SNMP 对接的定位
SNMP 是网管平台采集设备状态的标准协议，用于读取接口流量、资源利用率与系统信息，也用于接收设备主动上报的告警 trap。它本身不是加密协议：SNMPv2c 的团体字以明文传输，等同于口令。因此对接时必须做来源限制与凭据治理，条件允许时优先使用带认证与加密的 SNMPv3。
基本信息
| 版本选择 | SNMPv2c（团体字）或 SNMPv3（认证与加密） |
|---|---|
| 安全要求 | 只读权限、来源地址限制、独立口令、定期更换团体字 |
| 采集内容 | 系统信息、接口状态与流量、资源利用率 |
| 告警上报 | trap 目标地址、版本与团体字需与网管侧一致 |
典型使用场景
- 新设备接入网管：配置只读凭据并限制采集来源
- 监控项扩展：按网管模板核对 OID 覆盖范围
- 告警接入：配置 trap 目标并验证网管侧能收到
- 安全整改：把默认团体字改为强口令并纳入定期更换
- 升级后核查：确认 MIB 与采集模板仍然匹配
对接步骤
对接步骤
# 1. 设备侧启用 SNMP 并配置只读凭据（优选 SNMPv3）
# 2. 限制仅网管服务器地址可访问，其余来源拒绝
# 3. 网管侧添加设备并测试采集，核对关键指标能取到值
# 4. 配置 trap 接收目标，触发一次测试告警验证送达
# 5. 记录团体字或认证参数，并纳入定期更换范围版本与安全
| 版本 | 认证方式 | 建议 |
|---|---|---|
| SNMPv1 | 团体字明文 | 不用于生产环境 |
| SNMPv2c | 团体字明文 | 需限定来源并定期更换 |
| SNMPv3 | 认证加加密 | 条件允许时优先使用 |
团体字在功能上等同于口令：一旦泄露，攻击者可以读取设备完整的状态信息，甚至借此推测内部网络结构。
采集频率与对象范围要有节制：轮询频率过高会持续消耗设备资源，只采集确实用于监控与告警的指标。
从 SNMPv2c 迁移到 SNMPv3 时，设备与网管两端的认证参数必须完全一致（用户名、认证与加密算法、口令），不一致时表现为完全采集不到数据，而不是明确报错。