Page History

Contexte

Cette page a pour but de décrire la mise en place d'une configuration minimale SNMP pour un hôte supervisé par le pack linux-by-SNMP__shinken.

Procédure de configuration

La supervision d'un hôte par un Poller Shinken se fait par requête/réponse SNMP.

• Sur le Poller shinken, la sonde SNMP installé est responsable d'envoyer les requêtes et de traiter les réponses.
• Sur les Serveurs Linux à superviser, c'est l'agent SNMP qui est responsable de répondre aux requêtes.

Il est donc essentiel de correctement installer et configurer l'agent SNMP.

Installation de l'agent SNMP

Anchor
InstallationAgentSNMP InstallationAgentSNMP

L'agent SNMP sous linux à installer provient du paquet net-snmp.

Il s'installe de la façon suivante :

# Ubuntu, Debian
apt-get install snmpd

# RHEL, Alma, Rocky, Centos, Fedora, OpenSUSE
yum -y install net-snmp

# Arch, Manjaro
pacman -Syy net-snmp

Vous pouvez également installer le paquet net-snmp-utils ( Utilitaires de gestion de réseau utilisant SNMP, issus du projet NET-SNMP ). L'installation de ce paquet est optionnelle pour le fonctionnement du pack.

# Ubuntu, Debian
apt-get install snmp

# RHEL, Alma, Rocky, Centos, Fedora, OpenSUSE
yum -y install net-snmp-utils

Une fois installé, vous pouvez activer le service snmpd :

systemctl enable snmpd
systemctl start snmpd

Configuration du firewall

Sur certains systèmes, le firewall peut bloquer SNMP.

• Il faut donc autoriser le trafic sur le port 161/UDP utilisé par SNMP ( ici le port par défaut est utilisé, si vous avez configuré votre propre port, remplacez 161 par le vôtre ).
  
  

Sur les systèmes utilisant ufw ( Ubuntu / Debian ) :

ufw allow 161/udp
ufw reload

Sur les systèmes utilisant firewalld ( RHEL, Alma, Rocky, Centos, Fedora, OpenSUSE ) :

firewall-cmd --permanent --add-service=snmp
firewall-cmd --reload

Configuration par script de l'agent

Le fichier principal de configuration SNMP est : "/etc/snmp/snmpd.conf".

Par précaution, faîtes une copie puis éditez le fichier de configuration :

cp /etc/snmp/snmpd.conf /etc/snmp/snmpd.conf.bak
vim /etc/snmp/snmpd.conf

Si vous n'avez pas déjà de configuration SNMP,

• Vous pouvez utiliser la configuration d'exemple
• Sinon, suivez la configuration pas à pas.

Si vous n'avez jamais configuré le serveur SNMP ( vous avez le fichier par défaut ), vous pouvez utiliser la configuration suivante.

• Copiez la configuration et coller là dans "/etc/snmp/snmpd.conf", en écrasant la configuration de base.
• IMPORTANT : Cette configuration minimale pour un accès en lecture à l'agent SNMP supportant le v1, v2 ( v2c ) et v3 ( v3 ).

cp /etc/snmp/snmpd.conf /etc/snmp/snmpd.conf.bak
vim /etc/snmp/snmpd.conf

#       sec.name        source        community
com2sec notConfigUser   default       public
 
#       groupName       securityModel  securityName
group   notConfigGroup  v1             notConfigUser
group   notConfigGroup  v2c            notConfigUser
group   notConfigGroup  usm            shinken

#       name          incl/excl      subtree         mask(optional)
view    shinken       included       .1.3.6.1
 
#        group           context  sec.model  sec.level  prefix  read        write  notif
access   notConfigGroup  ""       any        noauth     exact   shinken      none   none

rouser shinken

# Inclus la configuration necessaire pour le bon fonctionnement des checks.
includeDir /etc/snmp/shinken

Cette configuration définit :

• une communauté "public" à utiliser pour la connexion SNMP v1 et v2
• un utilisateur "shinken" à utiliser pour la connexion SNMP v3

Connexion SNMP v1 et v2

Pour éviter de faire manuellement la configuration, le pack met à disposition un script afin de configurer une hôte à superviser.

