SNMPv3加密认证如何配置

本文目录导读：

1. 核心概念回顾
2. Cisco IOS/ASA 设备配置
3. Linux Net-SNMP 配置
4. Windows 系统配置（Windows Server）
5. 验证与排错
6. 总结配置清单

SNMPv3 的加密与认证配置主要分为两个核心部分：用户创建（定义认证与加密协议）和 SNMP代理配置（启用并应用该用户），以下分场景提供配置指南（以 Cisco 设备和 Linux 的 Net-SNMP 为例）。

核心概念回顾

• 认证：验证消息发送方的身份，常用协议：MD5 或 SHA（推荐 SHA）。
• 加密：对 SNMP 报文内容进行加密（Privilege），常用协议：DES 或 AES（推荐 AES-128）。
• 安全级别：
  • noAuthNoPriv：无认证无加密
  • authNoPriv：有认证无加密
  • authPriv：有认证有加密（最安全）

Cisco IOS/ASA 设备配置

步骤 1：启用 SNMP 代理

snmp-server enable traps

步骤 2：创建一个 SNMPv3 用户

snmp-server user <用户名> <组名> v3 auth <认证算法> <认证密码> priv <加密算法> <加密密码>

示例：用户 admin，组 mygroup，SHA 认证，AES-128 加密

snmp-server user admin mygroup v3 auth sha MyAuthPassword123 priv aes 128 MyEncryptPassword456

注意：密码长度建议 8-16 字符，避免使用特殊符号（部分设备不支持）。 如果使用 MD5 认证：auth md5
如果使用 DES 加密：priv des

步骤 3：创建或指定 SNMP 组（包含访问控制）

snmp-server group mygroup v3 priv   # priv 表示该组用户必须使用加密
access-list 10 permit 192.168.1.0 0.0.0.255
snmp-server community read-only public
snmp-server group mygroup v3 priv read v1default write v1default notify v1default

更常见的做法是在全局模式下直接配置：

snmp-server group mygroup v3 priv read v1default write v1default notify v1default
snmp-server user admin mygroup v3 auth sha MyAuthPass priv aes 128 MyEncPass

步骤 4：设置 SNMP 引擎ID（可选但推荐）

引擎ID 是 SNMPv3 实体的唯一标识，若不手动设置，设备会自动生成。

snmp-server engineID local 1234567890ABCDEF

验证配置

show snmp user
show snmp group
show snmp engineID

Linux Net-SNMP 配置

步骤 1：安装 net-snmp

sudo apt-get install snmpd snmp-mibs-downloader   # Debian/Ubuntu
sudo yum install net-snmp net-snmp-utils          # CentOS/RHEL

步骤 2：配置 /etc/snmp/snmpd.conf

删除或注释掉默认的 rocommunity 行，添加以下内容：

# 设置 SNMP 引擎ID（可选）
engineID 0x80001f8880abcdef0123456789abcdef
# 创建 SNMPv3 用户（使用 net-snmp-config 创建）
createUser myuser SHA "MyAuthPassword" AES "MyEncryptPassword"
# 为该用户设置访问控制
rouser myuser authpriv   # 允许该用户使用 authPriv 级别读取所有 OID

注意：rouser 表示只读用户，rwuser 表示读写用户。
若需要更精细的视图控制：

view all included .1
rouser myuser authpriv -V all

步骤 3：生成持久化用户（重要）

# 停止 snmpd
sudo systemctl stop snmpd
# 运行 net-snmp-config 创建用户（会写入 /var/lib/snmp/snmpd.conf 或类似路径）
sudo net-snmp-config --create-snmpv3-user -a SHA -x AES -A "MyAuthPassword" -X "MyEncryptPassword" myuser
# 启动 snmpd
sudo systemctl start snmpd

说明：createUser 命令只在首次启动时生效，之后会加密保存到持久化文件，后续启动 snmpd 时不要重复执行。

步骤 4：测试连接

从其他机器执行：

snmpget -v 3 -u myuser -l authPriv -a SHA -A "MyAuthPassword" -x AES -X "MyEncryptPassword" 192.168.1.100 1.3.6.1.2.1.1.1.0

Windows 系统配置（Windows Server）

步骤 1：添加 SNMP 功能

• 服务器管理器 → 添加角色和功能 → 勾选 "SNMP 服务"

步骤 2：配置 SNMP 服务

1. 打开 services.msc → 停止 SNMP 服务
2. 右键 SNMP Service → 属性 → “安全” 选项卡
3. 添加 接受来自这些主机的 SNMP 包 的 IP 或 IPX
4. 在 “验证” 组中：
   • 选择 “SHA” 作为验证协议
   • 输入验证密码
   • 选择 “AES” 作为隐私协议
   • 输入加密密码
5. 点击 “添加” 创建用户（用户名默认为机器名，但可以手动修改）

注意：Windows 自带的 SNMPv3 支持有限，建议使用第三方软件如 SNMP Informant 或改用 Linux/Cisco 设备。

验证与排错

常用诊断命令

# 从管理端测试
snmpwalk -v 3 -u admin -l authPriv -a SHA -A "MyAuthPassword" -x AES -X "MyEncryptPassword" 192.168.1.1 system
# 查看 snmpd 日志（Linux）
tail -f /var/log/syslog | grep snmpd

常见问题

安全建议

• 避免使用 MD5 和 DES：它们已被证明不安全。坚持使用 SHA 系列（SHA-1/SHA-256）和 AES 加密。
• 密码长度至少 12 字符，包含大小写字母、数字和特殊符号。
• 定期轮换 SNMPv3 密码。
• 限制 SNMP 访问源 IP（通过 ACL 或防火墙）。

总结配置清单

配置完成后,务必从管理端测试连接，确保 SNMPv3 正常采集数据。