Cấu hình SNMP trên Juniper Junos (set system services snmp)

Khi tích hợp thiết bị mạng Juniper vào hệ thống giám sát NMS, kỹ sư thường gõ set system services snmp và nhận lại thông báo lỗi cú pháp từ Junos OS. Nguyên nhân là vì trong Junos OS, toàn bộ dịch vụ SNMP được quản lý trực tiếp tại nhánh gốc [edit snmp], thay vì nằm trong nhánh dịch vụ hệ thống như SSH hay NETCONF. Cụm từ system-services snmp chỉ xuất hiện duy nhất trên tường lửa Juniper SRX khi cần mở quyền nhận gói tin vào vùng bảo mật Security Zone.

Bài viết hướng dẫn cấu hình chuẩn SNMPv2c và SNMPv3 trên switch Juniper EX Series (như EX3400, EX4100) và tường lửa SRX Series, giúp thiết lập bảo mật an toàn, giới hạn IP máy chủ giám sát và điền hồ sơ thầu chính xác.

Hiểu nhanh bằng hình

Phân biệt cấu hình SNMP trên Switch EX và Firewall SRX

Dù cùng chạy hệ điều hành Junos OS, switch EX Series và firewall SRX Series có cơ chế xử lý gói tin quản trị khác nhau:

• Switch EX và Router MX: Dịch vụ SNMP lắng nghe trên các cổng sau khi bật tại [edit snmp]. Để bảo vệ thiết bị, quản trị viên dùng danh sách clients trong cấu hình SNMP hoặc bộ lọc firewall filter trên cổng Loopback lo0.0 nhằm bảo vệ Routing Engine.
• Firewall SRX: Là tường lửa theo vùng (Zone-based), SRX mặc định chặn mọi lưu lượng gửi trực tiếp đến thiết bị (host-inbound-traffic). Sau khi cấu hình [edit snmp], kỹ sư bắt buộc phải mở quyền trong Security Zone chứa cổng quản trị bằng câu lệnh: set security zones security-zone trust host-inbound-traffic system-services snmp. Đây là trường hợp duy nhất lệnh system-services snmp xuất hiện trong Junos OS.

Khai báo thông tin định danh hệ thống (System Information)

Khai báo vị trí và người quản trị giúp máy chủ NMS (Zabbix, PRTG, SolarWinds) tự động lập danh mục thiết bị:

set snmp description "NTCOM Juniper EX3400 Core Switch"
set snmp location "Rack 01, Server Room, Tram Bien Ap 110kV"
set snmp contact "Ky Thuat NTCOM <support@ntcomvn.com>"

Các tham số này tương ứng với các trường sysDescr, sysLocation và sysContact trong nhóm MIB-II tiêu chuẩn (RFC 1213).

Cấu hình SNMPv2c: Community và giới hạn IP Client

SNMPv2c được dùng rộng rãi nhờ tính tương thích cao. Do chuỗi Community String truyền dạng văn bản thuần (clear-text), cần tuân thủ hai nguyên tắc: chỉ cấp quyền đọc (read-only) và giới hạn dải IP máy chủ NMS.

1. Tạo chuỗi Community chỉ đọc

Không dùng chuỗi mặc định public hoặc private trên thiết bị vận hành. Hãy đặt chuỗi riêng:

set snmp community ntcom_mon_ro authorization read-only

2. Giới hạn dải IP máy chủ giám sát

Junos OS hỗ trợ lọc IP client trực tiếp trong lệnh community:

set snmp community ntcom_mon_ro clients 192.168.100.50/32
set snmp community ntcom_mon_ro clients 192.168.100.51/32
set snmp community ntcom_mon_ro clients 0.0.0.0/0 restrict

Tùy chọn restrict đảm bảo mọi truy vấn từ các IP ngoài danh sách đều bị hủy bỏ ngay lập tức, ngăn ngừa quét cổng MIB trái phép.

Cấu hình SNMPv3 bảo mật cao với USM và VACM

Trong các hệ thống mạng trạm biến áp 110kV, nhà máy và trung tâm dữ liệu, tiêu chuẩn an toàn thông tin yêu cầu bắt buộc dùng SNMPv3 kèm xác thực và mã hóa gói tin (authPriv). Junos OS thực hiện qua 4 bước chuẩn RFC 3411 - 3418:

Bước 1: Tạo người dùng USM

Khởi tạo người dùng kèm thuật toán xác thực SHA và mã hóa AES-128, mật khẩu tối thiểu 8 ký tự:

set snmp v3 usm local-engine user nms-admin authentication-sha authentication-password "AuthPassword123"
set snmp v3 usm local-engine user nms-admin privacy-aes128 privacy-password "PrivPassword123"

Bước 2: Tạo SNMP View

Quy định nhánh OID máy chủ NMS được phép đọc. Khai báo View bao gồm toàn bộ cây MIB:

set snmp view V-ALL-MIB oid .1 include

Bước 3: Gán người dùng vào nhóm VACM

Liên kết người dùng bảo mật với một nhóm quản trị chung:

set snmp v3 vacm security-to-group security-model usm security-name nms-admin group G-NMS-ADMIN

Bước 4: Phân quyền truy cập cho nhóm

Yêu cầu cấp độ bảo mật authPriv (privacy) khi truy cập vào View đã tạo:

set snmp v3 vacm access group G-NMS-ADMIN default-context-prefix security-model usm security-level privacy read-view V-ALL-MIB

Mọi kết nối không dùng đúng mã hóa AES và xác thực SHA đều bị từ chối phục vụ.

