OPNsense SNMP - Versionsgeschichte

Thomas.will: /* LAN */

2026-10-27T14:22:12Z

LAN

← Nächstältere Version		Version vom 27. Oktober 2026, 14:22 Uhr
Zeile 78:		Zeile 78:
	Die Default-Regel "LAN to any" erlaubt den Zugriff bereits. Ist sie entfernt oder soll nur ein bestimmter Rechner abfragen duerfen:		Die Default-Regel "LAN to any" erlaubt den Zugriff bereits. Ist sie entfernt oder soll nur ein bestimmter Rechner abfragen duerfen:
	*Rules		*Rules
	**LAN		**+
	***+
	{\| class="wikitable"		{\| class="wikitable"
	! Parameter !! Wert		! Parameter !! Wert

Thomas.will am 27. Oktober 2026 um 14:13 Uhr

2026-10-27T14:13:55Z

← Nächstältere Version		Version vom 27. Oktober 2026, 14:13 Uhr
Zeile 23:		Zeile 23:
	\| Enable SNMP Service \|\| Ja		\| Enable SNMP Service \|\| Ja
	\|-		\|-
	\| SNMP Community \|\| ~~xinux~~		\| SNMP Community \|\| (leer lassen)
	\|-		\|-
	\| SNMP Location \|\| Schulungsraum		\| SNMP Location \|\| Schulungsraum
Zeile 41:		Zeile 41:
	\| Aktion \|\| Save		\| Aktion \|\| Save
	\|}		\|}
	'''Wichtig: ~~Nicht die~~ Community ~~"public" verwenden~~. Die Community ~~wird bei~~ v1/v2c im Klartext uebertragen.'''		'''Wichtig: SNMP Community leer lassen. Die Community gilt nur fuer v1/v2c und wird im Klartext uebertragen. SNMPv3 braucht sie nicht.'''

	'''Listen IPs leer = SNMP lauscht auf allen Interfaces, also auch auf WAN.'''		'''Listen IPs leer = SNMP lauscht auf allen Interfaces, also auch auf WAN.'''
Zeile 118:		Zeile 118:
	</pre>		</pre>

	=Test mit ~~SNMPv2c~~=		=Test mit SNMPv3=
	;Systeminformationen		;Systeminformationen
	*snmpwalk -~~v2c~~ -~~c xinux~~ 192.168.213.1 system		*snmpwalk -v3 -l authPriv -u snmpuser -a SHA -A 'Geheim123!' -x AES -X 'Schluessel123!' 192.168.213.1 system
	<pre>		<pre>
	SNMPv2-MIB::sysDescr.0 = STRING: FreeBSD opnsense.it213.xinmen.de ...		SNMPv2-MIB::sysDescr.0 = STRING: FreeBSD opnsense.it213.xinmen.de ...
Zeile 129:		Zeile 129:
	SNMPv2-MIB::sysLocation.0 = STRING: Schulungsraum		SNMPv2-MIB::sysLocation.0 = STRING: Schulungsraum
	</pre>		</pre>
	~~;Einzelwert abfragen~~
	*snmpget -v2c -c xinux 192.168.213.1 SNMPv2-MIB::sysName.0
	~~;Interfaces~~
	*snmpwalk -v2c -c xinux 192.168.213.1 IF-MIB::ifDescr
	~~;Traffic-Zaehler~~
	*snmpwalk -v2c -c xinux 192.168.213.1 IF-MIB::ifHCInOctets
	~~;Ohne MIBs (numerisch)~~
	*snmpwalk -v2c -c xinux 192.168.213.1 1.3.6.1.2.1.1

	~~=Test mit SNMPv3=~~
	*snmpwalk -v3 -l authPriv -u snmpuser -a SHA -A 'Geheim123!' -x AES -X 'Schluessel123!' 192.168.213.1 system
	;Die Optionen		;Die Optionen
	*-l authPriv => Authentifizierung und Verschluesselung		*-l authPriv => Authentifizierung und Verschluesselung
Zeile 145:		Zeile 134:
	*-a / -A => Auth-Protokoll / Password		*-a / -A => Auth-Protokoll / Password
	*-x / -X => Verschluesselung / Encryption Key		*-x / -X => Verschluesselung / Encryption Key
			;Einzelwert abfragen
			*snmpget -v3 -l authPriv -u snmpuser -a SHA -A 'Geheim123!' -x AES -X 'Schluessel123!' 192.168.213.1 SNMPv2-MIB::sysName.0
			;Interfaces
			*snmpwalk -v3 -l authPriv -u snmpuser -a SHA -A 'Geheim123!' -x AES -X 'Schluessel123!' 192.168.213.1 IF-MIB::ifDescr
			;Ohne MIBs (numerisch)
			*snmpwalk -v3 -l authPriv -u snmpuser -a SHA -A 'Geheim123!' -x AES -X 'Schluessel123!' 192.168.213.1 1.3.6.1.2.1.1