• Le script permet d'écraser la configuration existante pour une configuration minimale en SNMP, v1, v2 et v3, et de faire fonctionner les checks du pack.
• Le script est livré dans le dossier "supervised-host" dans le pack.
  
  

Prérequis avant d'exécuter le script

Avant d'exécuter le script, veuillez

• installer l'agent SNMP et ouvrir les ports SNMP en suivant ce chapitre
• installer les dépendances sur les hôtes à superviser en suivant ce chapitre.

Exécuter le script

Le script va ÉCRASER ("/etc/snmp/snmpd.conf") pour la remplacer par la configuration minimale SNMP livré avec le pack.
Un fichier de sauvegarde ("/etc/snmp/snmpd.conf.bak") sera généré avant d'écraser la configuration par défaut.

./configure-host.sh --override-default-conf

N'hésitez pas à vous approprier la configuration avant d'exécuter le script, en modifiant le fichier "snmpd-template.conf" dans le dossier "supervised-host" afin que la configuration s'adapte à vos besoins.

./configure-host.sh --override-default-conf -u my_new_user -a SHA -A my_new_password -c my_community

Configuration pour SELinux

Il est possible que votre hôte supervisée soit configuré avec SELinux et que certains checks du pack n'aient pas les permissions d'accéder aux ressources nécessaires.

Le script peut également être exécuté avec l'option '--configure-selinux' afin d'ajouter des règles de lecture au service SNMP ( snmpd ).

./configure-host.sh --configure-selinux

Configuration manuelle de l'agent

Le fichier principal de configuration SNMP est : "/etc/snmp/snmpd.conf".

Par précaution, faîtes une copie puis éditez le fichier de configuration :

cp /etc/snmp/snmpd.conf /etc/snmp/snmpd.conf.bak
vim /etc/snmp/snmpd.conf

Si vous n'avez pas déjà de configuration SNMP,

• Vous pouvez utiliser la configuration d'exemple
• Sinon, suivez la configuration pas à pas.

Configuration d'exemple 

Anchor
configuration_d_exemple configuration_d_exemple

Si vous n'avez jamais configuré le serveur SNMP ( vous avez le fichier par défaut ), vous pouvez utiliser la configuration suivante.

• Copiez la configuration et coller là dans "/etc/snmp/snmpd.conf", en écrasant la configuration de base.
• IMPORTANT : Cette configuration minimale pour un accès en lecture à l'agent SNMP supportant le v1, v2 ( v2c ) et v3 ( v3 ).

cp /etc/snmp/snmpd.conf /etc/snmp/snmpd.conf.bak
vim /etc/snmp/snmpd.conf

#       sec.name        source        community
com2sec notConfigUser   default       public
 
#       groupName       securityModel  securityName
group   notConfigGroup  v1 

La ligne suivante permet de créer une communauté, ici "public" et de l'associer à un nouveau nom de sécurité.

####
# First, map the community name "public" into a "security name"

#       sec.name       source        community
com2sec notConfigUser  default       public

#       sec.name       source                    	community
com2sec notConfigUser  my.host.com	  		        public    # Hostname
com2sec notConfigUser  192.0.0.123	  		        public	  # Address
com2sec notConfigUser  10.10.10.0/255.255.255.0		public    # IP/MASK

Ensuite, il est nécessaire de rattacher le nom de sécurité crée à un groupe, et à un modèle de sécurité.

#       groupName       securityModel  securityName
group   notConfigGroup  v1             notConfigUser
group   notConfigGroup  v2c            notConfigUser

La connexion SNMP v3 nécessite la mise en place d'un utilisateur qui sera utilisé pour se connecter sur les hôtes supervisés.

Voici un exemple de création d'un utilisateur sur la machine supervisée qui sera interrogée par le pack en SNMP v3. 

