snmptrap/snmptt

Zabbix Snmp Trap 配置

1. Zabbix Server 操作

1.1 Snmp Trap 安装配置

yum install -y net-snmp net-snmp-utils

vim /usr/lib/systemd/system/snmptrapd.service
ExecStart=/usr/sbin/snmptrapd $OPTIONS -f -O n

vim /etc/snmp/snmptrapd.conf
authCommunity execute public
traphandle default /sbin/snmptthandler

systemctl enable snmptrapd
systemctl start snmptrapd
netstat -unpl |grep 162

1.2 SnmpTT 安装配置

# rpm -ivh http://dl.fedoraproject.org/pub/epel
yum install snmptt perl-Sys-Syslog
vim /etc/snmp/snmptt.ini

date_time_format=  %Y/%m/%d %H:%M:%S
#设置时间格式，读取的SNMPTrap信息之后写入SNMPTrapperFile里的时间格式，也是ZabbixTrapper读取时的时间格式

mode = daemon



~~~
snmptt_conf_files = <<END
/etc/snmp/snmptt.conf   #默认的格式化日志配置文件
/etc/snmp/nbu.conf    # 在这里可以指定其他的格式化trap日志的配置文件
END
~~~


vim /etc/snmp/nbu.conf   #snmptrapd接受设备打过来的日志信息，传输到snmptt进行格式化，
~~~
EVENT general .1.3.6.1.4.1.318.* "UPSTrap" Error   #EVENT general 固定格式   .1.3.6......匹配日志信息中的oid，后面的.*支持统配，将收到的日志添加 "UPSTrap" Error
FORMAT ZBXTRAP $ar $+*       # 格式化数据，都打上ZABTRAP 头，$ar $+*     $ar一般是ip，$+*就是后面的oid信息
EXEC /etc/snmp/xxxx.py "$+*"  #执行指定的py脚本，传入format中匹配的参数，
~~~

xxxx.py中的处理 #在EXEC中指定执行的脚本

def handle(param):     

    param = """127.0.0.1 .1.3.6.1.4.1.318.2.3.10.0:B925f92_nbErrorCond_E7DC65F3 .1.3.6.1.4.1.318.2.3.23.0:E5 80 BC E9 94 99 E8 AF AF  .1.3.6.1.4.1.318.2.3.1.0:9 .1.3.6.1.4.1.318.2.3.11.0:B925f92_nbSNMPEnc156223BD .1.3.6.1.4.1.318.2.3.24.0:E5 85 AC E5 AE 89 E9 BA BB E8 B1 AA E6 94 AF E8  A1 8C 20 28 31 30 2E 34 32 2E 37 30 2E 31 39 39  29  .1.3.6.1.4.1.318.2.3.16.0: .1.3.6.1.4.1.318.2.3.25.0:UPS .1.3.6.1.4.1.318.2.3.17.0:US1503103638 .1.3.6.1.4.1.318.2.3.20.0:Smart-UPS RT 5000 XL .1.3.6.1.4.1.318.2.3.21.0:10.42.70.199 .1.3.6.1.4.1.318.2.3.26.0:E6 B9 96 E5 8C 97 E7 9C 81 E8 8D 86 E5 B7 9E E5  B8 82  .1.3.6.1.4.1.318.2.3.27.0:E6 9D 8E E6 99 93 E7 BB B4  .1.3.6.1.4.1.318.2.3.22.0:B925f92_nbSNMPEnc156223BD_UPS_BASIC_OUTPUT_STATE .1.3.6.1.4.1.318.2.3.28.0:55 50 53 20 E6 93 8D E4 BD 9C E6 A8 A1 E5 BC 8F  .1.3.6.1.4.1.318.2.3.29.0:1 .1.3.6.1.4.1.318.2.3.6.0:1547028468 .1.3.6.1.4.1.318.2.3.7.0:1547028528 .1.3.6.1.4.1.318.2.3.30.0:27 55 50 53 20 E6 93 8D E4 BD 9C E6 A8 A1 E5 BC  8F 27 E7 9A 84 E5 80 BC E8 A1 A8 E6 98 8E E4 B9  8B E5 89 8D 27 E4 B8 A5 E9 87 8D 27 E8 AD A6 E6  8A A5 E6 9B BE E7 BB 8F E5 8F 91 E7 94 9F EF BC  8C E4 BD 86 E8 AF A5 E5 80 BC E7 8E B0 E5 9C A8  E5 B7 B2 E6 81 A2 E5 A4 8D E6 AD A3 E5 B8 B8 E3  80 82
"""
    data = {}
    param_list = param.split('.1.3.6.1.4.1.318.2.3.')[1:]  #使用1.3.6.1.4.1.318.2.3来切割字符串，得到.1.3.6.1.4.1.318.2.3.后面的值 >'10.0:B925f92_nbErrorCond_E7DC65F3 ',

