SNMPv3 no Linux com net-snmp: usuário SHA/AES com nível de segurança priv e communities desativadas

Objetivo

Configurar o snmpd do net-snmp para que as consultas de monitoramento usem um usuário SNMPv3 autenticado e criptografado, em vez de uma community string em texto puro do SNMPv1/v2c, e confirmar que não resta nenhum acesso baseado em community.

Pré-requisitos

Acesso root ao host que executa o snmpd; o pacote net-snmp (ou snmpd) instalado; snmpd acessível atualmente apenas a partir de uma rede de gerenciamento confiável (uma regra de firewall, que não substitui a autenticação).

Passos

1. Faça um backup de /etc/snmp/snmpd.conf e depois pare o snmpd: systemctl stop snmpd. Isso é necessário porque o snmpd reescreve seu arquivo persistente (/var/lib/snmp/snmpd.conf no Debian, /var/lib/net-snmp/snmpd.conf no RHEL) ao encerrar, o que descartaria uma linha createUser adicionada enquanto ele está em execução.
2. Crie o usuário SNMPv3 com net-snmp-create-v3-user, que grava uma linha createUser nesse arquivo persistente: net-snmp-create-v3-user -ro -A <authpassphrase> -a SHA -X <privpassphrase> -x AES monitor. Segundo as opções do próprio comando, -ro torna o usuário somente leitura (sem ela, o script concede acesso de leitura e escrita), -A define a senha de autenticação e -a o algoritmo de autenticação (aqui SHA; SHA-256/SHA-512 também constam da lista), enquanto -X define a senha de criptografia (privacidade) e -x o algoritmo de criptografia (aqui AES). As senhas devem ter pelo menos 8 caracteres.
3. Como alternativa, ou para adicionar um segundo usuário, escreva a linha você mesmo: createUser monitor SHA "<authpassphrase>" AES "<privpassphrase>", conforme o snmpd.conf(5), que indica que ela deve ficar no arquivo persistente, onde o snmpd a substitui por uma chave localizada na inicialização.
4. Conceda a esse usuário acesso de leitura no nível de segurança priv (autenticação e criptografia obrigatórias): rouser monitor priv em /etc/snmp/snmpd.conf. Sem essa palavra-chave, o snmpd.conf(5) assume auth por padrão, o que permite requisições não criptografadas; por isso, adicione priv à linha rouser/rwuser que o script acrescentou (ele informa qual arquivo foi alterado).
5. Remova de snmpd.conf todas as linhas rocommunity, rocommunity6, rwcommunity e rwcommunity6, e também todas as linhas com2sec/com2sec6, junto com as linhas group e access que as utilizam: o snmpd.conf(5) documenta com2sec como uma segunda forma de mapear uma community string para um acesso, e a configuração padrão do RHEL a usa para public.
6. Inicie o snmpd e verifique o log de inicialização (journalctl -u snmpd -n 50) em busca de avisos de configuração; o snmpd não tem um modo de teste de configuração comparável ao rsyslogd -N1.
7. Teste o usuário v3 a partir de um host de gerenciamento: snmpwalk -v3 -u monitor -l authPriv -a SHA -A <authpassphrase> -x AES -X <privpassphrase> <host> system. O snmpcmd(1) documenta -l authPriv como o nível de segurança e -u, -a/-A, -x/-X como as configurações de usuário, autenticação e privacidade. Senhas na linha de comando ficam no histórico do shell e na lista de processos; o arquivo ~/.snmp/snmp.conf (defSecurityName, defAuthPassphrase, ...) evita isso.
8. Confirme que o caminho antigo deixou de funcionar: snmpwalk -v2c -c public <host> system deve expirar por timeout ou ser recusado.

Resultado esperado

O walk v3 do passo 7 retorna a subárvore system; o walk v2c do passo 8 falha; grep -E "rocommunity|rwcommunity|com2sec" /etc/snmp/snmpd.conf não retorna nada.

Limites e base de verificação

Baseado em snmpd.conf(5), net-snmp-create-v3-user(1) e snmpwalk(1). Para desfazer, restaure o snmpd.conf do backup e reinicie o snmpd. As senhas inseridas diretamente em snmpd.conf ficam armazenadas ali em texto puro, a menos que se usem chaves localizadas; restrinja as permissões do arquivo ao root.