Arrêtez le service SNMP pour pouvoir lancer la commande de création d'un utilisateur :

service snmpd stop

Créez vote utilisateur avec ses informations d'identification :

net-snmp-create-v3-user -ro -A shinkenpassword -a SHA -X shinkenencryptionkey -x AES shinken

Redémarrez le service SNMP :

service snmpd start

Test de connexion en local :

snmpwalk -u shinken -A shinkenpassword -a SHA -X shinkenencryptionkey -x AES -l authPriv 127.0.0.1 -v3

À noter qu'ici, nous avons défini :

• shinken: nom de l'utilisateur côté serveur SNMPv3
• shinkenpassword: mot de passe de l'utilisateur. Attention : il ne peut pas être plus petit que 8 caractères.
• shinkenencryptionkey: clé de chiffrement pour cet utilisateur
• AES: protocole de chiffrement de l'utilisateur
• SHA: méthode de hashage des informations de l'utilisateur

Ensuite, il est nécessaire de rattacher l'utilisateur crée à un groupe, et à un modèle de sécurité.

#     groupName      securityModel securityName
group notConfigGroup usm           shinken

Autorisations d'accès aux données

group   notConfigGroup  v2c            notConfigUser
group   notConfigGroup  usm            shinken

#       name          incl/excl      subtree         mask(optional)
view    shinken       included       .1.3.6.1
 
#        group           context  sec.model  sec.level  prefix  read        write  notif
access   notConfigGroup  ""       any        noauth     exact   shinken      none   none

rouser shinken

# Inclus la configuration necessaire pour le bon fonctionnement des checks.
includeDir /etc/snmp/shinken

Cette configuration définit :

• une communauté "public" à utiliser pour la connexion SNMP v1 et v2
• un utilisateur "shinken" à utiliser pour la connexion SNMP v3

Configuration pas à pas

Anchor
ConfigurationPasAPas ConfigurationPasAPas

Si vous avez déjà votre propre configuration SNMP personnalisée, ou que vous avez des besoins spécifiques, vous pouvez suivre la configuration pas à pas.

Vous trouverez également la documentation de la configuration snmpd ici.

Connexion SNMP v1 et v2

La ligne suivante permet de créer une communauté, ici "public" et de l'associer à un nouveau nom de sécurité.

####
# First, map the community name "public" into a "security name"

#       sec.name       source        community
com2sec notConfigUser  default       public

Quelle que soit la version de SNMP configuré, V1, V2 ou V3, il est essentiel de configurer l'accès aux données.

Une fois les utilisateurs, noms de sécurités, et groupes créés, il faut ajouter une vue pour leur donner accès aux données.

#       name          incl/excl      subtree         mask(optional)
view   shinken        included       .1.3.6.1

#       sec.name 

      source     

       	community
com2sec 

notConfigUser  

my.host.com	  		 

     public  

  # Hostname
com2sec notConfigUser  192.0.0.123	  

public	  # Address
com2sec 

notConfigUser  10.10.10.0/255.255.255.0		public    # IP/MASK

Ensuite, il est nécessaire de rattacher le nom de sécurité crée à un groupe, et à un modèle de sécurité

Les checks du pack linux-by-SNMP__shinken nécessitent la configuration ci-dessous pour fonctionner.

# linux-by-SNMP__shinken snmpd configuration file
# This file is essential for checks to work
# The file must be installed on hosts supervised by Shinken
# It must be included from the main snmpd configuration file

# check : Disks Usage by SNMP
includeAllDisks 10%

# check : Ntp Sync by SNMP
extend shinken__linux-by-snmp__ntp-sync__ntpq   /bin/sh -c "export LC_LANG=C && unset LANG && ntpq -p ; date +'%H:%M:%S.%3N'"

# check : Ntp Sync Chrony by SNMP
extend shinken__linux-by-snmp__ntp-sync-chrony__chronyc /bin/sh -c "export LC_LANG=C && unset LANG && chronyc tracking ; date +'%H:%M:%S.%3N'"

