: «Lido via SNMP. O dispositivo responde com o que o agente dele publica — modelo, número de série, interfaces, suprimentos — e não há mais nada a pedir aqui.»

5. Peça tudo a um dispositivo

O inventário faz uma lista fixa de perguntas. Quando você precisa de outra coisa, o tempo de autonomia de um no-break, a temperatura de um disco de NAS, a string exata de firmware de um switch, use a aba Publicado da ficha:

Abra a ficha do dispositivo e a aba Publicado.
Clique em Pedir tudo. O NetBlade percorre toda a árvore SNMP do dispositivo, a parte padrão e a subárvore própria do fabricante.
Digite em filtrar por nome, OID ou valor para achar o que você precisa.

É lento, uma ida e volta por valor, e não é armazenado: a maioria dos valores são contadores que valeram por um segundo.

6. Verifique um dispositivo rápido sem registrar nada

A página Ferramentas tem uma ferramenta SNMP que pergunta o grupo de sistema de qualquer endereço (nome, descrição, modelo, número de série, uptime, contato, localização) com uma community que você digita. É prática no celular com alguém segurando o equipamento. Se o dispositivo responder à community de fábrica, a ferramenta avisa: «Ele responde à community de fábrica. Qualquer um que alcance este endereço pode ler tudo o que ele publica.»

7. Feche as communities de fábrica

A identificação (Identificar em uma ficha, ou Identificar todos os dispositivos em Sites) tenta o SNMP público. Todo dispositivo que ainda responder à community de fábrica recebe um achado em A corrigir, «O SNMP responde à senha de fábrica», e viola a regra de conformidade «SNMP sem a community de fábrica».

Para cada um:

Abra a interface web do dispositivo.
Troque a community por uma string longa, ou melhor, passe para v3. Se nada precisa de SNMP nesse dispositivo, desligue-o.
No NetBlade, atualize a credencial (veja rotação) e leia o dispositivo de novo.
Em A corrigir, clique em Verificar agora.

Verifique se funcionou

A ficha do switch diz «Lido em … via …» e a aba Interfaces lista portas, VLANs e endereços MAC aprendidos.
A ficha da impressora mostra suprimentos e Páginas impressas.
A corrigir não lista mais «O SNMP responde à senha de fábrica» para os dispositivos que você mudou.

Se algo der errado

«sem resposta a uma solicitação SNMP …: o agente está desligado, configurado para outra versão ou esperando outra community». Verifique, nesta ordem: SNMP habilitado no dispositivo, a versão no NetBlade corresponde, a community ou o usuário v3 está certo, e o dispositivo permite consultas do endereço do PC do NetBlade.
A v3 não responde, mas a v2c responde. Quase sempre os algoritmos. Faça Autenticação e Criptografia corresponderem exatamente às configurações do dispositivo (SHA-1 e AES-128 para o SHA e o AES do NetBlade).
A aba Publicado diz que só um dispositivo SNMP publica uma árvore. Registre uma credencial SNMP que se aplique a esse dispositivo.
Falta um endereço MAC atrás de um roteador. Uma varredura só enxerga endereços MAC no segmento local. Além de um roteador, os endereços MAC só são visíveis via SNMP, a partir do equipamento que os aprendeu.

Próximo passo

Com seus switches respondendo ao SNMP, você pode desenhar como tudo está ligado: Monte o mapa da rede. Se você também tem servidores Linux, veja Máquinas Linux via SSH.

← Todos os guias práticos Guia de recursos → O produto: NetBlade Windows →