Как я могу разобрать необработанную SNMP-ловушку в Perl?

StackOverflow https://stackoverflow.com/questions/1126047

  •  13-09-2019
  •  | 
  •  

Вопрос

Несколько недель назад я написал SNMP-ретранслятор для нашей оперативной группы.У них есть какие-то тупые устройства, которые могут отправлять ловушки только на один IP, а у нас есть система мониторинга, которая прослушивает несколько IP-адресов на предмет доступности.Код предельно прост, и по сути:

while (recv($packet)) {
  foreach $target (@targets) {
    send($target, $packet);
  }
}

В принципе, это сработало, но теперь очевидный недостаток в том, что он не включает IP-адрес отправителя, является проблемой (по-видимому, первый класс устройств включал информацию как varbind, а какой-то новый класс - нет).

Что я хотел бы сделать, так это изменить свой код на что-то вроде этого:

while ($server->recv($packet)) {
  my $obj = decompile($packet)
  if (!$obj->{varbind}{snmpTrapAddress}) {
    $obj->{varbind}{snmpTrapAddress} = inet_ntoa($server->peeraddr());
  }
  $packet = compile($obj);
  foreach $target (@targets) {
    send($target, $packet);
  }
}

Другими словами, если мой отправитель не включает snmpTrapAddress, добавьте его.Проблема в том, что каждый SNMP-пакет, который я просмотрел для Perl, кажется, очень сильно сфокусированным на инфраструктуре получения ловушек и выполнения gets.

Итак:Есть ли простой Perl-модуль, который позволит мне сказать "вот большой двоичный объект данных, представляющий snmp-ловушку.расшифруйте это во что-то, чем я могу легко манипулировать, затем перекомпилируйте это обратно в большой двоичный объект, который я могу перебросить по сети "?

Если вы даете ответ "используйте SNMP dummy", можете ли вы привести примеры этого?Возможно, я просто слеп, но из вывода perldoc SNMP - протокол для меня не очевидно, как использовать его таким образом.

Редактировать:

Немного осмотревшись, выясняется, что "SNMP encoding" на самом деле является ASN.1 BER (Основные правила кодирования).Основываясь на этом, я использую Convert::BER .Я бы по-прежнему приветствовал любые простые советы по разбивке / редактированию / перестроению для SNMP.

Это было полезно?

Решение

Я так и не нашел идеального решения этой проблемы.Net::SNMP::Сообщение (часть Сеть::SNMP) мог бы разрешить это, но, похоже, не имеет публично определенного интерфейса, и ни один из интерфейсов Net:: SNMP не казался особенно актуальным. НСНМП наиболее близок по духу к тому, что я искал, но он хрупкий и не работал для моего пакета "из коробки", и если я собираюсь поддерживать хрупкий код, это будет мой собственный хрупкий код =).

Пн::SNMP также был близок к тому, что я искал, но это тоже было вырвано из коробки.Похоже, что он заброшен, с последним выпуском в 2001 году и последним выпуском CPAN разработчиком в 2002 году.В то время я этого не осознавал, но теперь я думаю, что это сломано из-за изменения интерфейса используемого им модуля Convert::BER.

Пн::SNMP указал мне на Конвертировать::BER.Несколько тысяч считываний модуля Convert::BER, источника Mon::SNMP и RFC 1157 (особенно.4.1.6, "The Trap-PDU") позже, и я придумал этот код в качестве доказательства концепции, чтобы делать то, что я хотел.Это всего лишь подтверждение концепции (по причинам, о которых я подробно расскажу после кода), так что, возможно, она не идеальна, но я подумал, что она может послужить полезной ссылкой для будущих специалистов Perl, работающих в этой области, так что вот она:

#!/usr/bin/perl

use Convert::BER;
use Convert::BER qw(/^(\$|BER_)/);

my $ber = Convert::BER->new();

# OID I want to add to the trap if not already present
my $snmpTrapAddress = '1.3.6.1.6.3.18.1.3';

# this would be from the incoming socket in production
my $source_ip = '10.137.54.253';

# convert the octets into chars to match SNMP standard for IPs
my $source_ip_str = join('', map { chr($_); } split(/\./, $source_ip));

# Read the binary trap data from STDIN or ARGV.  Normally this would
# come from the UDP receiver
my $d = join('', <>);

# Stuff my trap data into $ber
$ber->buffer($d);

print STDERR "Original packet:\n";
$ber->dump();

