SNMPv2c 团体字是什么
SNMPv2c 是设备纳管最常用的版本，用团体字（community string）当口令。团体字随报文明文传输、不加密，所以它等价于一个网管弱口令：谁能访问设备的 UDP 161，谁就拿到全部可读信息。工程上的做法是三条一起上——只开只读团体、团体字用足够复杂的随机串、并在团体字后挂 ACL 把来源限制到网管服务器。
基本信息
| 适用设备 | 全部设备（华为 VRP / H3C Comware / 思科 IOS） |
|---|---|
| 端口 | UDP 161 查询；UDP 162 接收告警 trap |
| 团体类型 | read 只读、write 读写；写团体生产环境一律不开 |
| 加固三件套 | 只读团体 + ACL 限源 + 复杂随机字符串 |
| 常见对接 | Zabbix、LibreNMS、网管平台、自研巡检脚本 |
典型使用场景
- 监控平台采集端口流量、CPU、内存、光功率等性能数据
- 纳管与自动发现：读取接口清单、LLDP 邻居、设备型号与版本
- 设备告警上报：接口 down、CPU 越限等事件以 trap 形式推给网管
- 批量巡检脚本取数：v2c 实现简单，比 v3 少一层认证配置
- 安全审计：筛查现网是否存在 public/private 这类默认团体字
华为 VRP
华为 VRP
[Huawei] snmp-agent
[Huawei] snmp-agent sys-info version v2c
[Huawei] snmp-agent community read cipher Public@123 acl 2000 # 引用已有 ACL 限源
! 写团体尽量不开；确需读写分离时单独建一个 write 团体 + 单独 ACL
[Huawei] display snmp-agent community思科 IOS
思科 IOS
SW-CORE-01(config)# snmp-server community Public RO 10 # 10 为标准 ACL 号，限源
SW-CORE-01(config)# snmp-server community Private RW 10
SW-CORE-01(config)# snmp-server enable traps # 开启告警上报
SW-CORE-01# show running-config | include snmp-server communityH3C Comware
H3C Comware
[H3C] snmp-agent
[H3C] snmp-agent sys-info version v2c
[H3C] snmp-agent community read simple Public@123 acl 2000
[H3C] display snmp-agent community
! simple 与 cipher 区别：是否以明文形式回显配置三厂语法对照
| 操作 | 华为 VRP | H3C Comware | 思科 IOS |
|---|---|---|---|
| 声明团体 | snmp-agent community read cipher XXX acl 2000 | snmp-agent community read simple XXX acl 2000 | snmp-server community XXX RO 10 |
| 指定版本 | snmp-agent sys-info version v2c | snmp-agent sys-info version v2c | 由团体语法决定 v1/v2c，v3 另配 group 与 user |
| 限源 | 关键字 acl 2000 引用 | 关键字 acl 2000 引用 | 团体后直接写 ACL 号 |
| 查看 | display snmp-agent community | display snmp-agent community | show running-config | include snmp-server community |
团体字里带 @、# 等特殊字符时，先在监控平台上验证能否正确录入；不同平台对团体字的长度与字符集各有约束，配置下发前对齐一遍可以省掉一轮排障。
public/private 是扫描器字典的第一梯队。即便设备只在管理网可达，也应改成随机串并挂源限制；读写团体不要发给监控平台，平台侧一次误操作就能改写生产配置。
v2c 与 v3 的取舍：新设备支持 v3（认证 + 加密 + 用户级权限）时优先 v3，v2c 只留给确实不支持 v3 的老设备；迁移时监控平台和采集脚本要一起改。