Snmpv3加强了分组安全性，配置分几步走:
首先建立用户，用户的属于哪个组
其次建立访问VACM_VIEW，VACM_VIEW其实就是把mib数据库细分了，比如说interfaces 属于view1，tcp属于view2
再建立VACM_ACCESS，VACM_ACCESS说白了就是把访问具体VACM_VIEW的读或者写的权利赋予之前建的用户
这样限定特定的用户访问特定的mib对象的策略就建立了
为用户配置陷阱条目白话解释
Mib对象信息发给网管主机就需要知道网管主机的ip和网管主机的接受哪些信息和加密的算法，其中TARGET_ADDRESS 就是ip， TARGET_PARAMETERS配置哪个用户接受什么信息，用的是什么算法加密来着
如何通过手工编辑 /etc/snmpdv3.conf 和 /etc/clsnmp.conf 文件在 SNMPv3 中创建用户。 在此情形中将会创建用户 u1。用户 u1 可以得到认证密钥但是不会得到专用密钥（只有您已经安装了 snmp.crypto 文件集，专用密钥才可用）。 ul 的认证密钥要使用 HMAC-MD5 协议来创建。在配置好 ul 以后，它会被放到一个组里，然后我们会给那个组定义查看和访问许可权。最后创建 u1 的陷阱条目。 /etc/snmpdv3.conf 和 /etc/clsnmp.conf 文件中所用的每个单独的值都不能超过 32 个字节。 步骤 1. 创建用户 请确定您希望使用哪种安全性协议，是 HMAC-MD5 还是 HMAC-SHA。此情形中使用 HMAC-MD5。 使用 pwtokey 命令来生成认证密钥。根据您使用的认证协议以及是否使用专用密钥，您的输出看上去会有所不同。这些密钥将会用在 /etc/snmpdv3.conf 和 /etc/clsnmp.conf 文件中。用户 u1 使用的命令如下： pwtokey -p HMAC-MD5 -u auth anypassword 9.3.230.119所指定的 IP 地址是运行代理的IP 地址。密码可以是任意密码，但是务必要把它保存在一个安全的地方以供将来使用。输出看上去应该类似于以下： Display of 16 byte HMAC-MD5 authKey: 63960c12520dc8829d27f7fbaf5a0470 Display of 16 byte HMAC-MD5 localized authKey: b3b6c6306d67e9c6f8e7e664a47ef9a0 利用超级权限，用您最喜欢的文本编辑器打开 /etc/snmpdv3.conf 文件。 按照文件中给定的格式添加一条 USM_USER 条目来创建一个用户。authKey 的值将是用 pwtokey 命令生成的本地化的认证密钥。用户 u1 的此条目如下所示： #--------------------------------------------------------------------------- # USM_USER entries # Defines a user for the User-based Security Model (USM). # Format is: # userName engineID authProto authKey privProto privKey keyType storageType # USM_USER u1 - HMAC-MD5 b3b6c6306d67e9c6f8e7e664a47ef9a0 - - L - #----------------------------------------------------------------------------userName 是用户名。在该例中就是 u1。 authProto 必须是您创建这些密钥时所用的协议。在该例中就是 HMAC-MD5。 authKey 是使用 pwtokey 命令创建的本地化的认证密钥。 privProto 和 privkey 都没有指定，原因是在此情形中，我们没有使用专用密钥。 keyType 是 L，因为我们使用本地化的认证密钥。 保存然后关闭 /etc/snmpdv3.conf 文件。 使用您最喜欢的文本编辑器打开 SNMP 管理器上的 /etc/clsnmp.conf 文件。 按照文件中给定的格式添加新用户。u1 的条目如下： #---------------------------------------------------------------------------------------------------- # # Format of entries: # winSnmpName targetAgent admin secName password context secLevel authProto authKey privProto privKey # user1 9.3.230.119 SNMPv3 u1 - - AuthNoPriv HMAC-MD5 63960c12520dc8829d27f7fbaf5a0470 - - #----------------------------------------------------------------------------------------------------winSnmpName 可以是任何值。在使用 clsnmp 命令进行 SNMP 请求时会使用此值。 targetAgent 是运行代理的 IP 地址，创建认证密钥时也曾使用过此 IP 地址。 admin 设成 SNMPv3，因为要发送 SNMPv3 请求。 secName 是要创建的用户名。在该例中就是 u1。 seclevel 设成 AuthNoPriv，因为它被配置成使用认证而不是专用密钥（因此，privProto 和 privKey 没有值）。 