# Just decode the first two fields so we can tell what version we're dealing with
$ber->decode(
                SEQUENCE => [
                    INTEGER => \$version,
                    STRING => \$community,
                    BER => \$rest_of_trap,
                ],
) || die "Couldn't decode packet: ".$ber->error()."\n";

if ($version == 0) {
  #print STDERR "This is a version 1 trap, proceeding\n";

  # decode the PDU up to but not including the VARBINDS
  $rest_of_trap->decode(
    [ SEQUENCE => BER_CONTEXT | BER_CONSTRUCTOR | 0x04 ] =>
      [
        OBJECT_ID => \$enterprise_oid,
        [ STRING => BER_APPLICATION | 0x00 ] => \$agentaddr,
        INTEGER => \$generic,
        INTEGER => \$specific,
        [ INTEGER => BER_APPLICATION | 0x03 ] => \$timeticks,
        SEQUENCE => [ BER => \$varbind_ber, ],
      ],
  ) || die "Couldn't decode packet: ".$extra->error()."\n";;

  # now decode the actual VARBINDS (just the OIDs really, to decode the values
  # We'd have to go to the MIBs, which I neither want nor need to do
  my($r, $t_oid, $t_val, %varbinds);
  while ($r = $varbind_ber->decode(
    SEQUENCE => [
      OBJECT_ID => \$t_oid,
      ANY       => \$t_val,
    ], ))
  {
    if (!$r) {
      die "Couldn't decode SEQUENCE: ".$extra->error()."\n";
    }
    $varbinds{$t_oid} = $t_val;
  }

  if ($varbinds{$snmpTrapAddress} || $varbinds{"$snmpTrapAddress.0"}) {
    # the original trap already had the data, just print it back out
    print $d;
  } else {
    # snmpTrapAddress isn't present, create a new object and rebuild the packet
    my $new_trap = new Convert::BER;
    $new_trap->encode(
      SEQUENCE => [
        INTEGER => $version,
        STRING => $community,
        [ SEQUENCE => BER_CONTEXT | BER_CONSTRUCTOR | 0x04 ] =>
          [
            OBJECT_ID => $enterprise_oid,
            [ STRING => BER_APPLICATION | 0x00 ] => $agentaddr,
            INTEGER => $generic,
            INTEGER => $specific,
            [ INTEGER => BER_APPLICATION | 0x03 ] => $timeticks,
            SEQUENCE => [
              BER => $varbind_ber,
              # this next oid/val is the only mod we should be making
              SEQUENCE => [
                OBJECT_ID => "$snmpTrapAddress.0",
                [ STRING => BER_APPLICATION | 0x00 ] => $source_ip_str,
              ],
            ],
          ],
      ],
    );
    print STDERR "New packet:\n";
    $new_trap->dump();
    print $new_trap->buffer;
  }
} else {
  print STDERR "I don't know how to decode non-v1 packets yet\n";
  # send back the original packet
  print $d;  
}

Итак, вот и все.Вот в чем загвоздка.Я поверил оперативникам на слово, что они не получают IP-адрес первоначального отправителя в ловушке.Работая с этим примером, я обнаружил, что, по крайней мере, в примере, который они мне дали, исходный IP-адрес был в поле agent-addr в ловушке.Показав им это и то, где в API инструмента показано, как они это используют, они ушли, чтобы попытаться внести изменения со своей стороны.Я привожу приведенный выше код в соответствие со временем, когда они попросят меня о чем-то, для чего мне действительно нужно добавить что-то в пакет, но пока вышеприведенный код останется не прошедшим строгую проверку доказательством концепции.Надеюсь, когда-нибудь это кому-нибудь поможет.

Другие советы

Ты пробовал НСНМП?

Обязательно загляните в SNMP_Session.

http://code.google.com/p/snmp-session/

Обязательно перейдите по ссылкам на старый сайт распространения, на котором есть несколько примеров.

Я в основном прошел тот же путь через Mon:: SNMP, Convert::BER, TCP / IP Illustrated и т.д..SNMP_Session - это единственное, что мне удалось заставить работать.Под работой я подразумеваю принятие SNMP-ловушки на UDP-порту 162 и декодирование ее в строковые эквиваленты для ведения журнала без изобретения нескольких колес.Я использую только функцию receive trap, но я думаю, что она тоже может делать то, что вы хотите.

Однако он находится в Google Code, а не CPAN, поэтому его немного сложно найти.

Лицензировано под: CC-BY-SA с атрибуция
Не связан с StackOverflow
scroll top