学习教程

  1. 你的位置
  2. 网站首页
  3. 新闻动态
  4. 学习教程

SNMP v2c 与 v3 交换机配置手册

2026-07-15 21:12:07 fireboy38 1

SNMP v2c 与 v3 交换机配置手册

适用厂商：华三（H3C / Comware）、华为（Huawei / VRP）、锐捷（Ruijie / RGOS）
适用场景：网络监控平台（Zabbix / Prometheus / 网管系统）纳管交换机
编制：网络工程视角整理，配置模板可直接套用，部署前请按现网安全策略替换团体字 / 密码

一、SNMP 版本对比与选型建议

维度 SNMP v2c SNMP v3
认证方式 团体字（Community String）明文传输 用户名 + 认证（Auth）+ 加密（Priv）
安全性 低，抓包即可获取团体字 高，支持 SHA/AES，防窃听防篡改
配置复杂度 简单 中等
兼容性 所有设备/网管均支持 旧设备/老网管可能不支持
推荐场景 内网可信、快速接入、存量老设备 跨网段、安全要求高、等保合规

工程建议：新建监控体系优先上 v3；v2c 仅用于临时排障或无法改造的老旧设备，且团体字必须非默认（禁用 public / private）。

二、华三（H3C）配置

2.1 SNMP v2c

# 进入系统视图
system-view

# 开启 SNMP Agent
snmp-agent

# 指定 SNMP 版本为 v2c
snmp-agent sys-info version v2c

# 配置只读/读写团体字（建议自定义复杂字符串）
snmp-agent community read cipher SnmpRO@2026
snmp-agent community write cipher SnmpRW@2026

# 限制可访问的网管源地址（ACL 白名单，强烈建议）
acl basic 2000
 rule 5 permit source 192.168.100.0 0.0.0.255
snmp-agent community read cipher SnmpRO@2026 acl 2000

# 配置 Trap 接收主机（网管服务器）
snmp-agent target-host trap address udp-domain 192.168.100.10 params securityname SnmpRO@2026 v2c
snmp-agent trap enable

2.2 SNMP v3

system-view
snmp-agent
snmp-agent sys-info version v3

# 创建 v3 用户组（auth：需认证，priv：需加密）
snmp-agent group v3 snmpv3group authentication
snmp-agent group v3 snmpv3group privacy

# 创建 v3 用户，绑定用户组，设置认证/加密算法与密码
snmp-agent usm-user v3 monitor snmpv3group simple authentication-mode sha Auth@Pass123
snmp-agent usm-user v3 monitor snmpv3group simple privacy-mode aes128 Priv@Pass123

# 可选：ACL 限制源地址
acl basic 2000
 rule 5 permit source 192.168.100.0 0.0.0.255
snmp-agent usm-user v3 monitor snmpv3group acl 2000

# 配置 v3 Trap 接收主机
snmp-agent target-host trap address udp-domain 192.168.100.10 params securityname monitor v3
snmp-agent trap enable

说明：Comware V7 中 simple 表示明文输入（设备会自动加密存储）；认证算法支持 md5/sha，加密算法支持 des56/aes128。privacy 组级别要求用户同时配置 auth+priv。

三、华为（Huawei）配置

适用于 VRP V5/V8。V200R005 之后 snmp-agent sys-info version 不再允许 v3 单独与 v1 混用，建议显式声明版本。

3.1 SNMP v2c

system-view

snmp-agent
snmp-agent sys-info version v2c

# 配置团体字（cipher 表示加密存储）
snmp-agent community read cipher SnmpRO@2026
snmp-agent community write cipher SnmpRW@2026

# ACL 白名单
acl 2000
 rule 5 permit source 192.168.100.0 0.0.0.255
snmp-agent community read cipher SnmpRO@2026 acl 2000

# Trap 主机
snmp-agent target-host trap address udp-domain 192.168.100.10 udp-port 162 params securityname SnmpRO@2026 v2c
snmp-agent trap enable

3.2 SNMP v3

system-view
snmp-agent
snmp-agent sys-info version v3

# 创建用户组（privacy 级别：认证+加密）
snmp-agent group v3 huaweiv3group privacy

# 创建用户并配置认证/加密
snmp-agent usm-user v3 monitor huaweiv3group
snmp-agent usm-user v3 monitor huaweiv3group authentication-mode sha Auth@Pass123
snmp-agent usm-user v3 monitor huaweiv3group privacy-mode aes128 Priv@Pass123

