آموزش SNMP در FortiGate
SNMP این امکان را فراهم می‌کند که سخت‌افزارهای موجود در شبکه خود را مانیتور کنید. شما میتوانید سخت‌افزار، مانند SNMP Agent در FortiGate را پیکربندی کنید تا اطلاعات سیستمی را گزارش دهد و Trapها (هشدارها یا پیام‌های رویداد) را به SNMP Manager ارسال کند.
Trapهای SNMP شما را از رویدادهایی که رخ می‌دهند آگاه می‌سازند، مانند زمانی که یک Log Disk پر می‌شود یا یک ویروس شناسایی می‌شود.
پیاده‌سازی SNMP در FortiGate به‌صورت Read-Only است. SNMP Managerهای سازگار با SNMP v1/v2c و SNMP v3 فقط به اطلاعات سیستمی FortiGate به‌صورت Read-Only دسترسی دارند و می‌توانند پیام‌های Trap را از دستگاه دریافت کنند.
پیکربندی اولیه
MIB Files
مثال‌های SNMP
پیکربندی اولیه
پیکربندی SNMP شامل چهار مرحله است که باید به ترتیب انجام شود:
1. پیکربندی دسترسی به اینترفیس: قبل از اینکه یک SNMP Manager راه دور بتواند به SNMP Agent در FortiGate متصل شود، باید یک یا چند اینترفیس FortiGate را طوری تنظیم کنید که SNMP Connections را بپذیرند.
2. پیکربندی SNMP Agent: در اینجا SNMP Agent، Trapهای SNMP ایجادشده روی FortiGate را به یک SNMP Manager خارجی ارسال می‌کند که در یک SNMP Community تعریف شده است.
- SNMP Manager می‌تواند وضعیت عملکردی FortiGate را مانیتور کند تا مشخص شود که آیا به‌درستی کار می‌کند یا رویدادهای بحرانی رخ داده است.
- توضیحات، موقعیت مکانی و اطلاعات تماس این سیستم FortiGate به‌عنوان بخشی از اطلاعاتی است که SNMP Manager دریافت می‌کند. این اطلاعات در صورتی مفید است که SNMP Manager در حال نظارت بر چندین دستگاه باشد و باعث پاسخ‌دهی سریع‌تر هنگام نیاز به توجه شود.
3. پیکربندی SNMP v1/v2c Communities: یک SNMP Community گروهی از تجهیزات است که برای مدیریت شبکه استفاده می‌شود. یک دستگاه می‌تواند در چندین Community عضو باشد.
- اگر SNMP v3 پیکربندی شده باشد، این مرحله اجباری نیست.
- شما باید یک SNMP Community را به FortiGate اضافه کنید تا SNMP Manager بتواند Trapها و اطلاعات سیستمی را دریافت کند. حداکثر ۳ Community را می‌توان اضافه کرد.
4. پیکربندی SNMP v3 Users: در اینجا Authentication برای تأیید هویت کاربران استفاده می‌شود. Privacy اجازه می‌دهد که پیام‌های SNMP v3 رمزگذاری شوند تا محرمانگی داده‌ها تضمین شود.
- این پروتکل‌ها سطح امنیتی بالاتری نسبت به SNMP v1/v2c فراهم می‌کنند، که در آنها از Community Strings برای امنیت استفاده می‌شود.
- Authentication و Privacy اختیاری هستند.
پیکربندی SNMP از طریق رابط گرافیکی (GUI)
1. پیکربندی دسترسی از طریق رابط شبکه:
- به مسیر Network > Interfaces بروید و یکی از رابط‌های شبکه (Interface) را ویرایش کنید.
- در بخش Administrative Access گزینه‌ی SNMP را فعال کنید.
- روی OK کلیک کنید.
2. پیکربندی عامل SNMP:
- به مسیر System > SNMP بروید.
- گزینه‌ی SNMP Agent را فعال کرده و موارد زیر را تنظیم کنید:
- Description: توضیحی درباره عامل SNMP وارد کنید.
- Location: مکان جغرافیایی دستگاه FortiGate را مشخص کنید.
- Contact Info: اطلاعات تماس یا مدیر مربوط به عامل SNMP یا خود FortiGate را وارد نمایید.
- روی Apply کلیک کنید.
3. پیکربندی یک جامعه SNMP v1/v2c:
- در همان مسیر System > SNMP، در جدول SNMP v1/v2c روی Create New کلیک کنید.
- موارد زیر را تنظیم نمایید:
- Community Name: نام جامعه SNMP را وارد کنید.
- Hosts: آدرس IP مربوط به هر SNMP Manager را وارد کرده و نوع میزبان (Host Type) را مشخص نمایید.
- Queries: فعال یا غیرفعال کردن پرس‌وجوهای v1 و v2c، سپس وارد کردن شماره پورت‌هایی که SNMP Managerها برای این پرس‌وجوها استفاده می‌کنند.
- Traps: فعال یا غیرفعال کردن تله‌های v1 و v2c، سپس وارد کردن پورت‌های محلی و راه‌دور که توسط SNMP Managerها برای دریافت تله‌ها استفاده می‌شود.
- SNMP Events: رویدادهایی که باعث فعال شدن تله‌ها می‌شوند را می‌توان فعال یا غیرفعال کرد.
- روی OK کلیک کنید.
4. پیکربندی یک کاربر SNMP v3:
- در همان بخش System > SNMP، در جدول SNMP v3 روی Create New کلیک نمایید.