# check : Stats CPU by SNMP
extend shinken__linux-by-snmp__stats-cpu__processes-cpu-time /bin/sh -c "export LC_LANG=C && unset LANG && awk '{ut[\$1]=\$14; st[\$1]=\$15} END { system(\"sleep 1\"); for (p in ut) { getline < (\"/proc/\" p \"/stat\"); split(\$0, d, \" \"); printf \"%s %d %d %d %d\\n\", p, ut[p], st[p], d[14], d[15] } }' /proc/[0-9]*/stat"
extend shinken__linux-by-snmp__stats-cpu__processes-cpu /bin/sh -c "export LC_LANG=C && unset LANG && ps -eo pcpu,pid,args --sort=-pcpu --no-headers"
extend shinken__linux-by-snmp__stats-cpu__frequency /bin/sh -c "export LC_LANG=C && unset LANG && cat /proc/cpuinfo | grep 'cpu MHz' | uniq | cut -d ' ' -f 3"
extend shinken__linux-by-snmp__stats-cpu__mpstat /bin/sh -c "export LC_LANG=C && unset LANG && mpstat -P ALL 1 1"

Copiez cette configuration et enregistrez-la dans un fichier : "/etc/snmp/shinken/linux-by-SNMP__shinken.conf"

mkdir -p /etc/snmp/shinken/
vim /etc/snmp/shinken/linux-by-SNMP__shinken.conf

Il faut ensuite inclure ce fichier depuis la configuration principale snmpd.
Dans le fichier "/etc/snmp/snmpd.conf" :

vim /etc/snmp/snmpd.conf

Assurez vous d'avoir la ligne suivante, sinon ajoutez la :

includeDir /etc/snmp/shinken

Test en local

Sur votre machine locale, vous pouvez exécuter les commandes suivantes pour tester votre configuration SNMP.

Tester la configuration v2 :

snmpwalk localhost -v2c -c public  1.3.6.1.4.1 

Stats CPU by SNMPvX

Le check CPU Stats SNMPvX utilise le paquet SysStat, nécessaire au bon fonctionnement du check. Il faut l'installer avec la commande suivante :

# Centos, Fedora, OpenSUSE
yum install sysstat

# Arch, Manjaro
pacman -Syy sysstat

# Debian, Ubuntu
apt-get install sysstat

Déploiement sur plusieurs hôtes à superviser

Prérequis avant d'exécuter le script

Connexion SNMP v3

Anchor
ConnexionSNMPv3 ConnexionSNMPv3

La connexion SNMP v3 nécessite la mise en place d'un utilisateur qui sera utilisé pour se connecter sur les hôtes supervisés.

Voici un exemple de création d'un utilisateur sur la machine supervisée qui sera interrogée par le pack en SNMP v3. 

Arrêtez le service SNMP pour pouvoir lancer la commande de création d'un utilisateur :

service snmpd stop

Créez vote utilisateur avec ses informations d'identification :

net-snmp-create-v3-user -ro -A shinkenpassword -a SHA -X shinkenencryptionkey -x AES shinken

Redémarrez le service SNMP :

service snmpd start

Test de connexion en local :

snmpwalk -u shinken -A shinkenpassword -a SHA -X shinkenencryptionkey -x AES -l authPriv 127.0.0.1 -v3

À noter qu'ici, nous avons défini :

• shinken: nom de l'utilisateur côté serveur SNMPv3
• shinkenpassword: mot de passe de l'utilisateur. Attention : il ne peut pas être plus petit que 8 caractères.
• shinkenencryptionkey: clé de chiffrement pour cet utilisateur
• AES: protocole de chiffrement de l'utilisateur
• SHA: méthode de hashage des informations de l'utilisateur

Ensuite, il est nécessaire de rattacher l'utilisateur crée à un groupe, et à un modèle de sécurité.

#     groupName      securityModel securityName
group notConfigGroup usm           shinken

Autorisations d'accès aux données

Quelle que soit la version de SNMP configuré, V1, V2 ou V3, il est essentiel de configurer l'accès aux données.

Une fois les utilisateurs, noms de sécurités, et groupes créés, il faut ajouter une vue pour leur donner accès aux données.

#       name          incl/excl      subtree         mask(optional)
view   shinken        included       .1.3.6.1

Pour finir, il faut donner l'accès à la vue au groupe définit plus tôt.