# ACL 限制
acl 2000
 rule 5 permit source 192.168.100.0 0.0.0.255
snmp-agent usm-user v3 monitor huaweiv3group acl 2000

# v3 Trap 主机
snmp-agent target-host trap address udp-domain 192.168.100.10 udp-port 162 params securityname monitor v3
snmp-agent trap enable

注意：VRP 中 v3 用户创建后需单独下发 authentication-mode 和 privacy-mode 子命令，缺一不可（否则用户处于 noAuthNoPriv 状态，多数网管拒绝接入）。

四、锐捷（Ruijie）配置

适用于 RGOS（交换机/路由器）。锐捷语法与 Cisco IOS 风格接近，使用 snmp-server 全局命令。

4.1 SNMP v2c

configure terminal

# 开启 SNMP，配置只读/读写团体字
snmp-server community SnmpRO@2026 ro
snmp-server community SnmpRW@2026 rw

# 启用 Trap 并指定接收主机
snmp-server enable traps
snmp-server host 192.168.100.10 traps version 2c SnmpRO@2026

# 可选：ACL 限制（Ruijie 使用标准 IP ACL）
ip access-list standard 10
 permit 192.168.100.0 0.0.0.255
snmp-server community SnmpRO@2026 ro 10

4.2 SNMP v3

configure terminal

# 创建 v3 组（auth：认证，priv：加密，noauth：无认证）
snmp-server group snmpv3group v3 priv

# 创建 v3 用户，绑定组，配置认证与加密
snmp-server user monitor snmpv3group v3 auth md5 Auth@Pass123 priv aes Priv@Pass123

# 启用 v3 Trap 并指定用户
snmp-server host 192.168.100.10 traps version 3 monitor

# 指定 SNMP 本地源接口（可选，Trap 源地址稳定化）
snmp-server trap-source Loopback0

说明：Ruijie 的 user 命令一次性指定 auth <md5|sha> <pass> 与 priv <aes|des> <pass>；若仅认证不选 priv，组级别应改为 auth 而非 priv。

五、三厂商命令对照表

功能 华三（Comware） 华为（VRP） 锐捷（RGOS）
开启 Agent snmp-agent snmp-agent snmp-server(隐式)
设置版本 `snmp-agent sys-info version v2c\ v3` `snmp-agent sys-info version v2c\ v3` `snmp-server host … version 2c\ 3`
v2c 只读团体字 snmp-agent community read snmp-agent community read snmp-server community X ro
v3 用户组 snmp-agent group v3 snmp-agent group v3 snmp-server group X v3
v3 用户 snmp-agent usm-user v3 snmp-agent usm-user v3 snmp-server user X Y v3
Trap 主机 snmp-agent target-host trap snmp-agent target-host trap snmp-server host X traps
ACL 关联 acl + 命令行尾 acl acl + 命令行尾 acl snmp-server community X ro <acl>
默认端口 UDP 161/162 UDP 161/162 UDP 161/162

六、配置后验证

厂商 验证命令
华三 display snmp-agent sys-info、display snmp-agent usm-user、display snmp-agent statistics
华为 display snmp-agent sys-info v3、display snmp-agent usm-user、display snmp-agent trap all
锐捷 show snmp、show snmp user、show snmp group

网管侧连通性测试（以 snmpwalk 为例）：

# v2c
snmpwalk -v2c -c SnmpRO@2026 192.168.100.1 sysName.0

# v3（authPriv）
snmpwalk -v3 -u monitor -l authPriv -a SHA -A Auth@Pass123 -x AES -X Priv@Pass123 192.168.100.1 sysName.0

七、安全与运维要点

  1. 禁用默认团体字：切勿使用 public/private，上线前全网核查。
  2. 强制 ACL 白名单：仅允许网管服务器 IP 访问 SNMP，三厂商均支持。
  3. v3 密码强度：认证/加密口令建议 ≥ 12 位，含大小写+数字+符号；华三/华为存储用 cipher，明文配置后设备自动加密。
  4. Trap 源接口固定：多 VLAN 设备建议 snmp-agent trap-source / snmp-server trap-source 绑定 Loopback，避免 Trap 源地址漂移导致网管丢弃。
  5. 版本收敛：新建网络统一 v3；存量 v2c 设备制定迁移计划，逐步替换。
  6. 只读为主：网管纳管一般只需 read/ro；write/rw 仅在自动化下发场景使用，且必须 ACL + 强口令双保险。

文档版本：v1.0 ｜ 编制日期：2026-07-14 ｜ 适用设备：华三 Comware V7、华为 VRP V5/V8、锐捷 RGOS 主流版本。实际部署请以设备具体版本手册为准，部分旧版本命令参数可能存在差异。

首页
产品
新闻
联系