SNMP trong quản trị mạng: Chỉ giám sát hay còn cấu hình được hệ thống ?

[Huỳnh Tấn Đạt]

1. Cơ chế cấu hình của SNMP và các thao tác cốt lõi
SNMP hoạt động dựa trên mô hình Manager-Agent và quản lý dữ liệu thông qua cấu trúc cây MIB (Management Information Base). Mỗi thông số trên thiết bị là một nút trên cây này, được định danh bằng một chuỗi số gọi là OID (Object Identifier).
Để thực hiện các nhiệm vụ của mình, SNMP sử dụng 5 thao tác (Operations) cơ bản, trong đó thao tác số 4 chính là chìa khóa để cấu hình:

• GET: Manager yêu cầu Agent đọc và gửi lại giá trị của một OID cụ thể (ví dụ: kiểm tra trạng thái CPU).

• GETNEXT / GETBULK: Đọc tuần tự hoặc đọc một lượng lớn dữ liệu cùng lúc để tối ưu hóa băng thông (thường dùng khi lấy bảng định tuyến hoặc bảng MAC).

• TRAP / INFORM: Agent chủ động gửi cảnh báo về Manager khi có sự cố xảy ra (ví dụ: sập nguồn, port bị down) mà không cần Manager phải hỏi.

• SET: Đây là lệnh duy nhất giúp SNMP cấu hình thiết bị. Manager gửi một thông điệp yêu cầu ghi hoặc thay đổi giá trị của một OID (với điều kiện OID đó được định nghĩa thuộc tính là Read-Write hoặc Write-Only trong MIB).

Ví dụ thực tế về khả năng cấu hình của lệnh SNMP SET:

• Quản lý giao tiếp (Interface): Bật/tắt một cổng mạng từ xa (thao tác thay đổi trạng thái ifAdminStatus từ 1 - Up sang 2 - Down).

• Gắn nhãn hệ thống: Thay đổi tên thiết bị (sysName), vị trí đặt thiết bị (sysLocation), hoặc thông tin người quản lý (sysContact).

• Quản lý IP: Thay đổi hoặc gán lại một số tham số địa chỉ IP cơ bản trên các interface hỗ trợ ghi.

2. Tại sao SNMP không được chọn làm giao thức cấu hình chính?
Dù có khả năng cấu hình, nhưng trong thực tế triển khai, SNMP bộc lộ rất nhiều điểm yếu chí mạng khi đối mặt với các hệ thống mạng phức tạp.
Khó thao tác và quản lý dữ liệu (Khủng hoảng OID)
Để cấu hình một tính năng, kỹ sư phải tra cứu chính xác chuỗi OID dạng số phức tạp (ví dụ: 1.3.6.1.2.1.2.2.1.7). Việc này cực kỳ khó nhớ, khó lập trình thủ công và dễ dẫn đến sai sót. Mỗi hãng sản xuất (Cisco, Juniper, HP) lại có các Private MIB khác nhau, khiến việc đồng bộ cấu hình đa thiết bị bằng SNMP trở thành một cơn ác mộng.
Không phù hợp cho các cấu hình phức tạp và có tính logic cao
SNMP hoạt động theo dạng "gán giá trị cho biến đơn lẻ". Nó hoàn toàn bất lực trước các cấu hình có tính chất phân cấp hoặc chứa logic phức tạp.
Ví dụ: Khi bạn muốn cấu hình định tuyến OSPF:
router ospf 1
network 10.1.1.0 0.0.0.255 area 0
Cú pháp này đòi hỏi sự ràng buộc chặt chẽ giữa tiến trình (Process ID), dải mạng (Network) và vùng (Area). SNMP không được thiết kế để hiểu và thực hiện các khối lệnh logic liên kết với nhau như vậy.
Thiếu cơ chế "Giao dịch" (Transaction) – Rủi ro trạng thái lấp lửng
Đây là nhược điểm nguy hiểm nhất của SNMP. Khi bạn muốn thay đổi 5 thông số cấu hình cùng lúc, SNMP sẽ gửi 5 lệnh SET riêng lẻ.

