Monitoring i zarządzanie

• Dobierzesz metryki do usług i urządzeń.
• Rozróżnisz polling, trap/inform, logi i telemetrię przepływów.
• Wyjaśnisz MIB, OID oraz ryzyka SNMPv1/v2c.
• Zaprojektujesz użyteczne alerty i retencję danych.

Wymagania wstępne

• Urządzenia sieciowe
• TCP/UDP i porty
• Podstawy bezpieczeństwa

Inwentaryzacja wiąże urządzenie z lokalizacją, rolą, właścicielem, wersją oprogramowania, interfejsami i terminem wsparcia. Dokumentacja topologii i adresacji pozwala interpretować alarmy.

Baseline to normalny zakres zachowania mierzony w reprezentatywnym okresie. Bez niego pojedyncza wartość wykorzystania lub opóźnienia ma ograniczone znaczenie.

• Określ usługi krytyczne i oczekiwane poziomy dostępności.
• Zbieraj dane z wiarygodnym znacznikiem czasu.
• Powiąż alarm z właścicielem i procedurą reakcji.

Przepustowość nominalna interfejsu nie jest przepływnością użyteczną aplikacji. Krótki skok nie musi być awarią; utrzymujący się trend może wymagać planowania pojemności.

MIB opisuje strukturę zarządzanych obiektów, a OID identyfikuje konkretny obiekt. Polling okresowo odpytuje urządzenie. Trap jest jednostronnym powiadomieniem, a inform wymaga potwierdzenia na poziomie SNMP.

SNMPv1 i v2c używają community strings, które nie zapewniają współczesnej ochrony transmisji. Preferuj SNMPv3 z właściwym uwierzytelnieniem i prywatnością, ograniczeniem źródeł oraz minimalnymi uprawnieniami.

• Nie wystawiaj interfejsu zarządzania do niezaufanej sieci.
• Weryfikuj liczniki 32/64-bit i sposób obliczania tempa.
• Nazwy OID mogą zależeć od standardowej lub producenckiej MIB.

Syslog przesyła komunikaty z poziomem ważności, ale samo severity nie określa wpływu biznesowego. Centralny system powinien zachować źródło, czas, treść i kontekst.

NTP zapewnia spójny czas niezbędny do korelacji zdarzeń. SSH chroni interaktywną administrację, a automatyczne kopie konfiguracji umożliwiają odtworzenie i kontrolę zmian.

• Ogranicz dostęp do logów, ponieważ mogą zawierać dane wrażliwe.
• Testuj odtwarzanie kopii, nie tylko ich tworzenie.
• Rejestruj zmianę, autora, powód i wynik walidacji.

Telemetria przepływów opisuje rozmowy metadanymi, np. adresami, portami, protokołem, liczbą bajtów i czasem. IPFIX jest standardem IETF, natomiast NetFlow jest rodziną rozwiązań historycznie związaną z Cisco. Dane przepływów nie są pełnym przechwyceniem pakietów.

Centralizacja ułatwia korelację, lecz tworzy cenny zbiór wymagający kontroli dostępu, szyfrowania, retencji i monitorowania integralności.

• Próg powinien odpowiadać objawowi wymagającemu działania, a nie każdej zmianie.
• Stosuj histerezę, opóźnienie potwierdzenia i grupowanie zależnych alarmów.
• Rozróżnij ostrzeżenie, degradację i awarię.
• Eliminuj alerty bez właściciela lub procedury.
• Regularnie przeglądaj fałszywe alarmy oraz zdarzenia niewykryte.
• Retencję dobierz do celu operacyjnego, prawa, kosztu i ryzyka prywatności.

1. Dla switcha dostępowego wybierz pięć metryk, progi wstępne i osobę odpowiedzialną za alarm.
2. Wyjaśnij różnicę między SNMP polling, trap, Syslog i IPFIX.
3. Zaproponuj retencję danych dla metryk, logów administracyjnych i kopii konfiguracji wraz z uzasadnieniem.

• Monitoring wymaga inwentaryzacji, baseline i kontekstu usług.
• SNMP, Syslog i IPFIX dostarczają różne rodzaje danych.
• Dobry alarm prowadzi do konkretnego działania i nie ujawnia niepotrzebnie danych.

• Diagnostyka

• RFC 3411 — SNMP Management Framework
• RFC 5424 — Syslog Protocol
• RFC 7011 — IPFIX Protocol
• RFC 5905 — Network Time Protocol v4