Konfigurieren von Citrix ADC für SNMPv3-Abfragen

March 10, 2020

Beigesteuert von: C

Simple Network Management Protocol Version 3 (SNMPv3) basiert auf der Grundstruktur und Architektur von SNMPv1 und SNMPv2. SNMPv3 erweitert jedoch die grundlegende Architektur, um Verwaltungs- und Sicherheitsfunktionen wie Authentifizierung, Zugriffskontrolle, Datenintegritätsprüfung, Datenursprungsüberprüfung, Nachrichtenzeitprüfung und Datenvertraulichkeit zu integrieren.

Zur Implementierung von Sicherheit und Zugriffssteuerung auf Nachrichtenebene führt SNMPv3 das benutzerbasierte Sicherheitsmodell (USM) und das ansichtsbasierte Zugriffssteuerungsmodell (VACM) ein.

Benutzerbasiertes Sicherheitsmodell. Das benutzerbasierte Sicherheitsmodell (USM) bietet Sicherheit auf Nachrichtenebene. Sie können Benutzer und Sicherheitsparameter für den SNMP-Agent und den SNMP-Manager konfigurieren. USM bietet folgende Funktionen:
- Datenintegrität: Zum Schutz von Nachrichten während der Übertragung über das Netzwerk vor Änderungen.
- Überprüfung der Datenursprung: Authentifizieren des Benutzers, der die Nachrichtenanforderung gesendet hat.
- Aktualität der Nachricht: Zum Schutz vor Verzögerungen oder Wiederholungen von Nachrichten.
- Vertraulichkeit der Daten: Um den Inhalt von Nachrichten vor der Weitergabe an nicht autorisierte Personen oder Personen zu schützen.
Ansichtsbasiertes Zugriffssteuerungsmodell. Mit dem ansichtsbasierten Zugriffssteuerungsmodell (VACM) können Sie Zugriffsrechte für einen bestimmten Teilbaum der MIB basierend auf verschiedenen Parametern konfigurieren, wie Sicherheitsstufe, Sicherheitsmodell, Benutzername und Ansichtstyp. Es ermöglicht Ihnen, Agenten so zu konfigurieren, dass verschiedenen Managern unterschiedliche Zugriffsebenen auf die MIB zur Verfügung gestellt werden.

Citrix ADC unterstützt die folgenden Entitäten, mit denen Sie die Sicherheitsfunktionen von SNMPv3 implementieren können:

SNMP-Engines
SNMP-Ansichten
SNMP-Gruppen
SNMP-Benutzer

Diese Entitäten arbeiten zusammen, um die SNMPv3-Sicherheitsfunktionen zu implementieren. Ansichten werden erstellt, um den Zugriff auf Teilbäume der MIB zu ermöglichen. Anschließend werden Gruppen mit der erforderlichen Sicherheitsstufe und Zugriff auf die definierten Ansichten erstellt. Schließlich werden Benutzer erstellt und den Gruppen zugewiesen.

Hinweis:

Die View-, Gruppen- und Benutzerkonfiguration werden synchronisiert und in einem HA-Paar (High Availability) an den sekundären Knoten weitergegeben. Die Engine-ID wird jedoch weder propagiert noch synchronisiert, da sie für jede Citrix ADC Appliance eindeutig ist.

Um die Nachrichtenauthentifizierung und die Zugriffssteuerung zu implementieren, müssen Sie Folgendes tun:

Einstellen der Motorkennung

SNMP-Engines sind Dienstanbieter, die sich im SNMP-Agent befinden. Sie bieten Dienste wie das Senden, Empfangen und Authentifizieren von Nachrichten. SNMP-Engines werden mithilfe von Engine-IDs eindeutig identifiziert.

Die Citrix ADC Appliance verfügt über eine eindeutige EngineID basierend auf der MAC-Adresse einer ihrer Schnittstellen. Es ist nicht notwendig, die EngineID zu überschreiben. Wenn Sie jedoch die Engine-ID ändern möchten, können Sie sie zurücksetzen.

So legen Sie die Engine-ID mit der Befehlszeilenschnittstelle fest

Geben Sie an der Eingabeaufforderung die folgenden Befehle ein, um die Parameter festzulegen und die Konfiguration zu überprüfen:

set snmp engineId <engineID>
show snmp engineId

Beispiel

> set snmp engineId 8000173f0300c095f80c68

So legen Sie die Engine-ID mit der GUI fest

Navigieren Sie zu System > SNMP > Benutzer, klicken Sie auf Engine-ID konfigurieren, und geben Sie eine Engine-ID ein.