Cấu hình SNMP Traps gửi cảnh báo tự động về NMS

Khác với Polling định kỳ từ máy chủ, SNMP Trap giúp thiết bị chủ động gửi cảnh báo khi phát sinh biến cố như cổng down, mất nguồn phụ, lỗi quạt tản nhiệt hoặc nhiệt độ tăng cao.

set snmp trap-group NMS-TRAPS targets 192.168.100.50
set snmp trap-group NMS-TRAPS version v2c
set snmp trap-group NMS-TRAPS categories link
set snmp trap-group NMS-TRAPS categories chassis

Trên switch Juniper EX3400, danh mục chassis giúp phát hiện sớm sự cố nguồn kép (RPS) hoặc nhiệt độ khung vỏ trong tủ rack hiện trường.

Mở luồng lưu lượng SNMP trên Control Plane

Nếu NMS không nhận được phản hồi (lỗi Timeout), kỹ sư cần rà soát lại hai chốt chặn lưu lượng:

1. Mở cổng trên tường lửa SRX

Xác định cổng kết nối về phía NMS (ví dụ thuộc zone trust) và mở dịch vụ snmp:

set security zones security-zone trust host-inbound-traffic system-services snmp

2. Bộ lọc bảo vệ Routing Engine trên Switch EX

Nếu cổng Loopback lo0.0 có gắn bộ lọc firewall filter bảo vệ RE, cần mở cổng UDP 161 từ dải IP máy chủ NMS:

set firewall filter PROTECT-RE term PERMIT-SNMP from source-address 192.168.100.0/24
set firewall filter PROTECT-RE term PERMIT-SNMP from protocol udp
set firewall filter PROTECT-RE term PERMIT-SNMP from destination-port snmp
set firewall filter PROTECT-RE term PERMIT-SNMP then accept

So sánh SNMPv2c và SNMPv3 trên Juniper Junos OS

Bảng so sánh kỹ thuật giữa hai giao thức giám sát trên Junos OS:

Các lệnh kiểm tra và gỡ lỗi trên Junos CLI

Kỹ sư sử dụng các câu lệnh sau trong chế độ vận hành để xác minh hoạt động:

• Xem cấu hình SNMP dạng set: show configuration snmp | display set
• Kiểm tra thống kê gói tin SNMP: show snmp statistics (chú ý chỉ số Bad community names, In packets, Out packets).
• Kiểm tra người dùng SNMPv3 USM: show snmp v3 usm user
• Kiểm tra phân quyền VACM: show snmp v3 vacm access
• Đọc thông tin MIB trực tiếp: show snmp mib walk 1.3.6.1.2.1.1

Nếu Bad community names tăng khi NMS Polling, hãy kiểm tra lại chuỗi Community. Nếu In packets không tăng, kiểm tra định tuyến và bộ lọc tường lửa.

SNMP và giám sát trong hồ sơ mời thầu (HSMT)

Trong các gói thầu cung cấp switch cho dự án công nghệ thông tin, trạm biến áp hoặc nhà máy, mục kỹ thuật thường yêu cầu:

• Yêu cầu trong HSMT: Hỗ trợ SNMPv1, SNMPv2c và SNMPv3; hỗ trợ gửi trap cảnh báo về hệ thống NMS; hỗ trợ MIB-II tiêu chuẩn (RFC 1213) và Enterprise MIB giám sát nhiệt độ, trạng thái quạt, nguồn dự phòng và thông số quang học DOM/DDM trên cổng SFP/SFP+.
• Cách ghi đáp ứng kỹ thuật: Khẳng định "Đáp ứng hoàn toàn", dẫn tài liệu Junos OS Documentation và datasheet thiết bị (ví dụ switch Juniper EX3400-24T, EX3400-48T hoặc EX4100). Nêu rõ thiết bị hỗ trợ SNMPv3 USM/VACM xác thực SHA, mã hóa AES, gửi trap link và chassis. Với dòng EX3400 khi chào gói thầu có tính năng mở rộng, cần lưu ý mã giấy phép S-EX-A-C2-P theo quy định của hãng.

Xem thêm các dòng switch Juniper EX3400 NTCOM đang cung cấp tại danh mục Thiết bị chuyển mạch Switch hoặc chi tiết dòng Juniper EX3400-24T và Juniper EX3400-48T. Giá: liên hệ báo giá.

Nhận hỗ trợ hồ sơ thầu trong 24 giờ

Gửi cho NTCOM thông tin gói thầu kèm Phạm vi cung cấp (PVCC), datasheet, bảng thông số hoặc bảng điền đáp ứng. NTCOM tra mã sản phẩm, hãng sản xuất và điền đáp ứng kỹ thuật, phản hồi trong vòng 24 giờ. Báo giá ngay sau khi có đầy đủ hồ sơ, tên dự án, tên EU.

• Hotline: 0986 397 886
• Zalo: 0986397886
• Email: nguyen.cuong@ntcomvn.com

Nguồn tham khảo

• Juniper Networks Documentation: Configuring Basic SNMP on Devices Running Junos OS
• Juniper Networks Documentation: Configuring SNMPv3 on Devices Running Junos OS
• Juniper Networks EX3400 Ethernet Switch Data Sheet (1000581-019-EN)

Tài liệu mang tính tham khảo kỹ thuật; thông số có thể thay đổi theo phiên bản datasheet của hãng, cần đối chiếu trước khi lập hồ sơ.