Tuklasin ang mga printer at port gamit ang WMI at basic SNMP

Sa anumang minimally serious network, Tuklasin ang mga bukas na printer, server, at port Hindi ito isang "dagdag," mahalaga ito kung gusto mo ng kapanatagan ng loob. Sa pagitan ng mga patakaran sa seguridad, mga pag-audit, at mga gumagamit na nagpi-print sa anumang bagay na may toner, kailangan mong malaman kung ano ang nasa iyong printer, kung nasaan ito, at kung paano ito gumagana.

Ang magandang balita ay hindi mo na kailangang baguhin ang gulong: WMI sa mga kapaligirang Windows at SNMP sa halos anumang aparato sa network Ibinibigay nila sa iyo ang lahat ng kailangan mo kung alam mo kung paano gamitin ang mga ito. Ang sekreto ay ang pag-unawa sa kung ano ang iniaalok ng bawat teknolohiya, kung aling mga port ang kasama, kung paano ito akma sa mga firewall, at kung ano ang mga implikasyon nito para sa performance at seguridad.

Pangkalahatang-ideya: Mga Ahente, WMI, SNMP, at iba pang mga paraan upang masubaybayan

Kapag pinag-uusapan natin ang pagsubaybay kagamitan at mga printerSa totoo lang, pinag-uusapan natin ang pagpili ang "channel" kung saan kukunin ng tool sa pagsubaybay ang impormasyon ng aparato. Sa pangkalahatan, ang mga opsyong ito ay magkakasamang umiiral sa mga corporate network:

1. Naka-install na ahente sa device
Maraming mga platform ng pagsubaybay ang may sariling ahente para sa Windows, Linux o kahit mga partikular na aplikasyon. Ito ay naka-install sa bawat computer, at ang ahente ay nangongolekta ng mga sukatan (CPU, RAM, mga disk, mga serbisyo, atbp.) at ipinapadala ang mga ito sa server ng pagsubaybay.

• Kalamangan: napakadetalyadong pag-access sa data ng system, kahit na higit pa sa inaalok ng WMI o SNMP.
• KakulanganKailangan itong i-deploy, panatilihin, i-update, at suriin upang matiyak na hindi ito magiging problema sa performance o seguridad.

2. WMI (Instrumentasyon sa Pamamahala ng Windows)
Sa mundo ng Windows, ang WMI ang pamantayan. Pinapayagan ka nitong makuha napakadetalyadong impormasyon tungkol sa hardwaresoftware, mga proseso, mga serbisyo, pagganap at maging ang pag-configure ng ilang aspeto ng sistema. Ang lahat ng ito ay ginagawa sa pamamagitan ng mga klase ng WMI na maa-access nang malayuan.

• Gamitin bilang default RPC sa pamamagitan ng TCP, gamit ang port 135/TCP bilang assigner at pagkatapos ay mga high dynamic port (49152-65535) kung hindi pinaghihigpitan.
• Sa maraming sitwasyon, ginagamit din ito sa WinRM (HTTP 5985 / HTTPS 5986) upang maiwasan ang pagharap sa mga bukas na saklaw ng RPC port.

3. SNMP (Simpleng Protocol sa Pamamahala ng Network)
Ang SNMP ay isang karaniwang protocol ng application layer, na tinukoy sa ilang RFC (1157, 1901-1908, 3411-3418, bukod sa iba pa), at bahagi ng TCP/IP stack. Ito ang karaniwang wika para sa mga router, switch, firewall, printer, NAS, UPS, mga kagamitan sa seguridad at para rin sa maraming server.

• Karaniwang ginagamit ang mga query at operasyon sa pagbasa/pagsulat UDP 161.
• Ang mga asynchronous na notification (mga trap at inform) ay naglalakbay sa pamamagitan ng UDP 162.
• Ang kapangyarihan nito ay nasa kombinasyon ng Mga ahente ng SNMP + MIB + OID.

4. SSH
Sa mga sistema ng uri UNIX (Linux, BSD, atbp.), maraming tool ang pumipiling kumonekta sa pamamagitan ng SSH (TCP 22) upang maipatupad comandos at i-parse ang output. Ito ay isang alternatibo kapag ang SNMP ay hindi magagamit o kapag nais ang mas mahusay na kontrol nang hindi nag-i-install ng mga karagdagang ahente.

