# Ubuntu, Debian
apt-get install snmpd

# RHEL, Alma, Rocky, Centos, Fedora, OpenSUSE
yum -y install net-snmp

# Arch, Manjaro
pacman -Syy net-snmp

Des erreurs peuvent occurrer lors de cette étape avec Alma Linux. Se référer en cas d'erreur à la page Les erreurs lors de la configuration d'un serveur Linux à configurer pour le pack linux-by-SNMP__shinken.

# Ubuntu, Debian
apt-get install snmp

# RHEL, Alma, Rocky, Centos, Fedora, OpenSUSE
yum -y install net-snmp-utils

# Arch, Manjaro
# Les utilitaires sont déja installés avec le packet net-snmp

systemctl enable snmpd
systemctl start snmpd

Ces commandes sont à effectuer avec un utilisateur ayant les droits root.

ufw allow 161/udp
ufw reload

firewall-cmd --permanent --add-service=snmp
firewall-cmd --reload

Il n’est pas possible d’appliquer les deux configurations en même temps : vous devez choisir entre SNMP v1/v2 ou SNMP v3 selon vos besoins.

Si vous avez déjà une configuration SNMP fonctionnel, N'UTILISEZ PAS le script de configuration, car il va écraser votre configuration actuelle.

Dans ce cas, il est plus logique de suivre la documentation de configuration pas à pas, pour vérifier que chaque autorisation nécessaire au pack est possible. 

Les scripts sont à exécuter en local sur le serveur Linux à superviser.

• Il faut alors télécharger le dossier "supervised-host" sur le serveur Linux, puis exécuter le script adapté (v1v2 ou v3).
• L'outil ne permet donc pas de déployer automatiquement sur un parc de machines.
  • Pour cela, vous devez intégrer notre dossier "supervised-host" dans vos solutions de déploiement ( Virtual Box, Docker , Ansible, Terraform, AWS EC2, ... ).

Avant de déployer le script de configuration sur plusieurs serveurs Linux à superviser, il est fortement conseillé de :

• Faire une installation manuelle sur UN serveur Linux, pour bien comprendre les modifications nécessaires,
• Puis tester le script de configuration sur UN serveur Linux, pour valider son comportement dans votre environnement.

--override-default-conf

Cependant, il est vivement recommandé de personnaliser ces paramètres, en particulier les identifiants SNMP (communautés, utilisateurs, mots de passe…).
Important : L'utilisateur configuré ici est un utilisateur SNMP (ex. -u shinken en SNMPv3), il s’agit d’un compte défini dans la configuration de l’agent SNMP, et non pas d’un utilisateur Linux du système.

Exemple SNMPv1v2 :

Si vous souhaitez utiliser uniquement les paramètres par défaut du pack, exécutez :

./configure-host-SNMPv1v2.sh --override-default-conf

Cette commande configure immédiatement l’hôte avec la communauté public (valeur standard fournie).

Si vous voulez adapter la configuration à votre environnement, vous pouvez surcharger certains paramètres en ligne de commande.

Options disponibles :

Exemple avec une communauté personnalisée :

./configure-host-SNMPv1v2.sh --override-default-conf -c my_custom_community

Exemple SNMPv3 :

De la même manière, pour appliquer directement la configuration SNMPv3 avec les valeurs par défaut du pack, utilisez :

./configure-host-SNMPv3.sh --override-default-conf

Les identifiants utilisés seront alors :

• utilisateur SNMP "shinken" (⚠️ il ne s’agit pas d’un utilisateur Linux)

• mot de passe "shinkenpassword"

• protocole d’authentification "SHA"

• protocole de confidentialité "AES"

• clé de chiffrement "shinkenencryptionkey"



Options disponibles :

Dans la majorité des cas, vous devrez définir vos propres identifiants SNMPv3 afin d’assurer la sécurité et l’adaptation à votre environnement.
Voici un exemple complet avec des valeurs personnalisées :

./configure-host-SNMPv3.sh --override-default-conf -u my_new_user -a SHA -A my_new_password -x AES -X my_new_encryption_key

./configure-host-SNMPv3.sh --configure-selinux

Distributions RHEL

Vous pouvez vérifier si SELinux est activé avec la commande :

sestatus

Vous devriez observer parmi le résultat les ligne suivante :

SELinux status:                 enabled
Current mode:                   enforcing

Si SELinux est bien activé et en mode 'enforcing' , vous pouvez alors rajouter des règles afin de permettre au service SNMP (snmpd) à accéder aux fichiers voulus.
Si un autre module de sécurité est installé sur votre hôte distante, il faudra le configurer de façon similaire.