			==Abkuerzung: Zugangsdaten in ~/.snmp/snmp.conf==
			*mkdir -p ~/.snmp
			*vi ~/.snmp/snmp.conf
			<pre>
			defVersion 3
			defSecurityLevel authPriv
			defSecurityName snmpuser
			defAuthType SHA
			defAuthPassphrase Geheim123!
			defPrivType AES
			defPrivPassphrase Schluessel123!
			</pre>
			*chmod 600 ~/.snmp/snmp.conf
			;Danach reicht
			*snmpwalk 192.168.213.1 system

	=Negativtests=		=Negativtests=
	;~~Falsche~~ Community		;v2c muss abgelehnt werden (keine Community gesetzt)
	*snmpwalk -v2c -c public 192.168.213.1 system		*snmpwalk -v2c -c public 192.168.213.1 system
	<pre>		<pre>
Zeile 157:		Zeile 168:
	snmpwalk: Authentication failure (incorrect password, community or key)		snmpwalk: Authentication failure (incorrect password, community or key)
	</pre>		</pre>

			=Kontrolle auf der OPNsense=
			;Shell (Option 8)
			*grep -i community /usr/local/etc/snmpd.conf
			*Es darf keine Zeile rocommunity/rwcommunity erscheinen.

	=Mitschnitt=		=Mitschnitt=
	;Auf der OPNsense (Interfaces => Diagnostics => Packet Capture) oder auf dem Client		;Auf der OPNsense (Interfaces => Diagnostics => Packet Capture) oder auf dem Client
	*sudo tcpdump -ni any -A udp port 161		*sudo tcpdump -ni any -A udp port 161
	*Bei ~~v2c~~ ist ~~die Community im Klartext~~ lesbar, ~~bei v3 authPriv nicht~~.		*Bei v3 authPriv ist nur der Username lesbar, die Daten sind verschluesselt.

	=Webseite=		=Webseite=

Thomas.will: Die Seite wurde neu angelegt: „=Vorbereitung= ==Plugin installieren== System Firmware Plugins {| class="wikitable" ! Parameter !! Wert |- | Plugin || os-net-snmp |- | Aktion || + (Install) |} '''Nach der Installation die Seite neu laden, dann erscheint Services => Net-SNMP''' =Konfiguration= ==General== Services Net-SNMP General {| class="wikitable" ! Parameter !! Wert |- | Enable SNMP Service || Ja |- | SNMP Community || xinux |- | SNMP Location || Schulungsraum |- | SNMP…“

2026-10-27T14:12:35Z

Die Seite wurde neu angelegt: „=Vorbereitung= ==Plugin installieren== *System **Firmware ***Plugins {| class="wikitable" ! Parameter !! Wert |- | Plugin || os-net-snmp |- | Aktion || + (Install) |} '''Nach der Installation die Seite neu laden, dann erscheint Services => Net-SNMP''' =Konfiguration= ==General== *Services **Net-SNMP ***General {| class="wikitable" ! Parameter !! Wert |- | Enable SNMP Service || Ja |- | SNMP Community || xinux |- | SNMP Location || Schulungsraum |- | SNMP…“

Neue Seite

=Vorbereitung=
==Plugin installieren==
*System
**Firmware
***Plugins
{| class="wikitable"
! Parameter !! Wert
|-
| Plugin || os-net-snmp
|-
| Aktion || + (Install)
|}
'''Nach der Installation die Seite neu laden, dann erscheint Services => Net-SNMP'''

=Konfiguration=
==General==
*Services
**Net-SNMP
***General
{| class="wikitable"
! Parameter !! Wert
|-
| Enable SNMP Service || Ja
|-
| SNMP Community || xinux
|-
| SNMP Location || Schulungsraum
|-
| SNMP Contact || admin@it213.xinmen.de
|-
| Add AgentX Support || Nein
|-
| Add Observium Support || Nein
|-
| Layer 3 Visibility || Nein
|-
| Display Version in OID || Nein
|-
| Listen IPs || 192.168.213.1 (LAN-IP der OPNsense)
|-
| Aktion || Save
|}
'''Wichtig: Nicht die Community "public" verwenden. Die Community wird bei v1/v2c im Klartext uebertragen.'''

