Отслеживание изменения конфигурации Cisco Cat2960

[Dusty]

Есть 24-портовый каталист 2960.

Под него создан шаблон, меряет скорость, следит за подключением/отключением, рисует графики и т.п.

Опрашивается по SNMP.

Настроены trapы, срабатывают чётко на подключение/отключение, при изменении конфигурации так же приходит некоторая информация, однако она малочитаемая.

Можно ли как-нибудь сделать так, что бы можно было с использованием zabbix чётко отслеживать изменение конфигурации каталиста как то:

кто делал изменения
какие изменения
когда были произведены изменения.

В какую сторону смотреть, чего читать?

Вопрос к разрабам:

Будут ли в будущих версиях предприняты какие-либо шаги для обработки трапов в самом заббиксе, а не сторонними скриптами?

[dima_dm]

Проще всего это сделать так:
1) Сделайте хранилище конфигураций (tftp-server)
2) Напишите скрипт, который будет заходить на устройства (c заданной периодичностью) и сбрасывать конфигурацию на tftp-server и анализировать изменения, хранить историю изменений конфигурации ( это полезно и при решении проблем).
3) Отсылать результаты с помощью zabbix_sender на Zabbix.
http://www.zabbix.com/documentation/...abbix_sender?s[]=zabbix&s[]=sender

[Dusty]

Проще всего это сделать так:
1) Сделайте хранилище конфигураций (tftp-server)

Вариант рассматривался, однако не сильно устраивает по причине открытости tftp (можно его конечно закрыть по MAC/IP, но хочется чего-то с логином/паролем).

С помощью трапов можно что-нибудь соорудить?

[dima_dm]

Проблемы с безопасностью решаются очень просто:
Поднимаете IPSEC туннель между доверенным роутером и сервером, а TFTP трафик от всех устройств в этом LAN ходит в этом туннеле.
Для поднятия IPSec туненеля с Linux я использую:
racoon http://ipsec-tools.sourceforge.net/
или
Openswan http://www.openswan.org/
P.S. SNMP v2 и v1 не безопасней чем TFTP, пакеты не шифруются. Если только вы не используете SNMP v3.
P.S.S. Если IPSEC туннель строиться с Zabbix сервером, то в по этому туннелю можно безопасно передавать SNMPv2 и трафик Zabbix_agent, который пока не имеет штатных функций шифрования трафика.

[Dusty]

Проблемы с безопасностью решаются очень просто:
Поднимаете IPSEC туннель между доверенным роутером и сервером, а TFTP трафик от всех устройств в этом LAN ходит в этом туннеле.
Для поднятия IPSec туненеля с Linux я использую:
racoon http://ipsec-tools.sourceforge.net/
или
Openswan http://www.openswan.org/

Спасибо, поглядим. Просто устройств достаточно много, сколько на настройку каждого времени уйдёт - вопрос.

P.S. SNMP v2 и v1 не безопасней чем TFTP, пакеты не шифруются. Если только вы не используете SNMP v3.

Как раз в бой пойдёт именно v3.

[dima_dm]

Спасибо, поглядим. Просто устройств достаточно много, сколько на настройку каждого времени уйдёт - вопрос.

Не много. Создаёте одну рабочую конфигурацию, а дальше размножаете.
P.S. Я обычно ещё syslog трафик в IPSec заворачиваю, мало в каких устройствах secure syslog реализован.

[Dusty]

Спасибо, будем пробовать.

[zalex_ua]

Вопрос к разрабам:

Будут ли в будущих версиях предприняты какие-либо шаги для обработки трапов в самом заббиксе, а не сторонними скриптами?

Кто еще не знает о таком сайте www.zabbix.org ?

Смотрите анонс

More convenient SNMP trap receiving that does not require custom scripts

[Dusty]

Кто еще не знает о таком сайте www.zabbix.org ?

Видимо не только я. Большое спасибо.

Смотрите анонс

more convenient snmp trap receiving that does not require custom scripts

Изучаю.