RÉSOLUTION PAR SCRIPT :

Dans le script de configuration d'hôte livré dans le pack, une option permet de rajouter ces règles.
Déployez le dossier 'supervised-host' sur votre hôte (scp, ftp ..).
Sur l'hôte distante, exécutez :

cd supervised-host
./configure-host.sh --configure-selinux

RÉSOLUTION MANUELLE :

Sur l'hôte distante, exécutez les commandes suivantes :

mkdir -p /etc/selinux/shinken
vim /etc/selinux/shinken/linux-by-SNMP__shinken.te

Dans le fichier, remplissez et sauvegardez :

module linux-by-SNMP__shinken 1.0;
require {
    type snmpd_t;
    type sysctl_rpc_t;
    type faillog_t;
    class file { read open getattr };
    class dir { search };
}
# Rules for check Stats NFS by SNMPvXXX
# Allow snmpd to read /proc/net/rpc/nfsd
allow snmpd_t sysctl_rpc_t:file { read open getattr };
# Autorisation pour accéder au dossier /proc/net/rpc
allow snmpd_t sysctl_rpc_t:dir { search };

# Rules for check Connection Failed by SNMPvXXX
# Allow snmpd to read /var/log/btmp
allow snmpd_t faillog_t:file { read open getattr };

Puis exécutez :

checkmodule -M -m -o "/etc/selinux/shinken/linux-by-SNMP__shinken.mod" "/etc/selinux/shinken/linux-by-SNMP__shinken.te"
semodule_package -o "/etc/selinux/shinken/linux-by-SNMP__shinken.pp" -m "/etc/selinux/shinken/linux-by-SNMP__shinken.mod"
semodule -i "/etc/selinux/shinken/linux-by-SNMP__shinken.pp"

Ces commandes vont compiler, empaqueter et installer le module SELinux créé.

cp /etc/snmp/snmpd.conf /etc/snmp/snmpd.conf.bak
vim /etc/snmp/snmpd.conf

Cette configuration minimale offre un accès en lecture à l'agent SNMP supportant le v1, v2 ( v2c ) et v3 ( v3 ).

#       sec.name        source        community
com2sec notConfigUser   default       public
 
#       groupName       securityModel  securityName
group   notConfigGroup  v1             notConfigUser
group   notConfigGroup  v2c            notConfigUser
group   notConfigGroup  usm            shinken

#       name          incl/excl      subtree         mask(optional)
view    shinken       included       .1.3.6.1
 
#        group           context  sec.model  sec.level  prefix  read        write  notif
access   notConfigGroup  ""       any        noauth     exact   shinken      none   none

rouser shinken

# Inclus la configuration necessaire pour le bon fonctionnement des checks.
includeDir /etc/snmp/shinken

Ensuite, il est NÉCESSAIRE de suivre :

• L'étape Connexion SNMP v3 pour finaliser la configuration V3.
• La configuration nécessaire au check pour le bon fonctionnement des checks.
• L'installation des dépendances nécessaires aux checks.

####
# First, map the community name "public" into a "security name"

#       sec.name       source        community
com2sec notConfigUser  default       public

Par défaut, la communauté est définie à public dans les modèles de supervisions du pack.

• Si vous modifiez vos paramètres, il faudra donc les modifier dans l'interface de configuration.

Il est possible de changer le champ "source" pour restreindre l'accès à la communauté définit, pour une adresse ou une plage d'adresse.

#       sec.name       source                    	community
com2sec notConfigUser  my.host.com	  		        public    # Hostname
com2sec notConfigUser  192.0.0.123	  		        public	  # Address
com2sec notConfigUser  10.10.10.0/255.255.255.0	    public    # IP/MASK

#       groupName       securityModel  securityName
group   notConfigGroup  v1             notConfigUser
group   notConfigGroup  v2c            notConfigUser

service snmpd stop

net-snmp-create-v3-user -ro -A shinkenpassword -a SHA -X shinkenencryptionkey -x AES shinken

service snmpd start

Ces paramètres sont par défaut dans le pack et seront utilisés dans les modèles de supervisions pour interroger les équipements supervisés. Si vous créez vos propres paramètres, il faudra donc les modifier dans l'interface de configuration.

