H3C 交换机 SNMP 配置实战：从 v2c 基础到 v3 高安全部署

作为网络工程师，SNMP（简单网络管理协议）是我们监控设备状态的"眼睛"。然而，随着网络安全标准的提升，传统的 SNMPv1/v2c 因采用明文传输，极易被窃听和篡改。在生产环境中，我们强烈建议全面升级至 SNMPv3。

本文将结合 H3C 设备的实战配置，从基础的 v2c 部署到高安全级别的 v3 加密认证，为你提供一份可直接落地的配置指南。

一、 传统 SNMPv2c 配置（明文传输，存在安全隐患）

在部分老旧网管系统兼容场景下，我们可能仍需使用 SNMPv2c。以下是基础配置及避坑指南。

# 1. 启用 SNMP 服务
[tor-1] snmp-agent

# 2. 配置只读团体名（用于网管采集数据）
[tor-1] snmp-agent community read platform

# 3. 配置读写团体名（用于网管下发配置）
[tor-1] snmp-agent community write platform

# 4. 指定 SNMP 版本为 v2c，并关闭默认的 v3 版本
[tor-1] snmp-agent sys-info version v2c
[tor-1] undo snmp-agent sys-info version v3

# 5. 配置 Trap 告警接收主机
[tor-1] snmp-agent target-host trap address udp-domain 192.168.1.253 params securityname platform v2c

️ 避坑提示：

1. 权限最小化原则 ：write 权限极其危险，一旦被恶意利用，攻击者可直接篡改设备配置。生产环境中，除非有自动化配置下发的硬性需求，否则强烈建议仅保留 read 权限。
2. 安全风险：SNMPv2c 的团体名（Community）在网络中是明文传输的，极易被抓包窃听。务必结合 ACL 限制访问源 IP，或尽快向 SNMPv3 迁移。

二、 现代 SNMPv3 配置（推荐，支持认证与加密）

SNMPv3 通过 USM（基于用户的安全模型）和 VACM（基于视图的访问控制模型），实现了身份认证与数据加密，是目前唯一推荐的生产环境版本。

1. 核心配置步骤

# 启用 SNMP 服务并指定版本
snmp-agent
snmp-agent sys-info version v3

# （可选）配置本地引擎 ID，通常设备会自动生成，无需手动指定
snmp-agent local-engineid 800063A280AC7409F4850300000001

# 创建 MIB 视图，限制可访问的 OID 范围（这里包含整个 internet 子树）
snmp-agent mib-view included test_View internet

# 创建 SNMPv3 用户组，绑定读写及通知视图，并启用 privacy（加密）
snmp-agent group v3 SW001_V3 privacy read-view test_View write-view test_View notify-view test_View

# 添加 SNMPv3 用户，绑定至用户组，配置 MD5 认证与 AES128 加密
snmp-agent usm-user v3 SW001_V3_ADMIN SW001_V3 cipher H3c@admin

# 配置 Trap 告警目标主机（使用 v3 privacy 模式）
snmp-agent target-host trap address udp-domain 10.221.2.246 params securityname SW001_V3_ADMIN v3 privacy
19snmp-agent target-host trap address udp-domain 192.168.250.45 params securityname SW001_V3_ADMIN v3 privacy

2. 配置逻辑拆解

• MIB 视图 (mib-view)：相当于给网管划定了一个"可见范围"，防止敏感数据被越权读取。
• 用户组 (group v3) ：privacy 关键字表示该组要求认证 + 加密（AuthPriv 级别），这是最高安全级别。
• 用户 (usm-user) ：将具体的用户名与用户组绑定，并指定认证算法（MD5/SHA）和加密算法（AES/DES）。配置中使用 cipher 关键字表示密码以密文形式存储，提升了配置文件的安全性。

避坑提示：

1. 参数一致性 ：在 NMS 网管端（如 Zabbix、iMC）添加设备时，务必确保用户名、认证算法、认证密码、加密算法、加密密码与设备侧完全一致，否则无法建立连接。
2. 引擎 ID 警告 ：SNMPv3 的密文密码是由明文密码和设备引擎 ID 计算生成的。千万不要直接拷贝配置文件中的密文密码到另一台设备，因为两台设备的引擎 ID 不同，会导致认证失败。建议在所有设备上使用明文密码进行配置。

三、 常用运维与验证命令

配置完成后，使用以下命令进行状态检查：

• 查看 SNMP 基础信息与版本 ：display snmp-agent sys-info
• 查看 v2c 团体名 ：display snmp-agent community
• 查看 v3 用户与加密状态 ：display snmp-agent usm-user
• 查看 Trap 目标主机配置 ：display snmp-agent target-host