Konfigurieren einer Ansicht

SNMP-Ansichten beschränken den Benutzerzugriff auf bestimmte Teile der MIB. SNMP-Ansichten werden verwendet, um Zugriffskontrolle zu implementieren.

So fügen Sie mit der Befehlszeilenschnittstelle eine SNMP-Ansicht hinzu

Geben Sie an der Eingabeaufforderung die folgenden Befehle ein, um die Parameter festzulegen und die Konfiguration zu überprüfen:

add snmp view <name> <subtree> -type ( included | excluded )
show snmp view <name>
rm snmp view <name> <subtree>

Hierbei gilt:

Name. Name für die SNMPv3-Ansicht. Es kann aus 1 bis 31 Zeichen bestehen, die Groß- und Kleinbuchstaben, Zahlen und Bindestrich (-), Punkt (.) Pfund (#), Leerzeichen (), Zeichen (@), Gleich (=), Doppelpunkt (:) und Unterstrich (_) enthalten. Sie sollten einen Namen auswählen, der die SNMPv3-Ansicht identifiziert.

Unterbaum. Ein bestimmter Zweig (Teilbaum) des MIB-Baumes, den Sie dieser SNMPv3-Ansicht zuordnen möchten. Sie müssen den Teilbaum als SNMP-OID angeben. Dies ist ein Argument der maximalen Länge: 99.

Typ. Fügen Sie den durch den Teilbaum-Parameter angegebenen Teilbaum in oder aus dieser Ansicht ein oder schließen Sie diesen aus. Diese Einstellung kann nützlich sein, wenn Sie einen Teilbaum, z. B. A, in eine SNMPv3-Ansicht aufgenommen haben und einen bestimmten Teilbaum von A, z. B. B, aus der SNMPv3-Ansicht ausschließen möchten. Dies ist ein obligatorisches Argument. Mögliche Werte: eingeschlossen, ausgeschlossen.

Beispiele

add snmp view SNMPv3test 1.1.1.1 -type included sh snmp view SNMPv3test rm snmp view SNMPv3test 1.1.1.1

So konfigurieren Sie eine SNMP-Ansicht mit der GUI

Navigieren Sie zu System > SNMP > Ansichten, und erstellen Sie die SNMP-Ansicht.

Konfigurieren einer Gruppe

SNMP-Gruppen sind logische Aggregationen von SNMP-Benutzern. Sie werden verwendet, um die Zugriffssteuerung zu implementieren und die Sicherheitsstufen zu definieren. Sie können eine SNMP-Gruppe so konfigurieren, dass Zugriffsrechte für Benutzer festgelegt werden, die dieser Gruppe zugewiesen sind, wodurch die Benutzer auf bestimmte Ansichten beschränkt werden.

Sie müssen eine SNMP-Gruppe konfigurieren, um Zugriffsrechte für Benutzer festzulegen, die dieser Gruppe zugewiesen sind.

So fügen Sie eine SNMP-Gruppe mit der Befehlszeilenschnittstelle hinzu

Geben Sie an der Eingabeaufforderung die folgenden Befehle ein, um die Parameter festzulegen und die Konfiguration zu überprüfen:

add snmp group <name> <securityLevel> -readViewName <string>
show snmp group <name> <securityLevel>

Hierbei gilt:

Name. Name für die SNMPv3-Gruppe. Kann aus 1 bis 31 Zeichen bestehen, die Groß- und Kleinbuchstaben, Zahlen und Bindestrich (-), Punkt (.) Pfund (#), Leerzeichen (), Zeichen (@), Gleich (=), Doppelpunkt (:) und Unterstrich (_) enthalten. Sie sollten einen Namen auswählen, der die SNMPv3-Gruppe identifiziert.

securityLevel. Sicherheitsstufe für die Kommunikation zwischen der Citrix ADC Appliance und den SNMPv3-Benutzern, die zur Gruppe gehören, erforderlich. Geben Sie eine der folgenden Optionen an:

noAuthNoPriv. Weder Authentifizierung noch Verschlüsselung erforderlich.