5. Mga API at serbisyo sa web
Parami nang parami ang mga tagagawa na naglalantad ng kanilang mga sukatan sa pamamagitan ng Mga REST API, SOAP o mga serbisyo sa webIto ang karaniwang paraan upang subaybayan ang mga modernong aplikasyon, mga solusyon sa cloud, o mga partikular na kagamitan kung saan ang SNMP/WMI ay hindi akma nang maayos o hindi gumana nang maayos.

Mabilisang rekomendasyon: kung ano ang gagamitin para sa bawat uri ng kagamitan

isang gabay Ang isa na gumagana sa karamihan ng mga corporate network ay ang mga sumusunod:

• Windows computer: unahin WMI (o WMI sa pamamagitan ng WinRM) laban sa sarili mong mga ahente, maliban na lang kung kailangan mo ng napaka-advanced na pagsubaybay sa mga application na naglalantad lamang ng data sa pamamagitan ng ahente na iyon.
• Mga Server at Workstation ng Linux/UNIX: gamit SSH o isang magaan na ahente. Posible rin ang SNMP, ngunit kadalasan ay nagkukulang ito sa pagbibigay ng mga detalye ng sistema.
• Mga elektronikong kagamitan sa network (mga switch, router, AP, firewall): SNMP Ito ang natural na pagpili. Kadalasan ay wala nang ibang karaniwang pamamaraan.
• Mga printer at mga "edge" na device (NAS, UPS, mga partikular na hardware): halos palagi SNMP.
• Mga modernong aplikasyon at serbisyo: kung ang tagagawa ay nag-aalok API Opisyal, gamitin mo muna ito.

Los mga ahente ng ari-arian Iwanan ang mga ito bilang backup na plano, kapag wala kang WMI, SSH, SNMP, o mga API na sumasaklaw sa iyong mga pangangailangan. Madalas nilang pinapakomplikado ang mga pag-deploy, pagpapanatili, at pagpapatibay ng seguridad.

Paano gumagana ang SNMP sa loob ng kumpanya: mga tagapamahala, ahente, MIB, at OID

Para matuklasan ang mga printer at port gamit ang SNMP, kailangan mo munang maunawaan kung paano inaayos ang impormasyon. Ang SNMP ay nakabatay sa tatlong haligi: Tagapamahala ng SNMP, mga pinamamahalaang device (ahente) at MIB/OID.

Tagapamahala ng SNMP (NMS)
Ito ang pangunahing piraso: ang console o server na nagpapatakbo ng Network Management SystemIto ang nagpapadala ng mga kahilingan (GET, GETNEXT, GETBULK, SET) sa mga ahente at tumatanggap ng mga tugon, patibong, at impormasyon.

• Pana-panahong kapanayamin ang mga ahente upang mangalap ng mga sukatan.
• Pinoproseso nito ang mga halaga, naglalapat ng mga limitasyon, bumubuo ng mga alerto at mga graph.
• Maaari kang sumulat sa ilang partikular na OID (SET) kung pinahihintulutan ito ng seguridad, bagama't sa pagsasagawa ay inirerekomenda na halos palaging magtrabaho sa write mode. basahin lamang (RO).

Mga pinamamahalaang device at SNMP agent
Bawat routerAng switch, printer, o server na gusto mong subaybayan ay nagpapatakbo ng isang ahente ng SNMPAng ahente na ito:

• Lokal itong nangongolekta ng mga istatistika sa hardware, network, mga pila sa pag-print, temperatura, atbp.
• Inilalahad nito ang impormasyong ito ayon sa mga kahulugang nakapaloob sa mga MIB nito.
• Maaari itong makabuo mga bitag patungo sa NMS kapag may nangyari (hal., pagbara ng papel, pagbagsak ng interface, sobrang temperatura).
• Maaari pa nga itong gumanap bilang proxy para sa mga device na walang native SNMP.

