一、PySNMP模塊介紹：

PySNMP 是一個跨平臺的純Python SNMP 引擎實現。它具有功能齊全的 SNMP 引擎，能夠充當代理/管理器/代理角色，通過 IPv4/IPv6 和其他網絡傳輸傳輸 SNMP v1/v2c/v3 協議版本。目前，使用較多的是SNMP v3和v2c版本。三個版本的區別如下：

SNMPv1：SNMP的第一個版本，它提供了一種監控和管理計算機網絡的系統方法，它基于團體名認證，安全性較差，且返回報文的錯誤碼也較少。它在RFC 1155和RFC 1157中定義。

SNMPv2c：第二個版本SNMPv2c引入了GetBulk和Inform操作，支持更多的標準錯誤碼信息，支持更多的數據類型。它在RFC 1901，RFC 1905和RFC 1906中定義。

SNMPv3：鑒于SNMPv2c在安全性方面沒有得到改善，IETF頒布了SNMPv3版本，提供了基于USM（User Security Module）的認證加密和基于VACM（View-based Access Control Model）的訪問控制，是迄今為止最安全的版本。SNMPv3在RFC 1905，RFC 1906，RFC 2571，RFC 2572，RFC 2574和RFC 2575中定義。

模塊官網地址：

https://pysnmp.readthedocs.io/en/latest/

二、SNMP v2c實驗

實驗目的： 通過PySNMP Version 4.4.12 SNMP v2c收集Cisco ASAv防火墻的各項指標。

實驗設備： ASAv 992，IP地址10.1.102.254。

實驗步驟：

首先對ASAv設備進行初始化配置：

interfaceGigabitEthernet0/0
nameifinside
security-level100
ipaddress10.1.102.254255.255.255.0
noshutdown

接下來配置SNMPv2，允許來自inside區域的10.1.1.1設備進行SNMP訪問，只讀community值為tcpipro。

snmp-serverenable
snmp-serverhostinside10.1.1.1communitytcpipro
snmp-servercommunitytcpipro

配置完成后，通過如下Python代碼進行測試：

frompysnmp.hlapiimport*


defsnmpv2_get(ip,community,oid,port=161):
#varBinds是列表，列表中的每個元素的類型是ObjectType（該類型的對象表示MIBvariable）
errorindication,errorstatus,errorindex,varbinds=next(
getCmd(SnmpEngine(),
CommunityData(community),#配置community
UdpTransportTarget((ip,port)),#配置目的地址和端口號
ContextData(),
ObjectType(ObjectIdentity(oid))#讀取的OID
)
)
#錯誤處理
iferrorindication:
print(errorindication)
eliferrorstatus:
print('%sat%s'%(
errorstatus,
errorindexandvarbinds[int(errorindex)-1][0]or'?'
)
)
#如果返回結果有多行,需要拼接后返回
result=""
forvarBindinvarbinds:
result=result+varBind.prettyPrint()#返回結果！
#返回的為一個元組,OID與字符串結果
returnresult.split("=")[0].strip(),result.split("=")[1].strip()


if__name__=="__main__":
ASA_oid={"CPUTotal1min":"1.3.6.1.4.1.9.9.109.1.1.1.1.7.1","MemoryUsed":"1.3.6.1.4.1.9.9.48.1.1.1.5.1",
"MemoryFree":"1.3.6.1.4.1.9.9.48.1.1.1.6.1","ifInOctets-G0-Outside":"1.3.6.1.2.1.2.2.1.10.3",
"ifOutOctets-G0-Outside":"1.3.6.1.2.1.2.2.1.16.3","ifInOctets-G1-Inside":"1.3.6.1.2.1.2.2.1.10.4",
"ifOutOctets-G1-Inside":"1.3.6.1.2.1.2.2.1.16.4","TotalIPSec":"1.3.6.1.4.1.9.9.392.1.3.26.0",
"L2LIPSec":"1.3.6.1.4.1.9.9.392.1.3.29.0","AnyConnectVPN":"1.3.6.1.4.1.9.9.392.1.3.35.0",
"WebVPN":"1.3.6.1.4.1.9.9.392.1.3.38.0"}

forkey,valueinASA_oid.items():
try:
print(key+':',snmpv2_get("10.1.102.254","tcpipro",value))
exceptExceptionase:
print(e)

Tips：要獲取特定 ASA 的受支持 SNMP MIB 和 OID 的列表，請輸入以下命令：show snmp-server oidlist進行查看。或者，我們可以通過一些SNMP測試軟件進行查詢，例如ByteSphere OidView。最終python測試結果如圖1所示：

