SNMPv3 用四要素替代团体字
SNMP v1/v2c 只靠一个团体字做认证，团体字在网络里以明文传输，且只能区分读写权限，无法确认请求来自谁。SNMPv3 引入用户、组、认证、加密四要素：用户归属到组，组决定能访问哪些 MIB 视图；认证保证请求来源可信，加密保证报文内容不被窃听。做安全整改时，把 v2c 换成 v3 是最常被要求的一项，配置写法三厂差异明显，但四要素是共通的。
基本信息
| 适用场景 | 安全整改、网管平台纳管、等保要求 |
|---|---|
| 四要素 | 用户、组、认证算法与口令、加密算法与口令 |
| 华为命令族 | snmp-agent group、snmp-agent usm-user |
| 思科命令族 | snmp-server group、snmp-server user |
| H3C 命令族 | snmp-agent group、snmp-agent usm-user |
| 常见算法 | 认证 sha/aes 系列，加密 aes128/aes256（按版本支持） |
典型使用场景
- 等保整改：把在用的 SNMPv2c 团体字替换为 v3 用户，消除明文团体字
- 新平台纳管：网管系统要求 v3 认证加密时，按平台要求创建对应用户
- 权限隔离：监控账号只读、运维账号可写，通过组与视图区隔
- 多团队共用设备：为不同管理系统创建独立用户，便于审计与逐个停用
- 加固验收：确认 sys-info 已限定为 v3，旧版本请求被拒绝而不是默默可用
华为 VRP
华为 VRP
[Huawei] snmp-agent sys-info version v3
[Huawei] snmp-agent group v3 opsgroup privacy
[Huawei] snmp-agent usm-user v3 opsuser group opsgroup
[Huawei] snmp-agent usm-user v3 opsuser authentication-mode sha cipher Auth@12345
[Huawei] snmp-agent usm-user v3 opsuser privacy-mode aes128 cipher Priv@12345思科 IOS 与 H3C
思科 IOS 与 H3C
! 思科 IOS：两条命令，组 + 用户
SW-CORE-01(config)# snmp-server group OPS v3 priv
SW-CORE-01(config)# snmp-server user opsuser OPS v3 auth sha Auth@12345 priv aes 128 Priv@12345
! H3C Comware：一条命令带组名
[H3C] snmp-agent sys-info version v3
[H3C] snmp-agent group v3 opsgroup privacy
[H3C] snmp-agent usm-user v3 opsuser opsgroup simple authentication-mode sha Auth@12345 privacy-mode aes128 Priv@12345四要素三厂对照
| 要素 | 华为 VRP | 思科 IOS | H3C Comware |
|---|---|---|---|
| 启用 v3 | snmp-agent sys-info version v3 | snmp-server 默认支持 v3 | snmp-agent sys-info version v3 |
| 建组 | snmp-agent group v3 组名 privacy | snmp-server group 组名 v3 priv | snmp-agent group v3 组名 privacy |
| 建用户 | snmp-agent usm-user v3 用户 组名 | snmp-server user 用户 组 v3 | snmp-agent usm-user v3 用户 组名 simple |
| 认证 | authentication-mode sha cipher | auth sha | authentication-mode sha |
| 加密 | privacy-mode aes128 cipher | priv aes 128 | privacy-mode aes128 |
认证与加密算法、口令两端必须完全一致，网管侧写错算法时采集失败但报错信息通常很含糊，只在设备日志里留下一句认证失败。核对时建议把四要素逐项对着配置念一遍。
配置完用户后要确认 sys-info 里已经启用 v3。旧版本请求在多数平台上会被丢弃而不产生明确日志，表现为设备已经改好、网管却完全采不到数据。