RHEL 7.6: snmpwalk met AES-256

[ddkiller0900]

Mijn vraag

Op een Cisco switch met fictief ip adres 1.1.1.1 is SNMP v3 geconfigureerd met SHA en AES-256.
Vanaf een RHEL 7.6 server dient deze switch uitgelezen te worden met behulp van snmpwalk.
Er wordt namelijk gebruik gemaakt van een applicatie die snmpwalk gebruikt om netwerk gegevens op te halen.

Uit onderzoek bleek dat onze gebruikte net-snmp versie 5.7.2 betreft. Deze versie heeft geen ondersteuning voor AES hoger dan 128. Na alle vereiste packages te installeren (perl-devel en openssl-devel) heb ik dan ook net-snmp 5.8 gedownload en compileerd als volgt:

code:

./configure --with-perl-modules --enable-blumenthal-aes

De eerste poging om de switch uit te lezen ziet er als volgt uit:

code:

snmpwalk -v 3 -u myuser -l authPriv -a SHA -A testauth -x AES256 -X testpriv 1.1.1.1

Output: Timeout: No Response from 1.1.1.1

Wanneer AES-128 geconfigureerd is op de switch werkt de snmpwalk zonder problemen.

Relevante software en hardware die ik gebruik

Net-snmp 5.8 (http://www.net-snmp.org/download.html)
snmpclitools (https://github.com/etingof/snmpclitools)

Wat ik al gevonden of geprobeerd heb

Een collega gaf aan dat hij met Solarwinds zonder problemen de switch uit kan lezen met SNMP v3 met AES-256. Ik ben dan ook vrij zeker dat het probleem zich in Net-snmp bevindt.

Om de proef op de som te nemen heb ik snmpclitools geïnstalleerd (https://github.com/etingof/snmpclitools).
Hiermee is het wel mogelijk om een snmpwalk uit te voeren met dezelfde parameters als in bovenstaand voorbeeld.

[Hero of Time]

Zie je het verzoek wel op je Cisco aankomen? En moet je niet nog een community (-c) meegeven? Mag hopelijk aannemen dat als je de moeite neemt om SNMPv3 met SHA256 te configureren, dat je niet een standaard communityname gebruikt zoals public.

[ddkiller0900]

Ik heb vergeten te vermelden dat ik een tcpdump heb uitgevoerd tijdens het uitvoeren van de snmpwalk. Ik zie dat het verkeer aankomt op de switch. Er wordt vanuit de switch een security engine id doorgestuurd en daarna blijft het stil.

Wanneer ik de python libraries gebruik in plaats van net-snmp krijg ik wel de verwachtte response.

SNMP v3 is gekoppeld aan een user die vervolgens rechten krijgt op een view. Een community string is dus niet van toepassing.

[Hero of Time]

Op m'n werk hebben we ook Cisco Switches (dacht ik). Ik kan daar eens naar kijken voor je. Moet die dingen toch nog eens in onze monitoring hangen. Daarnaast hebben we ook een ASA en kan ik zo voor mijzelf een SNMPv3 context aanmaken om te testen. Enige verschil is, ik gebruik Debian en geen CentOS. Debian kan deze net anders compileren. Ze leveren wel versie 5.7.3 mee, dus dat is iig iets wat overeenkomt.