MIB (Base ng Impormasyon sa Pamamahala)
Ang MIB, sa madaling salita, ay ang "diksyunaryo" na nagbibigay-kahulugan kung aling mga baryabol ang maaaring i-query at sa anong formatIto ay isang text file (karaniwan ay nasa notasyon ng ASN.1) na naglalarawan ng:

• Simbolikong pangalan ng bagay.
• Uri ng datos (INTEGER, OCTET STRING, COUNTER, Gauge, TimeTicks...).
• Pag-access (read-only, read-write).
• Paglalarawan ng tungkulin.
• Hierarchical na relasyon sa iba pang mga bagay.

May mga karaniwang MIB (halimbawa) IF-MIB, IP-MIB, SNMPv2-MIB) at mga MIB na partikular sa tagagawa (Cisco, HP, Xerox, Synology, atbp.). Ang mga pribadong MIB na ito ang nagbibigay-daan sa iyong higit pa sa mga generic, halimbawa, Tingnan ang antas ng toner o mga naka-print na pahina ng isang partikular na modelo printer.

OID (Tagatukoy ng Bagay)
Ang bawat bagay na tinukoy sa isang MIB ay kinikilala gamit ang isang OID, isang numerikal na pagkakasunod-sunod na pinaghihiwalay ng mga tuldok, halimbawa:

• 1.3.6.1.2.1.1.3.0 -> sysUpTime.
• 1.3.6.1.2.1.1.5.0 -> sysName (pangalan ng aparato).
• 1.3.6.1.2.1.1.4.0 -> sysContact.

Ang mga OID ay nakaayos sa isang istruktura ng puno, kung saan:

• 1.3.6.1.2.1 tumutugma sa karaniwang MIB (mib-2).
• 1.3.6.1.4.1 ay ang sangay ng negosyoIyon ay, mga MIB ng mga tagagawa.

Ang isang tipikal na halimbawa ng isang proprietary OID para sa isang Synology NAS ay ganito: 1.3.6.1.4.1.6574.5kaugnay ng impormasyon sa disk SMART, habang ang isang Cisco OID ay maaaring mag-hang mula sa 1.3.6.1.4.1.9.

Mga SNMP port, mga pangunahing operasyon, at mga bersyon ng protocol

Para gumana ang SNMP monitoring, kailangan mong maging malinaw tungkol sa ang mga daungan na kasangkot at ang modelo ng komunikasyonKung hindi, ang firewall ang magiging pinakamatinding kaaway mo.

Mga karaniwang SNMP port

• UDP 161Mga normal na query at operasyon (GET, GETNEXT, GETBULK, SET). Ang NMS ay nagpapadala ng mga kahilingan sa ahente sa port na iyon.
• UDP 162: mga patibong at impormasyon. Sa kasong ito ang ahente nagsisimula ng komunikasyon sa monitoring server.

Bagama't maaaring gamitin ang TCP kasama ng SNMP sa ilang mga kaso, Ang klasiko at pinakakaraniwang implementasyon ay ang UDPMay mga implikasyon ito: mas kaunting gastos, ngunit wala ring garantiya ng paghahatid. Kaya naman madalas na inuulit ng mga sistema ng pagsubaybay ang mga query kung hindi sila nakatanggap ng tugon.

Pinakamahalagang operasyon ng SNMP

• GETHinihiling ng NMS ang halaga ng isa o higit pang partikular na OID.
• GETNEXT: katulad ng GET, ngunit hinihiling ang susunod na OID sa hierarchy, lubhang kapaki-pakinabang para sa pag-ulit sa mga talahanayan.
• GETBULKipinakilala sa SNMPv2, na idinisenyo upang mahusay na mag-download ng malalaking bloke ng data (buong mga talahanayan).
• ItakdaAng manager ay nagsusulat ng value sa agent. Ito ay makapangyarihan ngunit mapanganib, kaya naman halos lahat ng seryosong network ay iniiwasan ang paglalantad ng SET o paghihigpit dito hangga't maaari.
• BITAG: asynchronous na mensahe na ipinapadala ng ahente sa NMS kapag naganap ang isang kaganapan (hal., wala nang papel ang printer, link down).
• IMPORMASYON: katulad ng bitag, ngunit may kumpirmasyon ng pagtanggap ng NMS.