- موارد زیر را پیکربندی کنید:
- User Name: نام کاربری را وارد کنید.
- Security Level: سطح امنیتی موردنظر را انتخاب کنید:
- بدون احراز هویت (No Authentication): بدون احراز هویت یا رمزنگاری.
- احراز هویت (Authentication): انتخاب الگوریتم احراز هویت و وارد کردن گذرواژه.
- احراز هویت و رمزنگاری (Authentication and Private): انتخاب الگوریتم‌های احراز هویت و رمزنگاری همراه با گذرواژه.
- Hosts: آدرس IP مربوط به هر SNMP Manager را وارد نمایید.
- Queries: فعال یا غیرفعال کردن پرس‌وجوها، سپس وارد کردن شماره پورت مورد استفاده SNMP Managerها.
- Traps: فعال یا غیرفعال کردن تله‌ها، سپس وارد کردن شماره پورت‌های محلی و راه‌دور مورد استفاده.
- SNMP Events: فعال یا غیرفعال کردن رویدادهایی که منجر به ارسال تله‌ها می‌شوند.
- روی OK کلیک نمایید.
MIB Files
SNMP Agent در FortiGate از MIBهای اختصاصی Fortinet و همچنین بخش‌هایی از RFC 2665 و RFC 1213 که مربوط به پیکربندی دستگاه FortiGate است، پشتیبانی می‌کند.
SNMP Manager شما ممکن است قبلاً MIBهای استاندارد و خصوصی را در یک Database Compiled شده داشته باشد که آماده استفاده است.
برای دسترسی به اطلاعات خاص Fortinet، شما باید MIBهای اختصاصی Fortinet را به این پایگاه داده اضافه کنید.
فایل‌های MIB و RFC مرتبط
MIB یا RFC توضیحات
FORTINET-CORE-MIB.mib
شامل تمامی اطلاعات پیکربندی سیستم و Trapهای مشترک در همه محصولات Fortinet است.
FORTINET-FORTIGATE-MIB.mib
شامل تمامی اطلاعات پیکربندی سیستم و Trapهای اختصاصی دستگاه‌های FortiGate است.
RFC-1213 (MIB II)
SNMP Agent در FortiGate از گروه‌های MIB II با استثناهای زیر پشتیبانی می‌کند:
پشتیبانی از EGP Group وجود ندارد.
آمار مربوط به Protocol Statistics (IP/ICMP/TCP/UDP) ممکن است تمام فعالیت‌های ترافیکی Fortinet را به‌طور دقیق ثبت نکند. اطلاعات دقیق‌تر از طریق MIBهای اختصاصی Fortinet قابل دسترسی است.
مثال‌های SNMP
این بخش شامل مثال‌هایی است که چندین تنظیمات SNMP را در بر می‌گیرد:
مثال ۱: SNMP Trap برای مانیتورینگ وضعیت اینترفیس با استفاده از SNMP v3 User
مثال ۲: SNMP Trap و Query برای مانیتورینگ DHCP Pool با استفاده از SNMP v3 User
مثال ۳: فعال‌سازی INDEX Extension
مثال ۱: SNMP Trap برای مانیتورینگ وضعیت اینترفیس
در این پیکربندی، SNMP Manager با IP: 172.16.200.55 به‌گونه‌ای تنظیم شده که هنگام Down یا Up شدن یک پورت FortiGate اطلاعیه دریافت کند. SNMP Manager همچنین می‌تواند وضعیت فعلی پورت را Query کند.
برای پیکربندی در GUI
- به مسیر Network > Interfaces رفته و اینترفیس port1 را ویرایش کنید.
- گزینه SNMP را فعال کنید و OK را بزنید.
- به مسیر System > SNMP بروید و SNMP Agent را فعال کنید.
- یک SNMP v3 User با مشخصات زیر اضافه کنید:
User Name: Interface_Status
Security Level: Authentication
Algorithm: SHA1
Password
Hosts IP Address: 172.16.200.55
پیکربندی در CLI:
config system interface
edit port1
append allowaccess snmp
next
end
config system snmp sysinfo
set status enable
set description Branch
set contact-info Jane Doe
set location Burnaby
end
config system snmp user
edit "Interface_Status"
set notify-hosts 172.16.200.55
set security-level auth-no-priv
set auth-proto sha
set auth-pwd ********
next
end
مثال ۲: SNMP Trap برای مانیتورینگ DHCP Pool
در این مثال، SNMP Manager با IP:
172.16.200.55
برای دریافت اعلان‌های DHCP پیکربندی شده است.
پیکربندی در CLI:
config system interface
edit port1
append allowaccess snmp
next
end
config system snmp sysinfo
set status enable
set description Branch
set contact-info Jane Doe
set location Burnaby
end
config system snmp user
edit "DHCP_Status"
set notify-hosts 172.16.200.55
set security-level auth-priv
set auth-proto sha384
set auth-pwd ********
set priv-proto aes256
set priv-pwd ********
next
end
مثال ۳: فعال‌سازی INDEX Extension
در این مثال، یک IP آدرس یکسان روی دو اینترفیس در VDOMهای مختلف تنظیم شده است. سپس خروجی SNMP Tree قبل و بعد از فعال‌سازی INDEX Extension بررسی می‌شود.
فعال‌سازی در CLI:
config system snmp sysinfo
set status enable
set description "REGR-SYS"
set append-index enable
end