#     groupName      securityModel securityName
group notConfigGroup usm           shinken

usm signifie User Security Model et a été introduit et utilisé pour SNMP v3

#       name          incl/excl      subtree         mask(optional)
view   shinken        included       .1.3.6.1

Ici la vue "shinken" définit l'accès à l'arbre ".1.3.6.1". L'ensemble des OIDs qui commencent par ".1.3.6.1" sont donc inclus.

#        group           context  sec.model  sec.level  prefix  read        write  notif
access   notConfigGroup  ""       any        noauth     exact   shinken     none   none

Ici seulement les droits de lectures ont été donnés au groupe "notConfigGroup"

snmpwalk localhost -v2c -c public  1.3.6.1.4.1 

UCD-SNMP-MIB::memIndex.0 = INTEGER: 0
UCD-SNMP-MIB::memErrorName.0 = STRING: swap
UCD-SNMP-MIB::memTotalSwap.0 = INTEGER: 5119996 kB
UCD-SNMP-MIB::memAvailSwap.0 = INTEGER: 4175664 kB
UCD-SNMP-MIB::memTotalReal.0 = INTEGER: 1820668 kB
UCD-SNMP-MIB::memAvailReal.0 = INTEGER: 106600 kB
...

# Tester authPriv
snmpwalk localhost -v3 -l authPriv -u shinken -a SHA -A "shinkenpassword" -x AES -X "shinkenencryptionkey" 1.3.6.1.4.1 

# Tester authNoPriv
snmpwalk localhost -v3 -l authNoPriv -u shinken -a SHA -A "shinkenpassword" 1.3.6.1.4.1 

# Tester noAuthNoPriv
snmpwalk localhost -v3 -l noAuthNoPriv -u shinken 1.3.6.1.4.1 
 

UCD-SNMP-MIB::memIndex.0 = INTEGER: 0
UCD-SNMP-MIB::memErrorName.0 = STRING: swap
UCD-SNMP-MIB::memTotalSwap.0 = INTEGER: 5119996 kB
UCD-SNMP-MIB::memAvailSwap.0 = INTEGER: 4175664 kB
UCD-SNMP-MIB::memTotalReal.0 = INTEGER: 1820668 kB
UCD-SNMP-MIB::memAvailReal.0 = INTEGER: 106600 kB
...

# linux-by-SNMP__shinken snmpd configuration file
# This file is essential for checks to work
# The file must be installed on hosts supervised by Shinken
# It must be included from the main snmpd configuration file

# check : Disks Usage by SNMP
includeAllDisks 10%

# check : Ntp Sync by SNMP
extend shinken__linux-by-snmp__ntp-sync__ntpq   /bin/sh -c "export LC_LANG=C && unset LANG && ntpq -p ; date +'%H:%M:%S.%3N'"

# check : Ntp Sync Chrony by SNMP
extend shinken__linux-by-snmp__ntp-sync-chrony__chronyc /bin/sh -c "export LC_LANG=C && unset LANG && chronyc tracking ; date +'%H:%M:%S.%3N'"

# check : Stats CPU by SNMP
extend shinken__linux-by-snmp__stats-cpu__processes-cpu-time /bin/sh -c "export LC_LANG=C && unset LANG && awk '{ut[\$1]=\$14; st[\$1]=\$15} END { system(\"sleep 1\"); for (p in ut) { getline < (\"/proc/\" p \"/stat\"); split(\$0, d, \" \"); printf \"%s %d %d %d %d\\n\", p, ut[p], st[p], d[14], d[15] } }' /proc/[0-9]*/stat"
extend shinken__linux-by-snmp__stats-cpu__processes-cpu /bin/sh -c "export LC_LANG=C && unset LANG && ps -eo pcpu,pid,args --sort=-pcpu --no-headers"
extend shinken__linux-by-snmp__stats-cpu__frequency /bin/sh -c "export LC_LANG=C && unset LANG && cat /proc/cpuinfo | grep 'cpu MHz' | uniq | cut -d ' ' -f 3"
extend shinken__linux-by-snmp__stats-cpu__mpstat /bin/sh -c "export LC_LANG=C && unset LANG && mpstat -P ALL 1 1"

mkdir -p /etc/snmp/shinken/
vim /etc/snmp/shinken/linux-by-SNMP__shinken.conf

vim /etc/snmp/snmpd.conf

includeDir /etc/snmp/shinken

# Debian, Ubuntu
apt-get install sysstat

# RHEL, Alma, Rocky, Centos, Fedora, OpenSUSE
yum install sysstat

# Arch, Manjaro
pacman -Syy sysstat