authproto 设成创建认证密钥时所使用的认证协议。 authKey 是 pwtokey 命令生成的非本地化密钥。 保存并关闭 /etc/clsnmp.conf 文件。 步骤 2. 配置组 现在必须把用户放到一个组中。如果您已经有一个组，已经配置好所有您希望赋予用户的查看和访问许可权，那么您就可以把此用户放在那个组中。如果您想给此用户一些其它的组都没有的查看和访问许可权，或者如果您根本没有配置任何组，那么就请创建一个组然后把此用户添加进去。 要把用户添加到一个新组中，请在 /etc/snmpdv3.conf 文件中创建一个新的条目 VACM_GROUP。 u1 的组条目如下： #-------------------------------------------------------------- # VACM_GROUP entries # Defines a security group (made up of users or communities) # for the View-based Access Control Model (VACM). # Format is: # groupName securityModel securityName storageType VACM_GROUP group1 USM u1 - #--------------------------------------------------------------groupName 可以是任何名称。它成为了您的组名称。在该例中就是 group1。 securityModel 设为 USM，利用 SNMPv3 的安全功能。 securityName 是用户名。在该例中就是 u1。 步骤 3. 配置查看和访问许可权 必须给刚创建的新组设置查看和访问许可权。通过向 /etc/snmpdv3.conf 文件中添加 VACM_VIEW 和 VACM_ACCESS 条目来设置这些许可权。 确定您想让新组拥有哪些查看和访问许可权。
给 /etc/snmpdv3.conf 文件添加 VACM_VIEW 条目来定义该组可以访问哪些 MIB 对象。
在此情形中，group1 能访问 interfaces、tcp、icmp 和 system MIB 子树。然而，我们要限制 group1 对 system MIB 子树内的 sysObjectID MIB 变量的访问。 #---------------------------------------------------------------- # VACM_VIEW entries # Defines a particular set of MIB data, called a view, for the # View-based Access Control Model. # Format is: # viewName viewSubtree viewMask viewType storageType VACM_VIEW group1View interfaces - included - VACM_VIEW group1View tcp - included - VACM_VIEW group1View icmp - included - VACM_VIEW group1View system - included - VACM_VIEW group1View sysObjectID - excluded - #----------------------------------------------------------------
viewName 是查看的名称。在该例中就是 group1View。 viewSubtree 是您想要授予访问权的 MIB 子树。 viewType 决定查看中是否包括所定义的 MIB 子树。在该例中，包括了所有的子树在内，但是作为 system 子树的一部分的 MIB 变量 sysObjectID 除外。
在 /etc/snmpdv3.conf 文件中添加 VACM_ACCESS 条目来定义组对上面指定的 MIB 对象拥有的许可权。给 group1 的是只读访问权。 #----------------------------------------------------------------------------------------------------------- # VACM_ACCESS entries # Identifies the access permitted to different security groups # for the View-based Access Control Model. # Format is: # groupName contextPrefix contextMatch securityLevel securityModel readView writeView notifyView storageType VACM_ACCESS group1 - - AuthNoPriv USM group1View - group1View - #-----------------------------------------------------------------------------------------------------------