圖1 SNMP v2c測試結果

三、SNMP v3實驗

實驗目的： 通過PySNMP的SNMP v3收集Cisco ASAv防火墻的各項指標。

實驗設備： ASAv 992，IP地址10.1.102.254。

實驗步驟：

完成ASA接口初始化配置后，進行SNMP v3的配置，如下所示：

snmp-serverenable
snmp-servergroupsnmpgroupv3priv
snmp-serveruseradminsnmpgroupv3authshaCisc0123privaes256Cisc0123
snmp-serverhostinside10.1.1.1version3admin

SNMP v3配置中需要注意的是，首先我們創建了一個SNMP v3認證group snmpgroup，在這個group的用戶數據需要同時進行身份驗證和加密（priv）。其中，auth 關鍵字可啟用數據包身份驗證。noauth 關鍵字表示未在使用數據包身份驗證或加密。priv 關鍵字可啟用數據包加密和身份驗證。auth 或 priv 關鍵字不存在默認值。

接下來，我們在該組內創建了用戶admin，使用的SHA作為哈希算法，密鑰是Cisc0123；加密算法則使用的是AES256，密鑰同樣是Cisc0123。最后，與SNMP v2c相似，我們需要配置允許inside區域10.1.1.1 IP地址的admin用戶使用SNMP v3訪問該ASA設備。

完成SNMP v3配置后，我們可以通過如下SNMPv3 Python代碼進行測試：

frompysnmp.hlapiimport*


defsnmpv3_get(ip,oid,username,authkey,privkey,authprotocol,privprotocol,port=161):
#通過數字映射，對應SNMPv3使用的認證和加密算法
auth_map={'0':usmNoAuthProtocol,'1':usmHMACSHAAuthProtocol,'2':usmHMAC128SHA224AuthProtocol,
'3':usmHMAC192SHA256AuthProtocol,'4':usmHMAC256SHA384AuthProtocol,
'5':usmHMAC384SHA512AuthProtocol}

priv_map={'0':usmNoPrivProtocol,'1':usmAesCfb128Protocol,
'2':usmAesCfb192Protocol,'3':usmAesCfb256Protocol}

#varBinds是列表，列表中的每個元素的類型是ObjectType（該類型的對象表示MIBvariable）
errorindication,errorstatus,errorindex,varbinds=next(
getCmd(SnmpEngine(),
UsmUserData(userName=username,authKey=authkey,privKey=privkey,
authProtocol=auth_map.get(authprotocol),
privProtocol=priv_map.get(privprotocol)),
UdpTransportTarget((ip,port)),#配置目的地址和端口號
ContextData(),
ObjectType(ObjectIdentity(oid))#讀取的OID
)
)
#錯誤處理
iferrorindication:
print(errorindication)
eliferrorstatus:
print('%sat%s'%(
errorstatus,
errorindexandvarbinds[int(errorindex)-1][0]or'?'
)
)
#如果返回結果有多行,需要拼接后返回
result=""
forvarBindinvarbinds:
result=result+varBind.prettyPrint()#返回結果！
#返回的為一個元組,OID與字符串結果
returnresult.split("=")[0].strip(),result.split("=")[1].strip()


if__name__=="__main__":
ASA_oid={"CPUTotal1min":"1.3.6.1.4.1.9.9.109.1.1.1.1.7.1","MemoryUsed":"1.3.6.1.4.1.9.9.48.1.1.1.5.1",
"MemoryFree":"1.3.6.1.4.1.9.9.48.1.1.1.6.1","ifInOctets-G0-Outside":"1.3.6.1.2.1.2.2.1.10.3",
"ifOutOctets-G0-Outside":"1.3.6.1.2.1.2.2.1.16.3","ifInOctets-G1-Inside":"1.3.6.1.2.1.2.2.1.10.4",
"ifOutOctets-G1-Inside":"1.3.6.1.2.1.2.2.1.16.4","TotalIPSec":"1.3.6.1.4.1.9.9.392.1.3.26.0",
"L2LIPSec":"1.3.6.1.4.1.9.9.392.1.3.29.0","AnyConnectVPN":"1.3.6.1.4.1.9.9.392.1.3.35.0",
"WebVPN":"1.3.6.1.4.1.9.9.392.1.3.38.0"}

forkey,valueinASA_oid.items():
try:
print(key+':',snmpv3_get("10.1.102.254",value,'admin','Cisc0123','Cisc0123','1','3'))
exceptExceptionase:
print(e)

需要注意的是，這里我們對SNMP v3的加密和HASH算法進行了映射，后續只需要傳入相關的數字編號，即可設置SNMP v3的安全參數。最終的測試結果如圖2所示：

審核編輯：劉清