Kích hoạt giám sát mạng chuyên nghiệp bằng SNMP

[dangquangminh]

Trong thế giới vận hành mạng hiện đại, việc cấu hình SNMP (Simple Network Management Protocol) không còn là tùy chọn – đó là yếu tố sống còn để bạn có thể theo dõi, phát hiện lỗi sớm và đảm bảo hiệu năng hệ thống. Trong bài viết này, mình sẽ chia sẻ chi tiết cách cấu hình SNMP trên 3 nền tảng Cisco quan trọng nhất: IOS XE, IOS XR, và NX-OS, dành cho anh em đang vận hành hạ tầng doanh nghiệp hoặc DC.

---

🧠 SNMP – Chìa khóa giám sát hạ tầng mạng


SNMP cho phép các công cụ giám sát như NMS (Network Management System) truy cập thông tin về tình trạng hoạt động của router, switch, firewall… Thông qua các bản tin như SNMP Get/Set và Trap, bạn có thể:

• Giám sát băng thông, CPU, RAM
• Phát hiện sự cố như interface down
• Gửi cảnh báo ngay khi có sự cố (SNMP Trap)

---

🔐 SNMPv3 – Bảo mật là bắt buộc!


Khác với SNMPv1/v2c vốn chỉ dựa vào community string (kiểu “mật khẩu văn bản”), SNMPv3 cung cấp khả năng xác thực (auth) và mã hóa (priv). Điều này rất quan trọng khi triển khai giám sát trong môi trường bảo mật cao (như mạng tài chính, y tế, hoặc các hệ thống có yêu cầu tuân thủ).

---

⚙️ Cấu hình SNMP trên IOS XE

🧪 Thiết bị áp dụng: Router/Switch chạy IOS XE – như Catalyst 9000, ISR 4K...

1. Tạo community SNMP (v1/v2c):

Router(config)# snmp-server community public RO



→ Dùng để thiết bị trả lời lệnh SNMPv2c từ NMS. “public” là chuỗi community và “RO” nghĩa là read-only.

1. Tạo SNMPv3 group:

Router(config)# snmp-server group MyGroup v3 auth

1. Tạo user SNMPv3 có xác thực và mã hóa:

Router(config)# snmp-server user MyUser MyGroup v3 auth md5 myPassword priv aes 128 myPrivPassword



→ Sử dụng MD5 cho xác thực và AES-128 để mã hóa.

1. Cấu hình SNMP trap gửi về NMS:

Router(config)# snmp-server host 192.168.1.1 traps version 3 auth MyUser


→ Thiết bị sẽ gửi thông báo sự kiện đến NMS tại IP 192.168.1.1.

---

⚙️ Cấu hình SNMP trên IOS XR

🧪 Áp dụng cho router lớp Carrier (ASR9000, NCS series...)

1. Tạo community:

RP/0/RSP0/CPU0:router(config)# snmp-server community public ro

1. Tạo group và user SNMPv3 giống IOS XE.

snmp-server group MyGroup v3 auth snmp-server user MyUser MyGroup v3 auth md5 myPassword priv aes 128 myPrivPassword

1. Cấu hình SNMP trap:

snmp-server host 192.168.1.1 traps version 3 auth MyUser commit



⚠️ Quan trọng: IOS XR cần lệnh commit để áp dụng cấu hình!

🧠 Fun fact: SNMPv3 trên IOS XR được bật mặc định khi cấu hình SNMP đầu tiên – không cần lệnh riêng để bật SNMPv3.

---

⚙️ Cấu hình SNMP trên NX-OS

🧪 Áp dụng cho switch DC: Nexus 3K/5K/7K/9K...

1. Tạo community:

switch(config)# snmp-server community public ro

1. Tạo group và user SNMPv3:

snmp-server group MyGroup v3 auth snmp-server user MyUser MyGroup v3 auth md5 myPassword priv aes-128 myPrivPassword



→ Lưu ý cú pháp aes-128 thay vì aes 128.

1. Cấu hình SNMP trap:

snmp-server host 192.168.1.1 traps version 3 auth MyUser


⛔ Không cần commit vì NX-OS tự động áp dụng cấu hình.

---

📝 Câu hỏi ôn tập:


Mục đích của việc cấu hình user SNMPv3 trên thiết bị Cisco là gì?

✅ Đáp án đúng: Để gán người dùng vào cấu hình bảo mật SNMPv3 (authentication và encryption)

❌ Các đáp án sai:

• Chỉ định community string cho SNMP → liên quan SNMPv2c
• Cấu hình host nhận trap → không cần user
• Bật SNMPv3 → IOS XR bật tự động, IOS XE/NX-OS cần user để kích hoạt

---

📌 Kết luận – Những điểm cần nhớ khi triển khai SNMP:

• Luôn ưu tiên dùng SNMPv3 để bảo mật dữ liệu giám sát
• Community string chỉ dùng trong lab/test (SNMPv2c)
• IOS XR cần commit, NX-OS không cần
• Kiểm tra cấu hình SNMP bằng lệnh:

show snmp user show snmp group show snmp host

---

📣 Anh em NetOps nào đang dùng NMS như SolarWinds, Cacti, hoặc Zabbix mà chưa cấu hình SNMPv3 thì nên làm ngay để tránh bị sniff hoặc giả mạo trong mạng!