OPNsense SNMP: Unterschied zwischen den Versionen

Aus Xinux Wiki
Zur Navigation springen Zur Suche springen
Zum nächsten Versionsunterschied →
Die Seite wurde neu angelegt: „=Vorbereitung= ==Plugin installieren== *System **Firmware ***Plugins {| class="wikitable" ! Parameter !! Wert |- | Plugin || os-net-snmp |- | Aktion || + (Install) |} '''Nach der Installation die Seite neu laden, dann erscheint Services => Net-SNMP''' =Konfiguration= ==General== *Services **Net-SNMP ***General {| class="wikitable" ! Parameter !! Wert |- | Enable SNMP Service || Ja |- | SNMP Community || xinux |- | SNMP Location || Schulungsraum |- | SNMP…“
 
Keine Bearbeitungszusammenfassung
Zeile 23: Zeile 23:
| Enable SNMP Service || Ja
| Enable SNMP Service || Ja
|-
|-
| SNMP Community || xinux
| SNMP Community || (leer lassen)
|-
|-
| SNMP Location || Schulungsraum
| SNMP Location || Schulungsraum
Zeile 41: Zeile 41:
| Aktion || Save
| Aktion || Save
|}
|}
'''Wichtig: Nicht die Community "public" verwenden. Die Community wird bei v1/v2c im Klartext uebertragen.'''
'''Wichtig: SNMP Community leer lassen. Die Community gilt nur fuer v1/v2c und wird im Klartext uebertragen. SNMPv3 braucht sie nicht.'''


'''Listen IPs leer = SNMP lauscht auf allen Interfaces, also auch auf WAN.'''
'''Listen IPs leer = SNMP lauscht auf allen Interfaces, also auch auf WAN.'''
Zeile 118: Zeile 118:
</pre>
</pre>


=Test mit SNMPv2c=
=Test mit SNMPv3=
;Systeminformationen
;Systeminformationen
*snmpwalk -v2c -c xinux 192.168.213.1 system
*snmpwalk -v3 -l authPriv -u snmpuser -a SHA -A 'Geheim123!' -x AES -X 'Schluessel123!' 192.168.213.1 system
<pre>
<pre>
SNMPv2-MIB::sysDescr.0 = STRING: FreeBSD opnsense.it213.xinmen.de ...
SNMPv2-MIB::sysDescr.0 = STRING: FreeBSD opnsense.it213.xinmen.de ...
Zeile 129: Zeile 129:
SNMPv2-MIB::sysLocation.0 = STRING: Schulungsraum
SNMPv2-MIB::sysLocation.0 = STRING: Schulungsraum
</pre>
</pre>
;Einzelwert abfragen
*snmpget -v2c -c xinux 192.168.213.1 SNMPv2-MIB::sysName.0
;Interfaces
*snmpwalk -v2c -c xinux 192.168.213.1 IF-MIB::ifDescr
;Traffic-Zaehler
*snmpwalk -v2c -c xinux 192.168.213.1 IF-MIB::ifHCInOctets
;Ohne MIBs (numerisch)
*snmpwalk -v2c -c xinux 192.168.213.1 1.3.6.1.2.1.1
=Test mit SNMPv3=
*snmpwalk -v3 -l authPriv -u snmpuser -a SHA -A 'Geheim123!' -x AES -X 'Schluessel123!' 192.168.213.1 system
;Die Optionen
;Die Optionen
*-l authPriv => Authentifizierung und Verschluesselung
*-l authPriv => Authentifizierung und Verschluesselung
Zeile 145: Zeile 134:
*-a / -A => Auth-Protokoll / Password
*-a / -A => Auth-Protokoll / Password
*-x / -X => Verschluesselung / Encryption Key
*-x / -X => Verschluesselung / Encryption Key
;Einzelwert abfragen
*snmpget -v3 -l authPriv -u snmpuser -a SHA -A 'Geheim123!' -x AES -X 'Schluessel123!' 192.168.213.1 SNMPv2-MIB::sysName.0
;Interfaces
*snmpwalk -v3 -l authPriv -u snmpuser -a SHA -A 'Geheim123!' -x AES -X 'Schluessel123!' 192.168.213.1 IF-MIB::ifDescr
;Ohne MIBs (numerisch)
*snmpwalk -v3 -l authPriv -u snmpuser -a SHA -A 'Geheim123!' -x AES -X 'Schluessel123!' 192.168.213.1 1.3.6.1.2.1.1
==Abkuerzung: Zugangsdaten in ~/.snmp/snmp.conf==
*mkdir -p ~/.snmp
*vi ~/.snmp/snmp.conf
<pre>
defVersion 3
defSecurityLevel authPriv
defSecurityName snmpuser
defAuthType SHA
defAuthPassphrase Geheim123!
defPrivType AES
defPrivPassphrase Schluessel123!
</pre>
*chmod 600 ~/.snmp/snmp.conf
;Danach reicht
*snmpwalk 192.168.213.1 system


