SNMP Proxy ... wait what?

Working with SNMP in 2025 is still a thing. Most hate it, but it’s sometimes the only thing you can use to get insights into the box you are working with. I want to shed some light on the SNMP proxy capability in Net-SNMP, it might be possible some people haven’t heard of it and might find it useful. In a nutshell, you can use Net-SNMP as a proxy to query information from another SNMP agent over an IP connection you can’t or do not want to query directly.

Make your network traffic visible using flows

Getting metrics about the utilization of network interfaces isn’t very complicated these days. Most of the time your network gear is instrumented with an SNMP agent which you can use to measure it or if you get modern, they have telemetry streaming, and they send you measurements with protocols like gNMI. I’m not explaining fancy new tech here, everything mentioned here is old, but your devices might have these capabilities but aren’t exploited :)

Net-SNMP version 3 and OpenNMS

To monitor your systems you rely heavily on SNMP, it gives out of the box a lot of possibilities getting important performance and status information.

The main topic security is often not considered. SNMP version 1 and 2c transmit everything in plain text over the wire. There is also no user, password authentication method, just a shared community string which gives access to the information. To address these problems SNMP v3 was introduced.

SNMP vs. Prometheus – On The Wire

I’ve been working with network monitoring tools for a long time. Working with network devices, there is still today a very high probability you have to deal with SNMP. If you work with modern applications or infrastructure, especially in dynamic environments with containers, you will inevitably run into Prometheus and its ecosystem when you need to design and build monitoring solutions.

By design, both agents have different goals in mind. The world was very different when SNMP aimed to be “simple” in 1980 as it was for Prometheus in 2012. To give you some idea, this was the world when people worked with SNMP RFCs in 1983:

He's dead, Jim

If you operate networks there is a big chance you had to deal with SNMP - the Simple Network Management Protocol. If you ever wondered where it came from, it started with a big bang.

On October 27, 1980, there was an unusual occurrence on the ARPANET. For a period of several hours, the network appeared to be unusable, due to what was later diagnosed as a high priority software process running out of control. Network-wide disturbances are extremely unusual in the ARPANET (none has occurred in several years), and as a result, many people have expressed interest in learning more about the etiology of this particular incident.

Continue reading

Scanning for SNMP communities

Adding devices into monitoring system is easy. Getting all the right SNMP communities for them is harder. People don’t give you the right community string or forget to open firewall ports.

If you have to test a lot of IP’s against various IP addresses you can use nmap and a community list file as an input.

Be aware you talk about permission to run this test otherwise somebody can get angry when you try to brute-force community strings against their devices.

Cleaner log with Docker and SNMP

Centralizing logs is important as soon you have more than 2 servers. In my environment the bare metal is monitored with Net-SNMP and my services are deployed as containers with Docker. All system logs are sent to a Graylog2 instance and I quickly noticed a few ugly entries caused by snmpd.

Cannot statfs /run/docker/netns/...: Permission denied

You will notice a few of them. First approach try to increase the logging level in /etc/default/snmpd from SNMP daemon with

OpenNMS meets HP InsightManager

Nach einer relativ langen Nacht und etlichen Stunden asterisk-iaxmodem-hylafax debugging habe ich die gunst der Stunde genutzt und die vorbildlich konfigurierten HP InsightManager genauer angesehen. Die folgenden SNMP-OIDs haben sich aus meiner Sicht für die Überwachung als sinnvoll ergeben:

CPQIDA-MIB

CPQHLTH-MIB

Die MIBS können von der ByteSphere MIB-Online Datenbank heruntergeladen werden. Für die Überwachung habe ich den SNMP-Monitor verwendet wie er in der Version ab 1.6.4 mit der Möglichkeit zum SNMP-Table Monitoring bietet. Die vollständige Konfiguration ist im OpenNMS Wiki HP InsightManager dokumentiert und beschrieben. Für den ein oder anderen sollten damit defekte Lüfter, RAID-Verbände und andere Überraschungen keine Probleme mehr darstellen.

OpenNMS ready?

Es gibt Dinge die werden einem bei der Einführung eines NMS häufig nicht gesagt, ganz ohne Arbeit gehts leider nicht. Die alleinige Installation eines Netzwerk-Management-Systems ist, neben der eigentlichen Auswahl - die schon ziemlich nervenaufreibend sein kann, nur die halbe Miete. Mit dem Einsatz eines NMS wollen SNMP-Agenten befragt, SNMP-Traps und Syslog Events empfangen und ausgewertet werden. Um von einem NMS richtig profitieren zu können, kommen also nicht darum herum, sich mit Ihren Geräten und Netzwerk-Komponenten zu beschäftigen. Die folgende, nicht unbedingt vollständige Aufzählung, können als Hilfestellung bei der Einführung von OpenNMS oder einem jeden anderen NMS hilfreich sein.

Die Agenten Situation

Auf der diesjährigen Netways OSMC wurde ein guter Vortrag von Dr. Michael Schwartzkopff über Net-SNMP gehalten. Bei den anschliessenden Fragen stellte ich dann jedoch ziemlich schnell fest, dass einige Teilnehmer check_by_ssh oder eigene Plugins mit NRPE, NSClient gegenüber SNMP vorziehen. Da ich dem SNMP Protokoll eher freundlich gesinnt bin, kam es nach dem Vortrag zu wirklich konstruktiven Off-Topic Gesprächen. Eines der am häufigst genannten schwächen, neben schlechten SNMP-Agenten, ist die Verwendung von UDP. Die Verwendung von UDP als verbindungsloses und unbestätigtes Transportprotokoll wird als nicht ausreichend angesehen. Weiterhin wird “Simple” in der Bezeichnung des Protokolls nicht wirklich als “Simple” empfunden. Da hauptsächlich Kollegen mit reichlich Erfahrung aus dem Nagios und Icinga Umfeld anwesend waren, wurden Plugins für NRPE, NSClient und check_by_ssh als bessere Alternative beschrieben.