8.1 SNMP监控与网络测量

8.1 SNMP监控与网络测量

本节摘要：SNMP 是网络设备的标准化管理协议——管理站轮询或接收代理上报，按 OID 读取设备状态。本节讲清其管理站加代理架构、MIB 树与 OID 寻址、轮询与陷阱两种模式的取舍、该监控哪些指标，并演示用命令读取一台交换机的接口状态。

旅程终点站第一课：日常体检。网络最怕的不是坏，是坏了没人知道——用户先于运维发现问题，是所有运维团队的耻辱柱。监控系统回答三个问题：现在好不好、什么时候开始不好、不好之前有没有征兆。

一、架构：管理站、代理与 MIB 树

SNMP 的模型极简：每台设备（交换机、路由器、服务器、打印机）内置一个代理进程，维护着本设备的全部可读状态；网络里有一台管理站周期性上门查表，或等设备主动上报异常。

状态用什么地址编号？OID（对象标识符）——一棵全球统一的树，从根开始逐级编号，像网络世界的户口系统：

MIB 树节选（OID 从根到叶的完整路径）：

iso(1).org(3).dod(6).internet(1).mgmt(2).mib-2(1)
  ├─ system(1)                ← 设备信息组
  │   ├─ sysDescr.0           "Linux sw-core-01 5.15"
  │   ├─ sysUpTime.0          102736400（百分之一秒）
  │   └─ sysName.0            "sw-core-01"
  ├─ interfaces(2)
  │   ├─ ifNumber.0           52            ← 接口总数
  │   └─ ifTable              ← 每接口一行
  │       ifEntry.1  ifIndex   接口编号
  │       ifEntry.2  ifDescr   "Gi0/24"
  │       ifEntry.10 ifInOctets   入字节数 ★ 核心指标
  │       ifEntry.13 ifInDiscards 入丢弃数
  │       ifEntry.14 ifInErrors   入错帧数 ★
  │       ifEntry.16 ifOutOctets  出字节数 ★
  └─ ...

数字形式：ifInOctets 的 OID 是
1.3.6.1.2.1.2.2.1.10.<接口号>
（用 snmpwalk 时无需背——从父节点开始遍历即可）
​

要点是计数器加时间戳等于速率：ifInOctets 是单调递增的里程表，监控站每 5 分钟取一次快照，差值除以周期就是带宽利用率。所有"曲线图"背后都是这个减法。

二、轮询与陷阱：拉与推的取舍

轮询（管理站主动问，SNMP GET）：
  每 30/60/300 秒遍历关键 OID
  优点：节奏可控、能画历史曲线、设备零负担地被动
  缺点：两次轮询之间的故障要等下一轮才发现；
        大网络轮询流量本身可观

陷阱（设备主动报，SNMP TRAP）：
  事件发生即刻上报：链路 down、认证失败、温度越限
  优点：实时
  缺口：单向通知不保证送达（走 UDP！见 5.1），
        管理站重启期间的陷阱永久丢失

工程定式：轮询画曲线 + 陷阱当闹钟，缺一不可。
只有轮询：故障发现延迟最高一个周期；
只有陷阱：没事件不等于健康（设备"安静地死掉"就永远沉默）。
​

版本速记：v1/v2c 社区名明文认证（等于口令裸奔），只能放在管理 VLAN 内并用访问列表锁死来源；v3 才有真正的加密与分级权限——新部署没有理由再用 v2c。

三、监控什么：四类黄金指标

设备千差万别，但"健康"的判据高度收敛：

四、动手：五分钟读出一台交换机的状态

# 读取设备描述与运行时长
$ snmpget -v2c -c community01 192.168.1.2 \
    1.3.6.1.2.1.1.1.0 1.3.6.1.2.1.1.3.0
SNMPv2-MIB::sysDescr.0 = STRING: Cisco IOS Software, C9300
SNMPv2-MIB::sysUpTime.0 = Timeticks: (102736400) 11 days, 21:22:40

# 遍历接口表的关键计数器
$ snmpwalk -v2c -c community01 192.168.1.2 1.3.6.1.2.1.2.2.1.10
IF-MIB::ifInOctets.1 = Counter32: 8924716322
IF-MIB::ifInOctets.24 = Counter32: 419230182744   ← 上行口，里程最大
IF-MIB::ifInOctets.25 = Counter32: 0              ← 空闲口

# 健康速算：两次采样间隔 300 秒
  第一次 ifInOctets.24 = 419230182744
  第二次 ifInOctets.24 = 419307681090
  差值 77498346 Byte ÷ 300 s ≈ 2.07 MB/s ≈ 16.5 Mbps
  千兆上行口利用率 1.65% → 容量健康

解读演练：若某接口 ifInDiscards 每小时稳定增长数千，
对照 5.3 节——那是队列溢出在丢包，需要查谁在打爆它；
若 ifInErrors 与 CRC 错同步增长，回到第 2 章思路：
先查线缆与光模块，再查协商速率，协议层排查放最后。
​

⚠️ 常见坑：Counter32 约 4.3GB 回绕一次（千兆口几秒就走完），计算速率必须检测回绕（新值小于旧值即加回上限），否则曲线周期性出现深坑。新一代设备提供 64 位计数器（ifHCInOctets），优先使用。

常见疑问

SNMP 之外，现代监控还有什么选择？ 流式遥测（设备按固定周期持续推送指标，替代逐项轮询，延迟从分钟级降到秒级）、以及基于抓包与流记录的流量分析（回答"谁在占用带宽"这种 SNMP 答不了的问题）。SNMP 不会消失——数十亿存量设备都讲这门语言，新方案与之长期共存，正如 IPv4 与 IPv6。

告警阈值怎么定才不狼来了？ 经验起点：可用性类用"连续 N 次失败"，容量类用"持续高于阈值 15 分钟"（滤瞬时尖峰），质量类用"增量速度"而非绝对值。宁可先宽后紧，也别一上来就淹没值班群——告警疲劳是监控体系的头号杀手。

本节要点回顾

• 架构三件套：代理守设备、管理站集中查、OID 全球统一编号寻址
• 计数器思维：里程表差值除以周期等于速率，一切曲线的本质
• 轮询加陷阱：曲线靠拉、告警靠推，单独使用各有致命盲区
• 版本底线：v2c 只配锁死来源的管理 VLAN，新部署一律 v3
• 四类黄金指标：可用性、容量、质量、状态——判据收敛，跨厂商通用

体检体系就位，下一节进急诊室——用一次完整的故障排查给全册方法论做毕业答辩。