Mga bersyon at seguridad ng SNMP
Sa kasaysayan, ang SNMP ay dumaan sa ilang mga bersyon, na may mga pagbabago pangunahin sa larangan ng seguridad:

• SNMPv1 (RFC1155, 1156, 1157). Napakasimpleng modelo, seguridad batay sa "community string", nang walang pag-encrypt.
• SNMPv2cBinagong bersyon na may mga pagpapabuti sa pagganap (GETBULK, mga bagong uri, atbp.), ngunit pinapanatili ang parehong iskema ng seguridad na nakabatay sa komunidad. Ito ang pinakaginagamit sa pagsasagawa.
• SNMPv3. Pasok pagpapatunay at pag-encryptgamit ang user-based security (USM) at mas matatag na mga modelo ng pag-access. Ito ay mas ligtas, ngunit mas kumplikado rin i-configure at maaaring magdulot ng ilang karagdagang gastos.

Para sa kaginhawahan, maraming network pa rin ang gumagamit ng SNMPv2c sa read-only (RO) mode na may mga kumplikadong komunidad at mga listahan ng kontrol sa pag-access sa mga device. Kung kailangan mong sumunod sa mahigpit na mga patakaran sa seguridad, ipinapayong magplano ng isang unti-unting paglipat sa v3.

WMI sa Lalim: Mga Port, RPC, at WinRM

Sa mga kapaligirang Windows, ang WMI ang pangunahing kagamitan para sa pagkuha ng impormasyon ng system nang hindi nag-i-install ng mga karagdagang ahente. Ngunit sa antas ng network, Ang WMI ay nakasalalay sa RPC At may mga kahihinatnan iyon para sa firewall.

Mga port na kasangkot sa klasikong WMI

• TCP 135: daungan ng RPC Endpoint MapperIto ang unang entry point; sa pamamagitan nito, pinag-uusapan ng kliyente kung aling dynamic port ang gagamitin ng kasunod na tawag.
• Mga dynamic na port na may mataas na TCP: karaniwan 49152-65535 Sa mga modernong sistema, doon itinatatag ang aktwal na sesyon ng WMI/DCOM.

Kung labis mong pinaghihiwalay ang network at sinasala ang mga port, ipinahihiwatig nito ang isang problemaAng pagbubukas ng isang buong saklaw na 49152-65535 sa pagitan ng mga segment ay karaniwang hindi katanggap-tanggap mula sa pananaw ng seguridad.

Alternatibo: WMI sa pamamagitan ng WinRM
Upang maiwasan ang pagdagsa ng mga dynamic port, nag-aalok ang Microsoft ng posibilidad na ilantad ang WMI sa Pamamahala ng WS sa pamamagitan ng WinRM:

• HTTP sa daungan 5985 / TCP.
• HTTPS sa daungan 5986 / TCP.

Sa ganitong paraan, maaari mong limitahan ang komunikasyon ng WMI sa mga mahusay na natukoy na port at mas madaling kontrolin sa firewall, bilang karagdagan sa pagdaragdag ng encryption kapag gumagamit ng HTTPS. Ito ang ginustong pamamaraan para sa mga modernong tool sa pagsubaybay at pamamahala ng Windows.

WMI + Active Directory at iba pang mga serbisyo
Hindi dapat kalimutan na maraming operasyon sa malayuang administrasyon na may kaugnayan sa WMI, PowerShell Ang pag-remote o ang pag-promote mismo ng mga domain controller ay gumagamit din ng:

• LDAP (389/TCP at UDP), LDAPS (636/TCP).
• SMB (445/TCP) para sa mga pinangalanang conduit.
• Mga high ephemeral RPC port para sa iba't ibang dependent services (DFS, file replication, Netlogon, atbp.).

Kung lubusan mong isasara ang isang Windows network, mahalagang suriin ang malawak na talaan ng mga mga port ng serbisyo ng sistema Patakaran ng Microsoft na iwasan ang pagputol ng mga kritikal na bahagi (Kerberos, DNS, iskedyul ng Windows, replikasyon ng AD, atbp.).