'''Listen IPs leer = SNMP lauscht auf allen Interfaces, also auch auf WAN.'''

==SNMPv3 User==
*Services
**Net-SNMP
***SNMPv3 Users
****+
{| class="wikitable"
! Parameter !! Wert
|-
| Enabled || Ja
|-
| Username || snmpuser
|-
| Password || Geheim123!
|-
| Encryption Key || Schluessel123!
|-
| Allow Write Access || Nein
|-
| Aktion || Save
|}
'''Password und Encryption Key muessen mindestens 8 Zeichen lang sein.'''

*Danach im Reiter SNMPv3 Users noch einmal '''Save''' druecken, damit der Dienst neu startet.

;Was die Felder bedeuten
*Password => Authentifizierung (authPassword, SHA)
*Encryption Key => Verschluesselung (privPassword, AES)
*Allow Write Access => rwuser statt rouser, im Kurs immer aus lassen

=Firewall=
==LAN==
Die Default-Regel "LAN to any" erlaubt den Zugriff bereits. Ist sie entfernt oder soll nur ein bestimmter Rechner abfragen duerfen:
*Rules
**LAN
***+
{| class="wikitable"
! Parameter !! Wert
|-
| Action || Pass
|-
| Disabled || Nein
|-
| Quick || Ja
|-
| Interface || LAN
|-
| Direction || in
|-
| TCP/IP Version || IPv4
|-
| Protocol || UDP
|-
| Source || LAN net
|-
| Destination || This Firewall
|-
| Destination Port (from) || 161
|-
| Destination Port (to) || 161
|-
| Log || Nein
|}

=Auf dem Linux System=
;Installation
*sudo apt install snmp snmp-mibs-downloader
;MIBs aktivieren (sonst nur numerische OIDs)
*sudo vi /etc/snmp/snmp.conf
;Die Zeile auskommentieren
<pre>
#mibs :
</pre>

=Test mit SNMPv2c=
;Systeminformationen
*snmpwalk -v2c -c xinux 192.168.213.1 system
<pre>
SNMPv2-MIB::sysDescr.0 = STRING: FreeBSD opnsense.it213.xinmen.de ...
SNMPv2-MIB::sysObjectID.0 = OID: NET-SNMP-MIB::netSnmpAgentOIDs.8
DISMAN-EVENT-MIB::sysUpTimeInstance = Timeticks: (123456) 0:20:34.56
SNMPv2-MIB::sysContact.0 = STRING: admin@it213.xinmen.de
SNMPv2-MIB::sysName.0 = STRING: opnsense.it213.xinmen.de
SNMPv2-MIB::sysLocation.0 = STRING: Schulungsraum
</pre>
;Einzelwert abfragen
*snmpget -v2c -c xinux 192.168.213.1 SNMPv2-MIB::sysName.0
;Interfaces
*snmpwalk -v2c -c xinux 192.168.213.1 IF-MIB::ifDescr
;Traffic-Zaehler
*snmpwalk -v2c -c xinux 192.168.213.1 IF-MIB::ifHCInOctets
;Ohne MIBs (numerisch)
*snmpwalk -v2c -c xinux 192.168.213.1 1.3.6.1.2.1.1

=Test mit SNMPv3=
*snmpwalk -v3 -l authPriv -u snmpuser -a SHA -A 'Geheim123!' -x AES -X 'Schluessel123!' 192.168.213.1 system
;Die Optionen
*-l authPriv => Authentifizierung und Verschluesselung
*-u => Username
*-a / -A => Auth-Protokoll / Password
*-x / -X => Verschluesselung / Encryption Key

=Negativtests=
;Falsche Community
*snmpwalk -v2c -c public 192.168.213.1 system
<pre>
Timeout: No Response from 192.168.213.1
</pre>
;Falscher v3-Schluessel
*snmpwalk -v3 -l authPriv -u snmpuser -a SHA -A 'falsch123' -x AES -X 'Schluessel123!' 192.168.213.1 system
<pre>
snmpwalk: Authentication failure (incorrect password, community or key)
</pre>

=Mitschnitt=
;Auf der OPNsense (Interfaces => Diagnostics => Packet Capture) oder auf dem Client
*sudo tcpdump -ni any -A udp port 161
*Bei v2c ist die Community im Klartext lesbar, bei v3 authPriv nicht.

=Webseite=
*http://www.net-snmp.org/

[[Kategorie:OPNsense]]