=Negativtests=
=Negativtests=
;Falsche Community
;v2c muss abgelehnt werden (keine Community gesetzt)
*snmpwalk -v2c -c public 192.168.213.1 system
*snmpwalk -v2c -c public 192.168.213.1 system
<pre>
<pre>
Zeile 157: Zeile 168:
snmpwalk: Authentication failure (incorrect password, community or key)
snmpwalk: Authentication failure (incorrect password, community or key)
</pre>
</pre>
=Kontrolle auf der OPNsense=
;Shell (Option 8)
*grep -i community /usr/local/etc/snmpd.conf
*Es darf keine Zeile rocommunity/rwcommunity erscheinen.


=Mitschnitt=
=Mitschnitt=
;Auf der OPNsense (Interfaces => Diagnostics => Packet Capture) oder auf dem Client
;Auf der OPNsense (Interfaces => Diagnostics => Packet Capture) oder auf dem Client
*sudo tcpdump -ni any -A udp port 161
*sudo tcpdump -ni any -A udp port 161
*Bei v2c ist die Community im Klartext lesbar, bei v3 authPriv nicht.
*Bei v3 authPriv ist nur der Username lesbar, die Daten sind verschluesselt.


=Webseite=
=Webseite=

Version vom 27. Oktober 2026, 14:13 Uhr

Vorbereitung

Plugin installieren

  • System
    • Firmware
      • Plugins
Parameter Wert
Plugin os-net-snmp
Aktion + (Install)

Nach der Installation die Seite neu laden, dann erscheint Services => Net-SNMP

Konfiguration

General

  • Services
    • Net-SNMP
      • General
Parameter Wert
Enable SNMP Service Ja
SNMP Community (leer lassen)
SNMP Location Schulungsraum
SNMP Contact admin@it213.xinmen.de
Add AgentX Support Nein
Add Observium Support Nein
Layer 3 Visibility Nein
Display Version in OID Nein
Listen IPs 192.168.213.1 (LAN-IP der OPNsense)
Aktion Save

Wichtig: SNMP Community leer lassen. Die Community gilt nur fuer v1/v2c und wird im Klartext uebertragen. SNMPv3 braucht sie nicht.

Listen IPs leer = SNMP lauscht auf allen Interfaces, also auch auf WAN.

SNMPv3 User

  • Services
    • Net-SNMP
      • SNMPv3 Users
        • +
Parameter Wert
Enabled Ja
Username snmpuser
Password Geheim123!
Encryption Key Schluessel123!
Allow Write Access Nein
Aktion Save

Password und Encryption Key muessen mindestens 8 Zeichen lang sein.