Pagtuklas ng mga printer at port gamit ang SNMP: isang praktikal na pamamaraan

Ituon natin ang lahat ng ito sa kasong pinaka-interesante sa atin: Hanapin ang mga printer sa network at unawain kung aling mga port ang aktibo gamit ang SNMP.

1. I-activate at i-configure ang SNMP sa mga printer
Sa karamihan ng mga printer na may katamtamang modernong antas, ang SNMP ay naka-enable bilang default o naka-activate mula sa web interface ng device:

• Tinutukoy ang a Komunidad ng pagbabasa ng SNMP (Huwag gamitin ang "pampubliko" sa mga seryosong kapaligirang pangkorporasyon).
• Kung maaari, nililimitahan ang pag-access sa SNMP sa IP address o subnet ng iyong monitoring server.
• Punan ang mga patlang ng sysLocation y sysContact para maisaayos ko ang mga ito mamaya (opisina, silid, palapag, email ng suporta, atbp.).

2. Suriin mula sa monitoring server gamit ang snmpwalk
Sa isang Linux host o katulad nito na may naka-install na mga tool ng Net-SNMP, maaari mong gamitin ang:

snmpwalk -v2c -c YOUR_COMMUNITY 192.168.xx

Kung tama ang configuration, makakakita ka ng parada mahabang listahan ng mga OID at halaga: pangalan ng sistema, lokasyon, bilang ng mga interface, istatistika ng network, mga page counter, mga antas ng toner (kung ibinigay ng tagagawa sa kanilang mga pribadong MIB), atbp.

Para subukan lamang ang isang partikular na OID (halimbawa, sysName):

snmpwalk -v2c -c YOUR_COMMUNITY 192.168.xx SNMPv2-MIB::sysName.0

3. Tukuyin ang mga "basurang" SNMP port at trapiko
Isang tipikal na kaso sa mga network na may kasaysayan ay ang paghahanap ng Server ng pag-print ng Windows na patuloy na sinusubukang makipag-ugnayan sa pamamagitan ng SNMP sa mga printer na wala na o nagpalit na ng subnet.

• Maaaring magkaroon ng mga TCP/IP port ng printer sa Windows Naka-enable ang SNMP bilang default.
• Kung susubukan ng server na iyon na gumawa ng mga SNMP query sa mga lumang IP kada ilang segundo, makikita mo maraming naka-block na pakete sa iyong firewall (halimbawa, isang FortiGate), lahat ay nakadirekta sa mga UDP 161 address na hindi na kabilang sa network.

Ang solusyon ay kasing simple nito: I-disable ang SNMP sa mga print port na iyon o linisin ang mga hindi nagamit na port. Bago magbura ng kahit ano, ipinapayong tiyakin muna na wala talagang kaugnay na mga trabaho at ang kaukulang printer ay hindi na bahagi ng imprastraktura.

4. Paggamit ng MIB ng tagagawa para sa advanced na data
Kung gusto mong lumampas sa "ito ay bukas o naka-off" at para aktwal na masubaybayan ang katayuan ng mga printer (mga pila, jam, toner, mga tray ng papel), kakailanganin mong:

• I-download ang Mga MIB na partikular sa tagagawa (Xerox, HP, Canon, atbp.), kadalasang makukuha sa kanilang support portal.
• I-upload ang mga ito sa iyong SNMP tool o MIB browser.
• Hanapin ang mga OID na nauugnay sa bawat sukatan (hal., bilang ng mga naka-print na pahina, tagal ng paggamit, mga error code).

Gamit niyan, makakabuo ka mga graph at alerto na nag-aalerto sa mga gumagamit kapag naubusan ng papel ang isang printer, kapag ang toner ay nasa 5% na, o kapag ang counter ay tumaas nang hindi normal, na pumipigil sa mga sorpresa para sa mga gumagamit.