• Nếu lệnh 1, 2, 3 thành công nhưng lệnh 4, 5 thất bại (do mất gói hoặc lỗi cú pháp), thiết bị sẽ rơi vào trạng thái lấp lửng (Inconsistent State), cấu hình bị nửa vời, rất dễ gây mất kết nối hoặc xung đột hệ thống.

• SNMP hoàn toàn không có cơ chế Rollback (Tự động quay lại cấu hình cũ nếu có lỗi) hay Candidate Configuration (Nháp cấu hình trước khi áp dụng thực tế) như các giao thức hiện đại.

Lỗ hổng bảo mật nghiêm trọng

• SNMPv1 & SNMPv2c: Sử dụng cơ chế xác thực bằng chuỗi ký tự Community String (bản chất như một mật khẩu chung). Chuỗi này được truyền đi dưới dạng văn bản thuần túy (Clear Text) trên mạng. Nếu kẻ gian bắt được chuỗi "Write Community", chúng có thể kiểm soát hoàn toàn thiết bị.

• SNMPv3: Đã bổ sung mã hóa (DES, AES) và xác thực (MD5, SHA). Tuy nhiên, việc cấu hình SNMPv3 rất cồng kềnh, tiêu tốn tài nguyên xử lý của thiết bị CPU, nên người ta vẫn ưu tiên dùng nó cho mục đích giám sát an toàn hơn là để cấu hình.

3. Xu hướng hiện nay: Các giao thức thay thế SNMP trong cấu hình
Để phục vụ cho làn sóng Network Automation (Tự động hóa mạng) và SDN (Software-Defined Networking), ngành mạng đã chuyển dịch sang các giao thức cấu hình chuyên dụng, an toàn và mạnh mẽ hơn:
Giao thức / Công nghệ
Cách thức hoạt động & Ưu điểm
SSH / CLI
Phương thức truyền thống nhưng được tự động hóa thông qua các thư viện Python (Netmiko, NAPALM) hoặc công cụ như Ansible. SSH đảm bảo tính bảo mật nhờ mã hóa mạnh mẽ toàn bộ phiên làm việc.
NETCONF
Sử dụng định dạng dữ liệu XML chạy trên nền SSH. Hỗ trợ đầy đủ các cơ chế nâng cao như: Candidate Configuration (Cấu hình nháp), Commit (Áp dụng đồng loạt), và Rollback (Khôi phục nếu lỗi).
RESTCONF
Phiên bản "nhẹ nhàng" hơn của NETCONF, sử dụng kiến trúc RESTful API với định dạng JSON hoặc XML qua giao thức HTTP/HTTPS. Rất thân thiện với các lập trình viên Web và hệ thống.
gNMI (gRPC Network Management Interface)
Do Google phát triển, sử dụng HTTP/2 và Protocol Buffers. Giao thức này cực kỳ nhanh, tối ưu băng thông, hỗ trợ cả cấu hình lẫn truyền tải dữ liệu giám sát tốc độ cao (Streaming Telemetry).
Controller API
Trong các hệ thống mạng hiện đại (như Cisco SD-WAN, Cisco Catalyst Center), kỹ sư không còn cấu hình trực tiếp xuống từng thiết bị. Họ sẽ đẩy cấu hình thông qua REST API lên một bộ điều khiển trung tâm (Controller), sau đó Controller sẽ tự động đồng bộ xuống các thiết bị bên dưới.
Tóm lại: SNMP vẫn giữ vững ngôi vương trong mảng giám sát thiết bị (nhờ sự nhẹ nhàng và phổ biến), nhưng đối với nhiệm vụ cấu hình hệ thống, nó đã nhường lại sân chơi cho các giao thức hiện đại, an toàn và thông minh hơn.