Настройка доступа к показателям работы Asterisk по SNMPv3

SNMP — протокол для наблюдения за параметрами и показателями работы сетевого оборудования. SNMPv3 — последняя версия протокола SNMP, отличается от более старых тем, что в неё были добавлены средства криптографической защиты для аутентификации и для передачи данных по сети. В этой статье будет описано, как сделать возможным наблюдение за показателями работы Asterisk с помощью SNMPv3 на примере дистрибутива CentOS 6 и Asterisk 11.

Сборка Asterisk с модулем res_snmp.so, настройка модуля res_snmp.so

Для сборки модуля Asterisk res_snmp.so, нужно сперва установить пакеты net-snmp и net-snmp-devel.
yum install net-snmp net-snmp-devel
Далее сборка Asterisk выполняется как обычно:

cd /usr/src
wget http://downloads.asterisk.org/pub/telephony/asterisk/asterisk-11-current.tar.gz
tar xf asterisk-11-current.tar.gz
cd asterisk-11*
./configure —prefix=/usr —sysconfdir=/etc —localstatedir=/var —libdir=/usr/lib64
make menuconfig

Убедитесь, что модуль res_snmp в разделе «Resource Modules» выбран для сборки

make
make install
make config
# make samples 

Если нужны примеры конфигов Asterisk, настройки модуля res_snmp.so находятся в файле /etc/asterisk/res_snmp.conf, их всего две:
enabled — нужно указать yes для включения SNMP в Asterisk
subagent — нужно указать yes, чтобы Asterisk подключался к snmpd как subagent (если указать no, Asterisk будет использовать свой собственный SNMP-сервер)
В общем, нужно привести файл /etc/asterisk/res_snmp.conf к виду:

[general]
subagent = yes
enabled = yes

Запускаем Asterisk

service asterisk start

Если Asterisk уже запущен, достаточно выгрузить и загрузить снова модуль res_snmp.so

asterisk -rx «module unload res_snmp.so»
asterisk -rx «module load res_snmp.so»

Настройка snmpd
Демон snmpd входит в пакет net-snmp, поэтому он уже должен быть установлен в системе. Сперва нужно создать пользователя для подключения по SNMPv3, перед этим нужно остановить snmpd, если он уже запущен.
service snmpd stop
Для создания пользователя нужно внести команды в файл /var/lib/net-snmp/snmpd.conf и запустить snmpd. Лучше воспользоваться скриптом net-snmp-create-v3-user (входит в пакет net-snmp), который сам внесёт необходимые изменения в файлы /var/lib/net-snmp/snmpd.conf и /etc/snmp/snmpd.conf.

net-snmp-create-v3-user -ro -A authSecret -a SHA -X encSecret -x AES snmp_user

-ro — этот ключ обозначает, что у созданного пользователя будет только доступ на чтение
authSecret — пароль для аутентификации
SHA — алгоритм хэширования, используемый при аутентификации (вместо SHA можно указать MD5)
encSecret — пароль для шифрования
AES — используемый алгоритм шифрования (вместо AES можно указать DES)
snmp_user — имя пользователя для подключения по SNMPv3
Если потом понадобится удалить этого пользователя, нужно удалить из файла /etc/snmp/snmpd.conf строку «rouser snmp_user» и удалить из файла /var/lib/net-snmp/snmpd.conf строку, начинающуюся со слова «usmUser», затем нужно будет перезапустить snmpd.
В конец файла /etc/snmp/snmpd.conf нужно добавить строки

master agentx
agentXSocket /var/agentx/master
agentXPerms 0660 0550 nobody asterisk

Здесь asterisk — имя группы, в которую входит пользователь, от имени которого запускается Asterisk, если группу указать неправильно, Asterisk не сможет подключиться к snmpd.
Запускаем snmpd, включаем автозапуск

service snmpd start
chkconfig snmpd on

Если директория /var/agentx не существует, то snmpd создаст её при запуске с правами 550, нужно добавить право на чтение и выполнение для всех, чтобы Asterisk мог подключиться к snmpd.
chmod 555 /var/agentx
MIB для расшифровки SNMP-показателей Asterisk выложен в официальном wiki Asterisk. Для тестирования работы SNMP с локального хоста, содержимое этой страницы нужно сохранить в файл /usr/share/snmp/mibs/ASTERISK-MIB.txt, затем нужно подгрузить новый MIB командой:

export MIBS=+ASTERISK-MIB

Если вы и дальше планируете использовать подключения по SNMP с локального хоста, можно добавить эту команду в файл ~/.bashrc, чтобы не вводить каждый раз.
Теперь можно протестировать работу SNMPv3 командой:

snmpwalk -v3 -u snmp_user -A authSecret -a SHA -X encSecret -x AES -l authPriv localhost asterisk

Если Asterisk запущен, команда должны выдать список SNMP-показателей Asterisk. Если этого не произошло, проверьте правильность алгоритмов и ключей аутентификации и шифрования и правильность остальных настроек, выполненных на предыдущих этапах, также проверьте, чтобы модуль res_snmp.so был подгружен, и, чтобы snmpd был запущен. Можно отдельно протестировать работу SNMPv1 командой:

snmpwalk -v1 -c public localhost

Эта команда должна выдать список всех SNMP-показателей хоста. Если в списке присутствуют показатели Asterisk (ищите в выводе ASTERISK-MIB или iso.3.6.1.4.1.22736, если MIB-файл не подгружен), значит проблему нужно искать только в настройках SNMPv3.
Когда SNMPv3 заработает, использование SNMP версий 1 и 2c нужно отключить, чтобы получать показатели SNMP можно было только с аутентификацией. Для этого в файле /etc/snmp/snmpd.conf нужно закомментировать строки:

com2sec notConfigUser default public
group notConfigGroup v1 notConfigUser
group notConfigGroup v2c notConfigUser

и перезапустить snmpd.
Для того, чтобы SNMP-показатели данного сервера можно было считывать не только с локального хоста, но и с других подсетей и хостов, нужно будет открыть доступ к UDP-порту 161 для этих подсетей и хостов.