1. Преимущества SNMPv3 перед SNMPv2c

SNMPv2c использует community-строки в открытом виде, что делает его уязвимым к прослушиванию и подмене. SNMPv3 устраняет эти недостатки за счёт:

• Аутентификации — подтверждение подлинности пользователя (MD5 или SHA)
• Шифрования — защита конфиденциальности данных (DES, AES-128)
• Контроля доступа — гибкое управление правами через views и группы

Juniper EX Series поддерживает все уровни безопасности SNMPv3: noAuthNoPriv, authNoPriv, authPriv.

2. Подготовка к настройке

Перед настройкой необходимо:

• Определить уровень безопасности: рекомендуется authPriv (аутентификация + шифрование)
• Выбрать алгоритмы: SHA для аутентификации, AES-128 для шифрования
• Подготовить пароли (минимум 8 символов)
• Иметь доступ к CLI через консоль или SSH
• Знать IP-адрес системы мониторинга (например, Zabbix, LibreNMS)

⚠️ SNMPv3 несовместим с SNMPv2c. Убедитесь, что система мониторинга поддерживает SNMPv3.

3. Настройка аутентификации (auth)

Аутентификация гарантирует, что запросы поступают от доверенного источника.

Создание пользователя с аутентификацией

set snmp v3 usm local-engine user monitor auth sha authentication-password "MyAuthPass123"

Параметры:

• monitor — имя пользователя
• sha — алгоритм аутентификации (можно md5, но SHA предпочтительнее)
• authentication-password — пароль (должен быть ≥ 8 символов)

4. Настройка шифрования (priv)

Шифрование защищает содержимое SNMP-пакетов от перехвата.

Добавление шифрования к пользователю

set snmp v3 usm local-engine user monitor privacy aes128 privacy-password "MyPrivPass456"

Параметры:

• aes128 — алгоритм шифрования (альтернатива — des, но AES безопаснее)
• privacy-password — пароль шифрования (≥ 8 символов)

После этой команды пользователь использует уровень безопасности authPriv.

5. Ограничение доступа через views

Views определяют, к каким OID может обращаться пользователь.

Создание view с доступом к базовым MIB

set snmp view basic oid 1.3.6.1.2.1 include
set snmp view basic oid 1.3.6.1.4.1.2636 include

Где:

• 1.3.6.1.2.1 — стандартные MIB-II (интерфейсы, система, IP)
• 1.3.6.1.4.1.2636 — Juniper Enterprise MIB

Можно добавить исключения:

set snmp view basic oid 1.3.6.1.2.1.4.22 exclude

(исключает ARP-таблицу из доступа)

6. Привязка пользователей к группам

Группы связывают пользователей с правами доступа (view) и типом операций.

Создание группы и привязка пользователя

set snmp v3 vacm security-to-group security-model usm security-name monitor group monitor-group
set snmp v3 vacm access group monitor-group context-prefix "" security-model usm security-level privacy read-view basic

Пояснение:

• security-model usm — использует локальную базу пользователей
• security-level privacy — требует authPriv
• read-view basic — разрешает чтение только из view basic

Если нужна запись (например, для управления), добавьте write-view basic.

7. Проверка работы

Просмотр конфигурации SNMPv3

show configuration snmp v3

Тест с помощью snmpwalk (Linux)

snmpwalk -v3 -u monitor -l authPriv \
  -a SHA -A "MyAuthPass123" \
  -x AES -X "MyPrivPass456" \
  192.168.1.10 sysDescr.0

Ожидаемый результат — описание системы коммутатора.

Проверка в системе мониторинга

В Zabbix/LibreNMS укажите:

• Версия: SNMPv3
• Уровень безопасности: authPriv
• Аутентификация: SHA, пароль
• Конфиденциальность: AES, пароль

8. Типичные ошибки и решения

Симптом	Причина	Решение
Timeout при запросе	Неправильный уровень безопасности в клиенте	Убедиться, что клиент использует authPriv
Authentication failure	Несовпадение пароля аутентификации или алгоритма	Сверить SHA/MD5 и пароль в клиенте и на коммутаторе
Decryption error	Несовпадение пароля шифрования или алгоритма	Проверить AES/DES и privacy-password
Нет данных, но ошибок нет	View не включает нужные OID	Расширить view или проверить права группы
Команда не применяется	Не включён SNMP-демон	Выполнить set snmp community dummy (временно) или delete snmp disable

9. Рекомендации по безопасности

• Всегда используйте уровень authPriv — никогда не оставляйте noAuthNoPriv в продакшене.
• Предпочитайте SHA вместо MD5 и AES-128 вместо DES.
• Используйте разные пароли для аутентификации и шифрования.
• Ограничивайте view только необходимыми OID — не давайте доступ ко всей MIB.
• Регулярно меняйте пароли (раз в 90 дней).
• Отключите SNMPv1/v2c: delete snmp community.
• Ограничьте доступ по IP: set snmp client-list trusted ip 192.168.10.0/24.

10. Заключение

Настройка SNMPv3 на Juniper EX Series обеспечивает безопасный и контролируемый мониторинг сети.

Ключевые шаги:

1. Создайте пользователя с auth sha и privacy aes128.
2. Определите view с необходимыми OID.
3. Привяжите пользователя к группе с уровнем privacy и read-view.
4. Проверьте работу через snmpwalk или систему мониторинга.

Эта конфигурация соответствует требованиям PCI DSS, ISO 27001 и другим стандартам информационной безопасности.