#        group           context  sec.model  sec.level  prefix  read        write  notif
access   notConfigGroup  ""       any        noauth     exact   shinken     none   none

Configuration nécessaire aux checks

Anchor
ConfigurationNécessaireAuxChecks ConfigurationNécessaireAuxChecks

Les checks du pack linux-by-SNMP__shinken nécessitent la configuration ci-dessous pour fonctionner.

# linux-by-SNMP__shinken snmpd configuration file
# This file is essential for checks to work
# The file must be installed on hosts supervised by Shinken
# It must be included from the main snmpd configuration file

# check : Disks Usage by SNMP
includeAllDisks 10%

# check : Ntp Sync by SNMP
extend shinken__linux-by-snmp__ntp-sync__ntpq   /bin/sh -c "export LC_LANG=C && unset LANG && ntpq -p ; date +'%H:%M:%S.%3N'"

# check : Ntp Sync Chrony by SNMP
extend shinken__linux-by-snmp__ntp-sync-chrony__chronyc /bin/sh -c "export LC_LANG=C && unset LANG && chronyc tracking ; date +'%H:%M:%S.%3N'"

# check : Stats CPU by SNMP
extend shinken__linux-by-snmp__stats-cpu__processes-cpu-time /bin/sh -c "export LC_LANG=C && unset LANG && awk '{ut[\$1]=\$14; st[\$1]=\$15} END { system(\"sleep 1\"); for (p in ut) { getline < (\"/proc/\" p \"/stat\"); split(\$0, d, \" \"); printf \"%s %d %d %d %d\\n\", p, ut[p], st[p], d[14], d[15] } }' /proc/[0-9]*/stat"
extend shinken__linux-by-snmp__stats-cpu__processes-cpu /bin/sh -c "export LC_LANG=C && unset LANG && ps -eo pcpu,pid,args --sort=-pcpu --no-headers"
extend shinken__linux-by-snmp__stats-cpu__frequency /bin/sh -c "export LC_LANG=C && unset LANG && cat /proc/cpuinfo | grep 'cpu MHz' | uniq | cut -d ' ' -f 3"
extend shinken__linux-by-snmp__stats-cpu__mpstat /bin/sh -c "export LC_LANG=C && unset LANG && mpstat -P ALL 1 1"

Copiez cette configuration et enregistrez-la dans un fichier : "/etc/snmp/shinken/linux-by-SNMP__shinken.conf"

mkdir -p /etc/snmp/shinken/
vim /etc/snmp/shinken/linux-by-SNMP__shinken.conf

Il faut ensuite inclure ce fichier depuis la configuration principale snmpd.
Dans le fichier "/etc/snmp/snmpd.conf" :

vim /etc/snmp/snmpd.conf

Assurez vous d'avoir la ligne suivante, sinon ajoutez la :

includeDir /etc/snmp/shinken

Test en local

Sur votre machine locale, vous pouvez exécuter les commandes suivantes pour tester votre configuration SNMP.

Tester la configuration v2 :

snmpwalk localhost -v2c -c public  1.3.6.1.4.1 

Installations des dépendances

Anchor
InstallationDesDependances InstallationDesDependances

Certain checks nécessitent des dépendances sur l'hôte à superviser. Il faut les installer pour leur bon fonctionnement.

Stats CPU by SNMPvX

Le check CPU Stats SNMPvX utilise le paquet SysStat, nécessaire au bon fonctionnement du check. Il faut l'installer avec la commande suivante :

# Centos, Fedora, OpenSUSE
yum install sysstat

# Arch, Manjaro
pacman -Syy sysstat

# Debian, Ubuntu
apt-get install sysstat

Exécuter le script

Configuration pour SELinux

Il est possible que votre hôte supervisée soit configuré avec SELinux et que certains checks du pack n'aient pas les permissions d'accéder aux ressources nécessaires.

Le script peut également être exécuté avec l'option '--configure-selinux' afin d'ajouter des règles de lecture au service SNMP ( snmpd ).

./configure-host.sh --configure-selinux

Erreurs lors de l'utilisation du pack

Pour toute erreur survenue lors de l'exécution des checks, voir la page Erreurs communes.