groupName 是组名。在该例中就是 group1。 securityLevel 是所用的安全级别。在此情形中，使用的是认证密钥而不是专用密钥。因此此值被设为 AuthNoPriv。 securityModel 是您使用的安全模型（SNMPv1、SNMPv2c 或 USM）。在此情形中，它被设为 USM 以允许使用 SNMPv3 安全功能。 readView 确定组对哪些 VACM_VIEW 拥有读访问权。在此情形中，给定的是 group1View，它授予 group1 对 group1View VACM_VIEW 条目的读访问权。 writeView 确定组对哪些 VACM_VIEW 拥有写访问权。在此情形中，没有给 group1 写访问权。 notifyView 指定了在由访问表中的条目控制来执行陷阱时所适用的查看名称。
注: 在有些情况下，一个组可能会需要多个 VACM_ACCESS 条目。如果组中的用户具有不同的认证和专用设置（noAuthNoPriv、AuthNoPriv 或 AuthPriv），就需要有多个 VACM_ACCESS 条目，并相应设置 securityLevel 参数。
步骤 4. 为用户配置陷阱条目 通过向/etc/snmpdv3.conf 文件添加 NOTIFY TARGET_ADDRESS 和 TARGET_PARAMETERS 条目就能创建 SNMPv3 中的陷阱条目。TARGET_ADDRESS 条目将指定您希望把陷阱发送到哪里，而 TARGET_PARAMETERS 条目将会使 TARGET_ADDRESS 信息映射到 group1 NOTIFY 条目是按缺省配置的。缺省的 NOTIFY 条目如下所示：
NOTIFY notify1 traptag trap 在此情形中，我们使用缺省条目中指定的值 traptag。
添加 TARGET_ADDRESS 条目来指定您想把陷阱发送到哪里。 #------------------------------------------------------------------------------------- # TARGET_ADDRESS # Defines a management application's address and parameters # to be used in sending notifications. # Format is: # targetAddrName tDomain tAddress tagList targetParams timeout retryCount storageType #------------------------------------------------------------------------------------- TARGET_ADDRESS Target1 UDP 9.3.207.107 traptag trapparms1 - - - targetAddrName 可以是任何名称。在此情形中，我们使用了 Target1。 tAddress 是组的陷阱应该发送到的 IP 地址 tagList 是 NOTIFY 条目中配置的名字。在该例中就是 traptag。 targetParams 可以是任何值。我们使用的是 trapparms1，它会用在 TARGET_PARAMETERS 条目中。
添加 TARGET_PARAMETERS 条目。 #------------------------------------------------------------------------- # TARGET_PARAMETERS # Defines the message processing and security parameters # to be used in sending notifications to a particular management target. # Format is: # paramsName mpModel securityModel securityName securityLevel storageType #------------------------------------------------------------------------- TARGET_PARAMETERS trapparms1 SNMPv3 USM u1 AuthNoPriv
paramsName 和 TARGET_ADDRESS 条目中的 targetParams 值一模一样，在该例中，此值是 trapparms1。 mpModel 是所用的 SNMP 的版本。 securityModel 是您使用的安全模型（SNMPv1、SNMPv3 或 USM）。在此情形中，它被设为 USM 以允许使用 SNMPv3 安全功能。 securityName 是 USM_USER 条目中指定的用户名，在该例中就是 u1。 securityLevel 被设为 AuthNoPriv，因为我们使用认证密钥而不是专用密钥。 步骤 5. 停止和启动 snmpd 守护程序 更改完 /etc/snmpdv3.conf 文件后，请先停止然后再启动 snmpd 守护程序。 输入以下命令以停止 snmpd 守护程序： stopsrc -s snmpd输入以下命令以启动 snmpd 守护程序： startsrc -s snmpd新的设置现在生效了。 注: 在 SNMPv1 中使用 refresh -s snmpd 简单刷新代理在 SNMPv3 中无效。如果您对 /etc/snmpdv3.conf 文件进行了更改，您必须按上面所指示的那样停止然后再启动守护程序。SNMPv3 中支持的动态配置功能不允许您进行刷新。 步骤 6. 测试您的配置 要验证您的配置是正确的，您可以在 SNMP 管理器上运行以下命令。 clsnmp -h user1 walk mib其中，mib 是用户能访问的 MIB 子树。在此情形中，它可能是 interfaces、tcp、icmp 或 system。如果配置是正确的，那么您就会在指定的子树中看到信息。 如果您没有得到正确的输出，那么请重温一遍本文档中的各步骤，并验证您正确的输入了所有的信息。