authNoPriv. Authentifizierung erforderlich, aber keine Verschlüsselung.

authPriv. Authentifizierung und Verschlüsselung erforderlich. Hinweis: Wenn Sie die Authentifizierung angeben, müssen Sie einen Verschlüsselungsalgorithmus angeben, wenn Sie der Gruppe einen SNMPv3-Benutzer zuweisen. Wenn Sie auch Verschlüsselung angeben, müssen Sie jedem Gruppenmitglied sowohl eine Authentifizierung als auch einen Verschlüsselungsalgorithmus zuweisen. Dies ist ein obligatorisches Argument. Mögliche Werte: NoAuthNoPriv, AuthNoPriv, AuthPriv.

readViewName. Name der konfigurierten SNMPv3-Ansicht, die Sie an diese SNMPv3-Gruppe binden möchten. Ein an diese Gruppe gebundener SNMPv3-Benutzer kann auf die Teilbäume zugreifen, die an diese SNMPv3-Ansicht als INCLUDED gebunden sind, aber nicht auf die vom Typ EXCLUDED. Wenn die Citrix ADC Appliance über mehrere SNMPv3-View-Einträge mit demselben Namen verfügt, sind alle diese Einträge der SNMPv3-Gruppe zugeordnet. Dies ist ein obligatorisches Argument. Maximale Länge: 31

So konfigurieren Sie eine SNMP-Gruppe mit der GUI

Navigieren Sie zu System > SNMP > Gruppen, und erstellen Sie die SNMP-Gruppe.

Konfigurieren eines Benutzers

SNMP-Benutzer sind die SNMP-Manager, die die Agenten erlauben, auf die MIBs zuzugreifen. Jeder SNMP-Benutzer wird einer SNMP-Gruppe zugewiesen.

Sie müssen Benutzer am Agent konfigurieren und jeden Benutzer einer Gruppe zuweisen.

So konfigurieren Sie einen Benutzer mit der Befehlszeilenschnittstelle

Geben Sie an der Eingabeaufforderung die folgenden Befehle ein, um die Parameter festzulegen und die Konfiguration zu überprüfen:

add snmp user <name> -group <string> [-authType ( MD5 | SHA ) {-authPasswd } [-privType ( DES | AES ) {-privPasswd }]]
show snmp user <name>

Hierbei gilt:

AuthType ist die Authentifizierungsoption, die während der Konfiguration eines Benutzers verfügbar ist. Es gibt zwei Authentifizierungstypen wie MD5 und SHA.

PrivType ist die Verschlüsselungsoption, die während der Konfiguration eines Benutzers verfügbar ist. Es gibt zwei Arten von Verschlüsselung wie DES der Schlüsselgröße 128 Bit und AES der Schlüsselgröße 128 Bit.

Beispiel

> add snmp user edocs_user -group edocs_group

So konfigurieren Sie einen SNMP-Benutzer mit der GUI

Navigieren Sie zu System > SNMP > Benutzer, und erstellen Sie den SNMP-Benutzer.

Die offizielle Version dieses Inhalts ist auf Englisch. Für den einfachen Einstieg wird Teil des Inhalts der Citrix Dokumentation maschinell übersetzt. Citrix hat keine Kontrolle über maschinell übersetzte Inhalte, die Fehler, Ungenauigkeiten oder eine ungeeignete Sprache enthalten können. Es wird keine Garantie, weder ausdrücklich noch stillschweigend, für die Genauigkeit, Zuverlässigkeit, Eignung oder Richtigkeit von Übersetzungen aus dem englischen Original in eine andere Sprache oder für die Konformität Ihres Citrix Produkts oder Ihres Diensts mit maschinell übersetzten Inhalten gegeben, und jegliche Garantie, die im Rahmen der anwendbaren Endbenutzer-Lizenzvereinbarung oder der Vertragsbedingungen oder einer anderen Vereinbarung mit Citrix gegeben wird, dass das Produkt oder den Dienst mit der Dokumentation übereinstimmt, gilt nicht in dem Umfang, in dem diese Dokumentation maschinell übersetzt wurde. Citrix kann nicht für Schäden oder Probleme verantwortlich gemacht werden, die durch die Verwendung maschinell übersetzter Inhalte entstehen können.

Konfigurieren von Citrix ADC für SNMPv3-Abfragen

March 10, 2020

Beigesteuert von: C

Edit this article