SNMPv3 unter Linux mit net-snmp: SHA/AES-Benutzer mit Sicherheitsstufe priv, Communities entfernt

Ziel

snmpd von net-snmp so konfigurieren, dass Monitoring-Abfragen einen authentifizierten, verschlüsselten SNMPv3-Benutzer verwenden statt eines Community-Strings von SNMPv1/v2c im Klartext, und sicherstellen, dass kein Community-basierter Zugriff übrig bleibt.

Voraussetzungen

Root-Zugriff auf den Host, auf dem snmpd läuft; das Paket net-snmp (bzw. snmpd) ist installiert; snmpd ist derzeit nur aus einem vertrauenswürdigen Management-Netz erreichbar (eine Firewall-Regel, die keinen Ersatz für Authentifizierung darstellt).

Schritte

1. /etc/snmp/snmpd.conf sichern und danach snmpd stoppen: systemctl stop snmpd. Das ist nötig, weil snmpd seine persistente Datei (/var/lib/snmp/snmpd.conf unter Debian, /var/lib/net-snmp/snmpd.conf unter RHEL) beim Beenden neu schreibt und eine createUser-Zeile, die während des Betriebs ergänzt wurde, dabei verloren ginge.
2. Den SNMPv3-Benutzer mit net-snmp-create-v3-user anlegen; das Skript schreibt eine createUser-Zeile in diese persistente Datei: net-snmp-create-v3-user -ro -A <authpassphrase> -a SHA -X <privpassphrase> -x AES monitor. Laut den Optionen des Befehls macht -ro den Benutzer schreibgeschützt (ohne diese Option gewährt das Skript Lese- und Schreibzugriff), -A setzt das Authentifizierungspasswort und -a den Authentifizierungsalgorithmus (hier SHA; aufgeführt sind auch SHA-256/SHA-512), -X setzt das Verschlüsselungspasswort (Privacy) und -x den Verschlüsselungsalgorithmus (hier AES). Die Passphrasen müssen mindestens 8 Zeichen lang sein.
3. Alternativ, oder um einen zweiten Benutzer anzulegen, die Zeile selbst schreiben: createUser monitor SHA "<authpassphrase>" AES "<privpassphrase>". Nach snmpd.conf(5) gehört sie in die persistente Datei, wo snmpd sie beim Start durch einen lokalisierten Schlüssel ersetzt.
4. Diesem Benutzer Lesezugriff auf der Sicherheitsstufe priv (Authentifizierung und Verschlüsselung erforderlich) geben: rouser monitor priv in /etc/snmp/snmpd.conf. Ohne dieses Schlüsselwort gilt laut snmpd.conf(5) standardmässig auth, was unverschlüsselte Anfragen zulässt; deshalb priv in der vom Skript angehängten rouser-/rwuser-Zeile ergänzen (das Skript gibt aus, welche Datei es geändert hat).
5. Sämtliche Zeilen rocommunity, rocommunity6, rwcommunity und rwcommunity6 aus snmpd.conf entfernen, ebenso jede com2sec-/com2sec6-Zeile samt den zugehörigen group- und access-Zeilen: snmpd.conf(5) beschreibt com2sec als zweiten Weg, einen Community-String einem Zugriff zuzuordnen, und die Standardkonfiguration von RHEL verwendet ihn für public.
6. snmpd starten und das Startprotokoll (journalctl -u snmpd -n 50) auf Konfigurationswarnungen prüfen; snmpd hat keinen Konfigurationstest-Modus wie rsyslogd -N1.
7. Den v3-Benutzer von einem Management-Host aus testen: snmpwalk -v3 -u monitor -l authPriv -a SHA -A <authpassphrase> -x AES -X <privpassphrase> <host> system. snmpcmd(1) beschreibt -l authPriv als Sicherheitsstufe und -u, -a/-A, -x/-X als Benutzer-, Authentifizierungs- und Privacy-Einstellungen. Passphrasen auf der Kommandozeile landen in der Shell-Historie und in der Prozessliste; mit ~/.snmp/snmp.conf (defSecurityName, defAuthPassphrase, ...) lässt sich das vermeiden.
8. Bestätigen, dass der alte Zugriffsweg nicht mehr funktioniert: snmpwalk -v2c -c public <host> system muss in einen Timeout laufen oder abgewiesen werden.

Erwartetes Ergebnis

Der v3-Walk aus Schritt 7 liefert den Teilbaum system; der v2c-Walk aus Schritt 8 schlägt fehl; grep -E "rocommunity|rwcommunity|com2sec" /etc/snmp/snmpd.conf gibt nichts zurück.

Grenzen und Prüfbasis

Basiert auf snmpd.conf(5), net-snmp-create-v3-user(1) und snmpwalk(1). Zum Rückgängigmachen die gesicherte snmpd.conf wiederherstellen und snmpd neu starten. In snmpd.conf eingetragene Passphrasen liegen dort im Klartext vor, sofern nicht stattdessen lokalisierte Schlüssel verwendet werden; die Dateiberechtigungen daher auf root beschränken.