Zum Inhalt

SNMPv3 (USM) einrichten

SNMPv3 ergänzt die einfachen Community-Strings von SNMP v1/v2c um Authentifizierung (Integrität) und Verschlüsselung (Vertraulichkeit) über das User-based Security Model (USM). Vesana unterstützt SNMPv3 pro Host und als tenant-weites Zugangsdaten-Set.

Wo du es einträgst

  • Beim Host anlegen im Bereich Zugangsdaten → SNMP: die Version auf v3 stellen, dann erscheinen die USM-Felder.
  • An einem bestehenden Host über Host verwalten → Zugänge.
  • Als Zugangsdaten-Set der Art SNMP v3 beim Kunden (Tenants → Kunde aufklappen → Zugangsdaten) — danach überall per „Gespeicherte Zugangsdaten" auswählbar.
  • Im Automatischen Setup in der Aufgabe „SNMP-Zugang klären" (v3: Benutzer + Passwörter).

Felder

  • Benutzername (Security Name) — der SNMPv3-Benutzer auf dem Gerät.
  • Auth-Passwort — für Authentifizierung.
  • Verschlüsselungs-Passwort (Priv-Passwort) — für Verschlüsselung; nur zusammen mit einem Auth-Passwort möglich.
  • „Protokolle manuell festlegen" (optional): Auth-Protokoll SHA-256, SHA-512, SHA-384, SHA-224, SHA-1 (legacy), MD5 (legacy) und Verschlüsselung AES-128, AES-256, AES-192, DES (legacy). Standard ist „Automatisch erkennen" — wer die Protokolle kennt, stellt sie hier ein.

Beide Passwörter werden verschlüsselt gespeichert (AES-256) und nie im Klartext zurückgegeben. SNMPv3-Passwörter müssen mindestens 8 Zeichen lang sein.

Security-Level: nicht raten, sondern ableiten

Es gibt kein Security-Level-Feld. Vesana leitet die Stufe aus den eingegebenen Passwörtern ab:

Eingabe Ergebnis
nur Benutzername noAuthNoPriv
Benutzername + Auth-Passwort authNoPriv
Benutzername + Auth-Passwort + Verschlüsselungs-Passwort authPriv (empfohlen)

Das gilt beim Anlegen, beim Bearbeiten und für Zugangsdaten-Sets gleichermaßen.

„Verbindung prüfen"

SNMPv3 verrät nicht, welche Auth-/Verschlüsselungs-Verfahren ein Gerät erwartet. Statt zu raten: Benutzername und Passwörter eintragen und „Verbindung prüfen" drücken. Vesana probiert die gängigen Kombinationen am echten Gerät durch und speichert nur, was nachweislich funktioniert.

  • Geprüft wird zuerst direkt vom Server — die Antwort kommt in Sekunden, auch auf einer frisch installierten Instanz ohne Collector. Nur wenn das Gerät für den Server nicht erreichbar ist, übernimmt der Collector des Hosts.
  • Vorab prüft Vesana, ob das Gerät überhaupt auf SNMP antwortet, und probiert danach die ganze Matrix — auch bei Geräten wie MikroTik, die Anfragen mit falschem Verfahren still verwerfen.
  • Erfolg: „Verbindung steht — Gerät meldet sich als „switch-01"" mit der erkannten Kombination (z. B. „Erkannt: authPriv · Auth SHA256 · Verschlüsselung AES"). Die Protokolle werden ins Formular übernommen und im Host-Dialog direkt am Host gespeichert („· gespeichert").
  • Fehler in Klartext, egal von wo geprüft wurde:
Meldung Bedeutung
Gerät antwortet nicht auf SNMP UDP 161 nicht erreichbar oder SNMP am Gerät aus
Benutzername am Gerät unbekannt USM-Benutzer existiert dort nicht
Auth-Passwort passt nicht Authentifizierung abgelehnt
Verschlüsselungs-Passwort passt nicht Priv-Passwort falsch
Gerät hat die Verbindung abgelehnt Gerät antwortet, akzeptiert aber keine Kombination — Passwörter prüfen
Uhrzeit-Abweichung zum Gerät USM-Zeitfenster verletzt — Uhr am Gerät stellen
Passwort zu kurz (mind. 8 Zeichen) USM-Mindestlänge
Collector noch nicht aktuell Der zuständige Collector kann die Prüfung noch nicht; er aktualisiert sich selbst — Name und Version stehen in der Meldung

Muss zum Gerät passen

Benutzername, Protokolle und Passwörter müssen exakt dem SNMPv3-Benutzer entsprechen, der auf dem Zielgerät konfiguriert ist. Stimmt etwas nicht überein, liefern die SNMP-Checks keine oder falsche Werte — deshalb vor dem Speichern „Verbindung prüfen". Im Zweifel die SNMPv3-Benutzerkonfiguration am Gerät prüfen (gleicher Auth-/Verschlüsselungs-Algorithmus, gleiche Passwörter).

Abgrenzung: Discovery-Communities

Die Netz-Suche und die Klassifikation der Discovery sprechen SNMP v1/v2c über Communities. SNMPv3-Zugänge nutzt das Automatische Setup beim Einrichten der Geräte, und sie gelten für die SNMP-Checks des jeweiligen Hosts.

Anschluss