SNMP, seguridad, at mahusay na mga kasanayan sa pag-configure

Ang SNMP ay napakalakas, ngunit kung hindi masusuri, ito ay nagiging isang salaanIlang mahahalagang punto para maiwasan ang pagbaril sa iyong paa:

• Palaging gamitin mga isinapersonal na komunidadhindi kailanman "pampubliko"/"pribado".
• Paghigpitan ang pag-access sa Mga partikular na IP o subnet paggamit ng mga ACL sa mga router, switch o sa mismong SNMP daemon (Linux, Windows, ESXi, atbp.).
• Hangga't maaari, manatili sa loob paraan ng pagbasa (RO)Iwasan ang SET sa produksyon maliban sa mga kaso na lubhang kontrolado.
• Kung kinakailangan ito ng iyong kapaligiran, isaalang-alang ang paggamit ng SNMPv3 na may authentication at encryption, kahit man lang para sa mahahalagang kagamitan.
• Dokumento Ano ang MIB at OID? Ginagamit mo ang mga ito at ang kahulugan ng mga ito, para mapanatili ito ng ibang mga admin.

Sa Windows Server, tandaan na ang Serbisyo ng SNMP:

• Hindi ito naka-install bilang default; dapat idagdag ang feature (sa pamamagitan ng GUI, PowerShell o mga opsyonal na kakayahan).
• Ito ay pangunahing kino-configure mula sa mga tab Katiwasayan y Ahente ng serbisyo: mga tinatanggap na komunidad, mga host kung saan pinapayagan ang mga pakete, kontak, lokasyon, at mga serbisyong minomonitor.

Sa Linux, ang key file ay karaniwang /etc/snmp/snmpd.confkung saan maaari mong tukuyin ang mga pananaw, komunidad, at direksyon sa pakikinig, halimbawa ang pagpapahintulot lamang ng isang tinukoy na komunidad at paghihigpit sa pananaw sa .1 (ang buong puno) o mga partikular na subset.

Pag-coordinate ng WMI, SNMP, at mga firewall sa mga segmented network

Sa mga kumpanyang may maraming VLAN, DMZ, at mga highly filtered zone, ang hamon ay hindi lamang pagsubaybay, kundi aktwal na pagsubaybay. nang hindi binubuksan ang kalahati ng sansinukob ng mga daunganDito kailangang maayos na pagsamahin ang mga panuntunan ng WMI, SNMP, at firewall.

Ilang prinsipyo na mahusay na gumagana:

• Sa Mga Panloob na Bintana: nagbibigay-daan WinRM (5985/5986) at nililimitahan lamang ang klasikong WMI sa pamamagitan ng RPC sa mga segment na lubos na kinokontrol.
• Sa kagamitan sa network at mga printer: bubukas lamang UDP 161/162 papunta at mula sa mga IP ng iyong mga server na sinusubaybayan.
• Isentralisa ang pagsubaybay sa loob ng ilang sandali mahusay na protektadong NMS sa halip na magkaroon ng maraming nakakalat na mapagkukunan ng query.
• Suriin ang talahanayan ng Mga port ng serbisyo ng Windows Server upang matiyak na ang AD, DNS, Kerberos, DFS, Netlogon, atbp. ay maaari pa ring makipag-ugnayan sa isa't isa pagkatapos ng anumang pagtigas.

Kung mayroon ka nang firewall na naglo-log ng trapiko na tinanggihan, magandang ideya iyon. suriin ang mga tala Naghahanap ng mga naka-block na SNMP pattern (o WMI sa pamamagitan ng RPC) na tumutugma sa mga maling na-configure na device, nawawalang printer, o mga server na naniniwala pa rin na may mga lumang subnet. Ang paglilinis nito ay nakakabawas ng ingay sa background at nakakatipid sa iyo mula sa mga hindi kinakailangang panuntunan.

Sa huli, pagsamahin nang mabuti WMI sa Windows at SNMP para sa lahat ng iba paGamit ang malinaw na patakaran sa port at komunidad, binibigyan ka nito ng detalyadong pagtingin sa mga printer, server, switch, at application, nang hindi kinakailangang magkalat ng mabibigat na ahente sa network o iwang bukas ang firewall. Ito ang pinaka-makatwirang paraan upang subaybayan kung sino ang nagpi-print, mula saan, at sa aling mga port, nang hindi nag-aalangan sa tuwing may lumalabas na audit o kailangan mong suriin ang seguridad ng imprastraktura.