SNMP

구성

UDP/161
- get-request
- get-response
- get-next-request
- set-request
UDP/162
- trap

메시지(SNMPv1 PDU)	보내는 쪽 → 받는 쪽	하는 일
GetRequest	매니저 → 에이전트	지정한 변수(MIB 객체)의 값을 요청한다
GetNextRequest	매니저 → 에이전트	지정한 변수의 다음 변수 값을 요청한다. MIB 트리를 차례로 훑을 때 쓴다
SetRequest	매니저 → 에이전트	변수 값을 바꾸라고 요청한다
GetResponse	에이전트 → 매니저	위 요청에 대한 응답으로 변수 값을 돌려준다
Trap	에이전트 → 매니저	장비에 특정 사건(링크 다운, 재시작 등)이 생기면 에이전트가 요청 없이 먼저 알린다

SNMP 를 쓸 때 장비마다 다음을 적용한다.

설정	이유
커뮤니티 스트링을 기본값(public, private)이 아닌 유추하기 어려운 값으로 바꾼다	기본값을 그대로 두면 누구나 장비 정보를 조회하거나 설정을 바꿀 수 있다
암호화와 인증을 지원하는 SNMPv3를 쓴다	v1·v2c 는 커뮤니티 스트링이 평문으로 오가 스니핑에 노출된다
ACL로 SNMP 요청을 받을 관리 호스트(NMS)를 제한한다	허용한 관리 서버 외에는 UDP 161 에 접근하지 못하게 한다
RW(Read-Write) 커뮤니티는 지우고 가급적 RO(Read-Only)만 둔다	쓰기 권한이 있으면 set-request 로 장비 설정을 바꿀 수 있다

쓰지 않는다면 SNMP 서비스 자체를 끈다. 시스코 라우터는 전역 설정 모드에서 no snmp-server 로 SNMP 에이전트를 끈다(설정 명령 앞에 no 를 붙이면 그 설정을 지운다).

Router# configure terminal
Router(config)# no snmp-server

필 드	설 명
msgAuthoritativeEngineID	재전송 공격 방지
msgAthoritativeEngineBoots
msgAthoritativeEngineTime
msgUserName	메시지 위·변조 방지. 메시지 인증
msgAuthenticationParameter	메시지 위·변조 방지. 메시지 인증
msgPrivacyParameters	스니핑 방지, 메세지 암호화(DES-CBC 지원)

기능	담당 프로토콜
네트워크 장비의 관리 및 감시(상태 조회·설정 변경·이벤트 통보)	SNMP
대규모 통신망의 계층적 관리	CMIP (OSI 기반)
전송 중 오류 보고, 호스트 간 연결성 점검(ping)	ICMP
네트워크 혼잡 제어	TCP

SNMP 는 TCP/IP 환경의 중소 규모 망관리를 위해 단순하게 만든 프로토콜이다. 관리자(NMS)가 장비의 에이전트에 get·set 으로 묻고 바꾸며, 장비는 이상이 생기면 trap 으로 먼저 알린다.