"""
param.split('.1.3.6.1.4.1.318.2.3.')
['127.0.0.1 ',
 '10.0:B925f92_nbErrorCond_E7DC65F3 ',
 '23.0:E5 80 BC E9 94 99 E8 AF AF  ',  16位转码  值错误
 '1.0:9 ',
 '11.0:B925f92_nbSNMPEnc156223BD ',
 '24.0:xxxxxxxxxxx ',  公安xx支行 (10.xx.xx.xxx)
 '16.0: ',
 '25.0:UPS ',
 '17.0:US1503103638 ',
 '20.0:Smart-UPS RT 5000 XL ',
 '21.0:10.42.70.199 ',
 '26.0:E6 B9 96 E5 8C 97 E7 9C 81 E8 8D 86 E5 B7 9E E5  B8 82  ',  湖北省荆州市
 '27.0:E6 9D 8E E6 99 93 E7 BB B4  ',
 '22.0:B925f92_nbSNMPEnc156223BD_UPS_BASIC_OUTPUT_STATE ',
 '28.0:55 50 53 20 E6 93 8D E4 BD 9C E6 A8 A1 E5 BC 8F  ',   UPS 操作模式
 '29.0:1 ',
 '6.0:1547028468 ',
 '7.0:1547028528 ',
 '30.0:27 55 50 53 20 E6 93 8D E4 BD 9C E6 A8 A1 E5 BC  8F 27 E7 9A 84 E5 80 BC E8 A1 A8 E6 98 8E E4 B9  8B E5 89 8D 27 E4 B8 A5 E9 87 8D 27 E8 AD A6 E6  8A A5 E6 9B BE E7 BB 8F E5 8F 91 E7 94 9F EF BC  8C E4 BD 86 E8 AF A5 E5 80 BC E7 8E B0 E5 9C A8  E5 B7 B2 E6 81 A2 E5 A4 8D E6 AD A3 E5 B8 B8 E3  80 82']  UPS 操作模式'的值表明之前'严重'警报曾经发生，但该值现在已恢复正常。

param.split('.1.3.6.1.4.1.318.2.3.')[1:]
将首位的ip去掉，剩下的就是对应的oid信息
'10.0:B925f92_nbErrorCond_E7DC65F3 ',
 '23.0:E5 80 BC E9 94 99 E8 AF AF  ',
 '1.0:9 ',
 '11.0:B925f92_nbSNMPEnc156223BD ',
 '24.0:E5 85 AC E5 AE 89 E9.......
"""




    for item in param_list:
        key, value = item.split(':')   #用：来切割，得到所有的oid及其对应的值   >>> '10.0', 'B925f92_nbErrorCond_E7DC65F3 '
        key = key.split('.')[0]           #对key在进行.切割，获取统配oid后的第一位值
        data[key] = value               #构造字典，键值对应，以统配后的首位oid值为键
        if key in ['23', '24', '26', '27', '28', '30']: #对key进行筛选，
            value = binascii.a2b_hex(value.replace(' ', '')).decode('utf8')    #snmptt中收到的信息是16进制转码的，需要对16位进行转义，replace将空格去掉，
        else:
            value = value.strip() #对于取值不是16位进制的，直接进行去空操作
        data[key] = value
    host = data['24'].split(' ')[0].strip() #trap信息中24打头oid指代的就是监控系统中配置的host信息
    ip = data['21'].strip()
    end = int(data['7'])
    if end:
        value = 0
    else:
        value = 1
    if value:   #对告警还是回复进行检查
        key, value = check_alert_key(data) 
    else:
        key, value = check_recover_key(data) 
    start = int(data['6'])
    end = int(data['7'])
    msg = data['30']
    #logging.info(data['29'], data['30'])
    return host, ip, key, value, start, end, msg


if __name__ == '__main__':
    if len(sys.argv) > 1:
        arg = sys.argv[1]
        ret = handle(arg)  #接受传入参数，这里是匹配的$+*,就是匹配的所有的oid信息
    
