基于访问控制列表限制网管SNMP访问权限

转载

用户420 2016-12-30 09:43:41

配置ACL规则。
为SNMP Agent、SNMP团体名、SNMP用户组或SNMP用户名指定ACL规则。执行命令snmp-agent acl acl-number，配置设备SNMP的访问控制列表，ACL规则中被允许的网管才能通过SNMP用户访问设备。
执行命令snmp-agent community { read | write } { community-name | ciphercommunity-name } acl acl-number，在配置SNMP团体名时指定ACL。这样，在使用该团体名的网管中只有符合ACL规则的网管才能访问设备。
执行命令snmp-agent group v3 group-name { authentication | privacy |noauthentication } acl acl-number，在配置SNMPv3用户组时指定ACL。这样，在使用该用户组中用户的网管中只有符合ACL规则的网管才能访问设备。
执行命令snmp-agent usm-user v3 user-name acl acl-number配置SNMPv3用户时指定ACL。这样，在使用该SNMPv3用户的网管中只有符合ACL规则的网管才能访问设备。
基于MIB视图限制网管SNMP访问权限
执行命令snmp-agent mib-view { excluded | included } view-name oid-tree，创建MIB视图并限定网管监控和管理的MIB节点。
为SNMP团体名或SNMP用户组指定MIB视图。执行命令snmp-agent community { read | write } { community-name | ciphercommunity-name } mib-view view-name，在配置SNMP团体名时指定MIB视图。这样，使用该SNMP团体名的网管只能监控和管理指定MIB视图中的MIB节点。
执行命令snmp-agent group v3 group-name { authentication | privacy |noauthentication } [ read-view read-view | write-view write-view |notify-view notify-view ] ，在配置SNMPv3用户组时指定MIB视图。这样，使用该SNMPv3用户组中用户的网管只能监控和管理指定MIB视图中的MIB节点。 # 配置ACL编号为2001，只允许192.168.1.0网段的网管访问设备。
<HUAWEI> system-view
[~HUAWEI] acl 2001
[HUAWEI-acl4-basic-2001] rule permit source 192.168.1.0 0.0.0.255
[HUAWEI-acl4-basic-2001] rule deny source any [HUAWEI-acl4-basic-2001] commit
[~HUAWEI-acl4-basic-2001] quit
# 配置MIB视图，视图名称为alliso，访问的视图包含iso。
[~HUAWEI] snmp-agent mib-view included alliso iso
[HUAWEI] commit # 配置基于SNMP团体名的某些网管对设备的管理，且只允许访问MIB视图alliso中所包含的MIB节点。
[~HUAWEI] snmp-agent community write private_user mib-view alliso acl 2001
[HUAWEI] commit
# 配置基于SNMPv3用户组的某些网管对设备的管理，且该用户组中的SNMP用户只允许访问MIB视图alliso中所包含的MIB节点。
[~HUAWEI] snmp-agent group v3 huawei_group privacy write-view alliso acl 2001
[HUAWEI] commit # 配置基于SNMPv3用户的某些网管对设备的管理，该SNMPv3用户需要加入SNMPv3用户组。
[~HUAWEI] snmp-agent usm-user v3 huawei_user acl 2001
[HUAWEI] commit