Syslog og SNMP forklaret

Når et netværk kører i drift, skal du vide, hvad der sker på enhederne, helst før brugerne ringer. To af de ældste og mest brugte værktøjer til det er syslog og SNMP. Begge er med i CCNA 200-301 v2.0 under domæne 5: emne 5.4 (Describe the function of SNMP in network operations) og emne 5.6 (Interpret syslog message content, severity levels, and facilities).

Syslog: enhedernes logbog

Syslog er en standard for at sende logbeskeder fra en enhed til en central server. Cisco-enheder logger hændelser som interfaces, der går op og ned, ændringer i konfigurationen, fejlede logins og OSPF-naboer, der falder ud.

Opbygningen af en Cisco-syslogbesked

*Mar  1 10:15:22.123: %LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet0/1, changed state to down

De otte severity-niveauer

Niveauerne skal du kunne udenad til eksamen:

En klassisk huskeregel er “Every Awesome Cisco Engineer Will Need Ice cream Daily”. Jo lavere tal, jo mere alvorligt.

Når du sætter et logningsniveau, får du det niveau og alle mere alvorlige niveauer. logging trap warnings (niveau 4) sender altså niveau 0–4.

Facilities

I syslog-standarden angiver facility, hvilken type proces der har logget beskeden (fx kernel, mail, auth eller local0–local7). Cisco-enheder sender som standard med facility local7 til eksterne syslogservere. På serveren kan du bruge facility til at sortere beskeder fra forskellige enhedstyper. I selve Cisco-beskeden ser du desuden en Cisco-specifik facility-kode som LINEPROTO, LINK, SYS eller OSPF.

Konfiguration af syslog på Cisco IOS

R1(config)# service timestamps log datetime msec
R1(config)# ntp server 192.168.10.254
R1(config)# logging host 192.168.10.50
R1(config)# logging trap informational
R1(config)# logging facility local6
R1(config)# logging buffered 16384 warnings
R1(config)# logging console warnings

• logging host sender beskeder til en syslogserver (UDP port 514).
• logging trap bestemmer, hvilke niveauer der sendes til serveren.
• logging facility ændrer den facility, der sendes med (standard er local7).
• logging buffered gemmer beskeder i enhedens RAM, så du kan se dem med show logging.
• logging console styrer, hvad der vises på konsollen.

Synkroniser altid uret med NTP. Ellers er tidsstemplerne værdiløse, når du skal sammenholde hændelser fra flere enheder.

R1# show logging

Kommandoen viser logindstillingerne og beskederne i bufferen.

SNMP: overvågning og statistik

SNMP (Simple Network Management Protocol) bruges til at hente status og statistik fra netværksenheder, fx CPU-belastning, trafik på interfaces og fejltællere, og til at modtage alarmer.

Komponenterne

• SNMP manager / NMS: Overvågningssystemet, der indsamler data (fx et NMS-værktøj).
• SNMP agent: Softwaren på routeren eller switchen.
• MIB (Management Information Base): Den strukturerede database med de værdier, agenten kan levere. Hver værdi har et OID (object identifier).

Beskedtyper

Manageren spørger agenten på UDP port 161, mens traps og informs sendes til manageren på UDP port 162.

Versioner

I produktion bør du bruge SNMPv3 med authPriv. Community-strenge i v1/v2c fungerer som en adgangskode, der sendes ukrypteret.

Konfiguration af SNMP

SNMPv2c (kun til lab):

R1(config)# access-list 10 permit 192.168.10.60
R1(config)# snmp-server community LabRO ro 10
R1(config)# snmp-server location Serverrum-Ribe
R1(config)# snmp-server contact netdrift@example.dk
R1(config)# snmp-server host 192.168.10.60 version 2c LabRO
R1(config)# snmp-server enable traps

SNMPv3 med autentificering og kryptering:

R1(config)# snmp-server group NMS-GRUPPE v3 priv
R1(config)# snmp-server user nmsbruger NMS-GRUPPE v3 auth sha AuthKode123! priv aes 128 PrivKode123!
R1(config)# snmp-server host 192.168.10.60 version 3 priv nmsbruger
R1(config)# snmp-server enable traps

Kontrollér opsætningen med:

R1# show snmp
R1# show snmp user
R1# show snmp group

Syslog eller SNMP?

De supplerer hinanden:

• Syslog fortæller, hvad der skete, som tekstbeskeder om hændelser.
• SNMP giver målinger over tid (polling) og alarmer (traps), som kan vises i grafer og dashboards.

I moderne drift suppleres de af streaming telemetry og API’er, og data fra syslog og SNMP bliver i stigende grad analyseret af AI-værktøjer. Netop derfor er det vigtigt, at du kan læse og forstå rådata selv.

Et praktisk eksempel: fejlsøgning med syslog og SNMP

Forestil dig, at brugerne klager over, at forbindelsen til et filialkontor falder ud et par gange om dagen. SNMP-grafen for WAN-interfacet viser korte huller i trafikken, og fejltælleren (input errors) stiger langsomt. På syslogserveren finder du på de samme tidspunkter beskeder som %LINK-3-UPDOWN og %LINEPROTO-5-UPDOWN for samme interface. Sammen peger de to kilder på et fysisk problem, fx et dårligt kabel, en defekt transceiver eller et duplex-mismatch. Uden synkroniserede ure via NTP ville det være næsten umuligt at koble hændelserne sammen. Derfor er NTP, syslog og SNMP tre sider af samme sag i netværksdrift.

Det skal du kunne til eksamen

• Aflæse en syslogbesked: facility, severity og mnemonic.
• Kende de otte severity-niveauer og vide, at et niveau også omfatter alle mere alvorlige niveauer.
• Forklare manager, agent, MIB/OID, get/set/trap/inform og forskellen på SNMP-versionerne.
• Vide hvilke porte der bruges: syslog UDP 514, SNMP UDP 161/162.

Relateret: Show kommandoer, PING forklaret samt vores artikler om Ansible og om Infrastructure as Code og AI i netværksdrift.