        """
('E5', 'xx.xx.xx.xxx', 'ups.operation.mode', 0, 1547028468, 1547028528, "'UPS 操作模式'的值表明之前'严重'警报曾经发生，但该值现在已恢复正常。")

        """
        sender = ZabbixSender()  #使用了zabbixsender来给server端发送数据
        sender.add(ret[1], ret[2], ret[3])  #指定了ip  key   value
        sender.send()  #发送
        item = '[{4} - {5}] host: {0} ip: {1} key: {2} value: {3} message: {6}\n'.format(*ret)
        logging.info(item)

上面有个问题，就是只能对过滤的哪几个key所对应的16进制码进行转码，可以加个处理

        data[key] = value.strip() #对值进行去括号。 
        #if key in ['23', '24', '26', '27', '28', '30']: #对key进行筛选
        不要上面这行了，
        if data['key'] find(' ') !=-1:#对值进行空值查找
            try: #有些不是16进制的字符串中也含有空格，所以使用try对所有进行转码，
                value = binascii.a2b_hex(value.replace(' ', '')).decode('utf8')    #snmptt中收到的信息是16进制转码的，需要对16位进行转义，replace将空格去掉，
            except Exception as e:  #不能转的的就是剩下的非16进制字符串，直接使用即可，
                value = value.strip()
        else:
            value = value.strip() #对于取值不是16位进制的，直接进行去空操作
        data[key] = value
这样就解决了对于host转码的不完整

之后可以在snmptt.log中找出匹配的告警内容，手动的更改组成一个oid字符串，然后调用脚本传入参数，将数据发送出去，其中的6键对应的是发生时间，7键对应的是恢复时间，用7键的有无判定是发生告警还是恢复，在手动调用的时候7键值为0，就是发生的告警信息，给7键随便赋值，就可以是恢复了。

重启服务

systemctl enable snmptt
systemctl start snmptt

1.3 Zabbix Server 配置

vi zabbix_server.conf
vi zabbix_proxy.conf
SNMPTrapperFile=/var/log/snmptt/snmptt.log
StartSNMPTrapper=1

systemctl retart zabbix-server

# 测试命令
snmptrap -v 2c -c public 127.0.0.1 "" 1.3.6.1.4.1.2345 1.3.6.1.4.1.2345 s "test v2"
发送的 ip 要与主机的 SNMP接口 ip 一致。

snmptrapd与snmptt的工作流程

1. 例如 hds管理页面配置陷阱的ip 端口和团体名，注意华为类型的格式要求多，中发送测试信息给指定ip的162端，发送的消息传给snmptrapd进程，在指定ip的/var/spool/snmptt/下会生成一个临时文件类似于 #snmptt-trap-1612520804624941

1612520804
localhost
UDP: [127.0.0.1]:35742->[127.0.0.1]:162
.1.3.6.1.2.1.1.3.0 16:8:37:45.46
.1.3.6.1.6.3.1.1.4.1.0 .1.3.6.1.4.1.2011.2.15.1.7.1
.1.3.6.1.4.1.2011.2.15.1.7.1.7.0 "Critical"
.1.3.6.1.4.1.2011.2.15.1.7.1.10.0 "Recovery"
.1.3.6.1.4.1.2011.2.15.1.7.1.24.0 "NE_NOT_LOGIN"
.1.3.6.1.4.1.2011.2.15.1.7.1.3.0 "73 6F 75 72 63 65 3D 39 2D 35 20 E4 B8 96 E7 BA AA E4 BA 92 E8 81 94 44 30 39 20 6C 6F 63 61 74 69 6F 6E 3D E7 BD 91 E5 85 83 39 2D 35 20 E4 B8 96 E7 BA AA E4 BA 92 E8 81 94 44 30 39 E6 9C AA E7 99 BB E5 BD 95"
.1.3.6.1.4.1.2011.2.15.1.7.1.5.0 "2020/12/30 - 09:11:05Z"