  • Danach im Reiter SNMPv3 Users noch einmal Save druecken, damit der Dienst neu startet.
Was die Felder bedeuten
  • Password => Authentifizierung (authPassword, SHA)
  • Encryption Key => Verschluesselung (privPassword, AES)
  • Allow Write Access => rwuser statt rouser, im Kurs immer aus lassen

Firewall

LAN

Die Default-Regel "LAN to any" erlaubt den Zugriff bereits. Ist sie entfernt oder soll nur ein bestimmter Rechner abfragen duerfen:

  • Rules
    • LAN
      • +
Parameter Wert
Action Pass
Disabled Nein
Quick Ja
Interface LAN
Direction in
TCP/IP Version IPv4
Protocol UDP
Source LAN net
Destination This Firewall
Destination Port (from) 161
Destination Port (to) 161
Log Nein

Auf dem Linux System

Installation
  • sudo apt install snmp snmp-mibs-downloader
MIBs aktivieren (sonst nur numerische OIDs)
  • sudo vi /etc/snmp/snmp.conf
Die Zeile auskommentieren
#mibs :

Test mit SNMPv3

Systeminformationen
  • snmpwalk -v3 -l authPriv -u snmpuser -a SHA -A 'Geheim123!' -x AES -X 'Schluessel123!' 192.168.213.1 system
SNMPv2-MIB::sysDescr.0 = STRING: FreeBSD opnsense.it213.xinmen.de ...
SNMPv2-MIB::sysObjectID.0 = OID: NET-SNMP-MIB::netSnmpAgentOIDs.8
DISMAN-EVENT-MIB::sysUpTimeInstance = Timeticks: (123456) 0:20:34.56
SNMPv2-MIB::sysContact.0 = STRING: admin@it213.xinmen.de
SNMPv2-MIB::sysName.0 = STRING: opnsense.it213.xinmen.de
SNMPv2-MIB::sysLocation.0 = STRING: Schulungsraum
Die Optionen
  • -l authPriv => Authentifizierung und Verschluesselung
  • -u => Username
  • -a / -A => Auth-Protokoll / Password
  • -x / -X => Verschluesselung / Encryption Key
Einzelwert abfragen
  • snmpget -v3 -l authPriv -u snmpuser -a SHA -A 'Geheim123!' -x AES -X 'Schluessel123!' 192.168.213.1 SNMPv2-MIB::sysName.0
Interfaces
  • snmpwalk -v3 -l authPriv -u snmpuser -a SHA -A 'Geheim123!' -x AES -X 'Schluessel123!' 192.168.213.1 IF-MIB::ifDescr
Ohne MIBs (numerisch)
  • snmpwalk -v3 -l authPriv -u snmpuser -a SHA -A 'Geheim123!' -x AES -X 'Schluessel123!' 192.168.213.1 1.3.6.1.2.1.1

Abkuerzung: Zugangsdaten in ~/.snmp/snmp.conf

  • mkdir -p ~/.snmp
  • vi ~/.snmp/snmp.conf
defVersion 3
defSecurityLevel authPriv
defSecurityName snmpuser
defAuthType SHA
defAuthPassphrase Geheim123!
defPrivType AES
defPrivPassphrase Schluessel123!
  • chmod 600 ~/.snmp/snmp.conf
Danach reicht
  • snmpwalk 192.168.213.1 system

Negativtests

v2c muss abgelehnt werden (keine Community gesetzt)
  • snmpwalk -v2c -c public 192.168.213.1 system
Timeout: No Response from 192.168.213.1
Falscher v3-Schluessel
  • snmpwalk -v3 -l authPriv -u snmpuser -a SHA -A 'falsch123' -x AES -X 'Schluessel123!' 192.168.213.1 system
snmpwalk: Authentication failure (incorrect password, community or key)

Kontrolle auf der OPNsense

Shell (Option 8)
  • grep -i community /usr/local/etc/snmpd.conf
  • Es darf keine Zeile rocommunity/rwcommunity erscheinen.

Mitschnitt

Auf der OPNsense (Interfaces => Diagnostics => Packet Capture) oder auf dem Client
  • sudo tcpdump -ni any -A udp port 161
  • Bei v3 authPriv ist nur der Username lesbar, die Daten sind verschluesselt.

Webseite

Abgerufen von „https://wiki.ixheim.de/index.php?title=OPNsense_SNMP&oldid=73946“