在现代化的网络运维中，对网络设备进行集中、自动化的监控与管理是至关重要的，简单网络管理协议（SNMP）作为业界标准，为实现这一目标提供了核心支持，通过在 Cisco 交换机上配置 SNMP，网络管理员可以使用网络管理系统（NMS）如 SolarWinds, Zabbix, PRTG 等，实时收集设备性能数据、接收告警信息、甚至远程配置设备，从而极大地提升了运维效率和网络的可靠性，本文将详细介绍在 Cisco 交换机上配置 SNMP 的完整流程，涵盖不同版本、安全策略及验证方法。
SNMP 基础概念
在深入配置之前,理解几个核心概念是必要的。
| 版本 | 安全性 | 认证方式 | 加密 | 适用场景 |
|---|---|---|---|---|
| 低 | 基于团体字符串（明文） | 无 | 早期简单网络环境，已不推荐使用 | |
| 低 | 基于团体字符串（明文） | 无 | 兼容性好，广泛使用于内网监控 | |
| 高 | 基于用户名和认证协议（MD5/SHA） | 支持（DES/AES） | 高安全要求的生产环境，推荐使用 |
配置 SNMPv2c
SNMPv2c 是目前最普遍的版本，配置简单，兼容性强，尽管其安全性较低,但在受信任的内网环境中仍然是可行的选择。
第一步：进入全局配置模式
通过 Console 或 SSH 登录到交换机,并进入全局配置模式。
Switch> enableSwitch# configure terminalEnter configuration commands, one per line.End with CNTL/Z.Switch(config)#
第二步：配置只读团体字符串
允许 NMS 读取交换机的 MIB 信息，但不能修改，建议使用一个复杂的字符串作为密码。代表 Read-Only。
! 配置一个名为 "public_RO" 的只读团体字符串Switch(config)# snmp-server community public_RO RO
第三步：配置读写团体字符串（可选且需谨慎）
允许 NMS 读取并修改交换机的配置。代表 Read-Write，由于权限过大，仅在确实需要远程配置时才设置,并确保管理网络绝对安全。
! 配置一个名为 "private_RW" 的读写团体字符串Switch(config)# snmp-server community private_RW RW
第四步：限制访问源（强烈推荐）
使用访问控制列表（ACL）来限制只有指定的 NMS 服务器才能通过 SNMP 访问交换机,这是提升安全性的关键一步。
! 创建一个标准 ACL，允许 NMS 服务器的 IP 地址 (192.168.1.100)Switch(config)# access-list 10 permit 192.168.1.100! 将 ACL 应用到只读团体字符串Switch(config)# snmp-server community public_RO RO 10! 如果有读写团体字符串，也应同样应用Switch(config)# snmp-server community private_RW RW 10
第五步：配置 Trap 信息接收者
当交换机上发生重要事件（如端口宕机、链路状态改变）时，它会主动发送 Trap 消息到指定的 NMS 服务器。
! 配置交换机发送 Trap 消息的源接口（建议使用 Loopback 接口，确保稳定）Switch(config)# snmp-server trap-source Loopback0! 配置接收 Trap 的 NMS 服务器地址和使用的团体字符串Switch(config)# snmp-server host 192.168.1.100 version 2c public_RO! 启用需要发送的 Trap 类型Switch(config)# snmp-server enable traps
配置 SNMPv3
SNMPv3 提供了强大的安全性，包括用户认证和数据加密，是现代企业网络的首选，其配置过程比 v2c 复杂，分为三个主要步骤：定义视图、创建组、创建用户。
第一步：创建视图
视图定义了用户可以访问 MIB 的哪些部分,我们可以创建一个包含所有可访问对象的视图。
! 创建一个名为 "full-view" 的视图，包含 iso 整棵 MIB 树Switch(config)# snmp-server view full-view iso included
第二步：创建组
组将用户与安全模型、安全级别和视图关联起来，这里我们创建一个使用（认证和加密）安全级别的组。
! 创建一个名为 "nms-group" 的组，使用 v3 安全模型，priv 安全级别! 并为其分配读写视图 "full-view"Switch(config)# snmp-server group nms-group v3 priv read full-view write full-view
第三步：创建用户
为组创建具体的用户,并设置认证密码和加密密码。
! 创建一个名为 "nms_user" 的用户，隶属于 "nms-group" 组! 使用 sha 作为认证协议，密码为 "AuthPassword123"! 使用 aes 128 作为加密协议，密码为 "PrivPassword456"Switch(config)# snmp-server user nms_user nms-group v3 auth sha AuthPassword123 priv aes 128 PrivPassword456
第四步：配置 Trap 和限制访问（推荐）
与 v2c 类似，配置 Trap 接收者，并使用 ACL 限制 SNMP 访问源。
! 创建 ACLSwitch(config)# access-list 20 permit 192.168.1.100! 配置 Trap 接收者，这次使用 v3 用户名和密钥Switch(config)# snmp-server host 192.168.1.100 version 3 priv nms_user! 启用 TrapSwitch(config)# snmp-server enable traps
验证与故障排查
配置完成后,必须进行验证以确保其正常工作。
检查运行配置
使用
show running-config
命令查看已配置的 SNMP 相关命令。
Switch# show running-config | include snmpsnmp-server community public_RO RO 10snmp-server community private_RW RW 10snmp-server host 192.168.1.100 version 2c public_ROsnmp-server enable traps... (其他 SNMP 配置)
检查特定配置
从 NMS 服务器测试
在 NMS 服务器上使用或类似工具测试连通性和数据获取。
如果测试失败,请检查以下几点：
安全最佳实践
相关问答 FAQs
问题 1：我的网络中既有支持 SNMPv3 的新设备，也有只支持 SNMPv2c 的旧设备，我应该如何统一管理？
解答 ：这是一种常见的混合环境情况，最佳实践是“分层管理，安全优先”。
问题 2：我已经按照指南配置了 SNMPv3，但在 NMS 上添加设备时，总是提示认证失败或无数据，应该从哪里开始排查？
解答 ：SNMPv3 的认证失败通常涉及多个环节,可以按照以下清单进行系统性排查：
发表评论