2. snmptrapd.conf中指定了数据转换的handler 允许的团体名

authCommunity   execute public
traphandle default /sbin/snmptthandler

3. snmptt进程进行数据格式转化

    snmptt.ini中指定了格式化后的输出日志文件的路径(zabbix 自带的snmptrap类型就取这个日志的相关信息)和相应的格式化配置文件
    #日志路径
    log_file = /var/log/snmptt/snmptt.log
    #指定include的其他格式化配置文件，允许自定义
    /etc/snmp/snmptt.conf

4. snmptt.conf 及其他指定的conf文件中指定了数据格式化的形式

    EVENT general .1.3.6.1.4.1.2.6.182.* "LTOTrap" Error
    FORMAT ZBXTRAP $ar $+*
    EXEC /etc/snmp/lto_trap_handle.py "$ar $+*"
    EVENT general .1.3.6.1.4.1.2.6.201.* "IBMTrap" Error
    FORMAT ZBXTRAP $ar $+*
    EVENT general .1.3.6.1.4.1.116.* "HDSTrap" Error
    FORMAT ZBXTRAP $ar $+*
    EXEC /etc/snmp/hds_trap_handle.py "$ar $+*"

关于FORMAT ZBXTRAP $ar $+*的解释：

后续若要针对特定oid处理，通过脚本更新。”ZBXTRAP”必须存在，否则zabbix提取数据失败
后续脚本的入参可以指定这些正则符
$i = 在 .conf 匹配条目的文件中定义的事件 OID（可能是通配符 OID）
$O + 以符号格式陷阱OID
$o + 以数字格式陷印OID
$R，$r + 陷阱主机名
$aR， $ar = IP 地址
$s = 严重性
$T = 正常运行时间：自初始化网络实体以来的时间
$X = 时间陷阱已后台处理（守护进程模式）或当前时间（独立模式）
$x = 日期陷阱已后台处理（守护进程模式）或当前日期（独立模式）
$# = 陷阱中的变量绑定数
$$ = 打印 $
$@ = 自陷阱后台处理（守护进程模式）或当前时间（独立模式）以来的秒数
$n = 展开变量绑定 n （1-n）
$+n = 以变量名称格式展开变量绑定 n （1- n）：值
$-n = 以变量名称（变量类型）：值的格式展开变量绑定 n （1-n） )
$vn = 展开变量绑定 n （1-n） 的变量名称
$* = 展开所有变量绑定
$=* = 以变量名称格式展开所有变量绑定：值
$-* = 以变量名称格式展开所有变量绑定

5. 在/var/log/snmptt/snmptt.log文件中就会存上格式化好的数据

EXEC 中指定执行的脚本，参数就是格式化之后的一个大字符串，在脚本中可以使用公共的oid进行字符切割找出对应的数据，然后使用sender或者自带的zabbixtrap类型监控项去采集数据

6. 一般在修改完配置项之后需要重启snmptrapd 及 snmptt进程

7. 测试,多个oid信息可以进行拼接

snmptrap -v 2c -c public 127.0.0.1 "" .1.3.6.1.4.1.2011.2.15.1.7.1 .1.3.6.1.4.1.2011.2.15.1.7.1.7.0 s "Critical"  .1.3.6.1.4.1.2011.2.15.1.7.1.10.0  s  "Recovery" .1.3.6.1.4.1.2011.2.15.1.7.1.24.0 s "NE_NOT_LOGIN" .1.3.6.1.4.1.2011.2.15.1.7.1.3.0 s "73 6F 75 72 63 65 3D 39 2D 35 20 E4 B8 96 E7 BA AA E4 BA 92 E8 81 94 44 30 39 20 6C 6F 63 61 74 69 6F 6E 3D E7 BD 91 E5 85 83 39 2D 35 20 E4 B8 96 E7 BA AA E4 BA 92 E8 81 94 44 30 39 E6 9C AA E7 99 BB E5 BD 95" .1.3.6.1.4.1.2011.2.15.1.7.1.5.0 s "2020/12/30 - 09:11:05Z"