本文目录导读：
SNMPv3 的加密与认证配置主要分为两个核心部分：用户创建（定义认证与加密协议）和 SNMP代理配置（启用并应用该用户），以下分场景提供配置指南（以 Cisco 设备和 Linux 的 Net-SNMP 为例）。
核心概念回顾
- 认证：验证消息发送方的身份，常用协议：
MD5或SHA（推荐 SHA）。 - 加密：对 SNMP 报文内容进行加密（Privilege），常用协议：
DES或AES（推荐 AES-128）。 - 安全级别：
noAuthNoPriv：无认证无加密authNoPriv：有认证无加密authPriv：有认证有加密（最安全）
Cisco IOS/ASA 设备配置
步骤 1：启用 SNMP 代理
snmp-server enable traps
步骤 2：创建一个 SNMPv3 用户
snmp-server user <用户名> <组名> v3 auth <认证算法> <认证密码> priv <加密算法> <加密密码>
示例：用户 admin，组 mygroup，SHA 认证，AES-128 加密
snmp-server user admin mygroup v3 auth sha MyAuthPassword123 priv aes 128 MyEncryptPassword456
注意：密码长度建议 8-16 字符，避免使用特殊符号（部分设备不支持）。 如果使用
MD5认证：auth md5
如果使用DES加密：priv des
步骤 3：创建或指定 SNMP 组（包含访问控制）
snmp-server group mygroup v3 priv # priv 表示该组用户必须使用加密 access-list 10 permit 192.168.1.0 0.0.0.255 snmp-server community read-only public snmp-server group mygroup v3 priv read v1default write v1default notify v1default
更常见的做法是在全局模式下直接配置：
snmp-server group mygroup v3 priv read v1default write v1default notify v1default snmp-server user admin mygroup v3 auth sha MyAuthPass priv aes 128 MyEncPass
步骤 4：设置 SNMP 引擎ID（可选但推荐）
引擎ID 是 SNMPv3 实体的唯一标识，若不手动设置，设备会自动生成。
snmp-server engineID local 1234567890ABCDEF
验证配置
show snmp user show snmp group show snmp engineID
Linux Net-SNMP 配置
步骤 1：安装 net-snmp
sudo apt-get install snmpd snmp-mibs-downloader # Debian/Ubuntu sudo yum install net-snmp net-snmp-utils # CentOS/RHEL
步骤 2：配置 /etc/snmp/snmpd.conf
删除或注释掉默认的 rocommunity 行，添加以下内容：
# 设置 SNMP 引擎ID（可选） engineID 0x80001f8880abcdef0123456789abcdef # 创建 SNMPv3 用户（使用 net-snmp-config 创建） createUser myuser SHA "MyAuthPassword" AES "MyEncryptPassword" # 为该用户设置访问控制 rouser myuser authpriv # 允许该用户使用 authPriv 级别读取所有 OID
注意：
rouser表示只读用户，rwuser表示读写用户。
若需要更精细的视图控制：view all included .1 rouser myuser authpriv -V all
步骤 3：生成持久化用户（重要）
# 停止 snmpd sudo systemctl stop snmpd # 运行 net-snmp-config 创建用户（会写入 /var/lib/snmp/snmpd.conf 或类似路径） sudo net-snmp-config --create-snmpv3-user -a SHA -x AES -A "MyAuthPassword" -X "MyEncryptPassword" myuser # 启动 snmpd sudo systemctl start snmpd
说明：
createUser命令只在首次启动时生效，之后会加密保存到持久化文件，后续启动 snmpd 时不要重复执行。
步骤 4：测试连接
从其他机器执行：
snmpget -v 3 -u myuser -l authPriv -a SHA -A "MyAuthPassword" -x AES -X "MyEncryptPassword" 192.168.1.100 1.3.6.1.2.1.1.1.0
Windows 系统配置（Windows Server）
步骤 1：添加 SNMP 功能
- 服务器管理器 → 添加角色和功能 → 勾选 "SNMP 服务"
步骤 2：配置 SNMP 服务
- 打开
services.msc→ 停止 SNMP 服务 - 右键 SNMP Service → 属性 → “安全” 选项卡
- 添加 接受来自这些主机的 SNMP 包 的 IP 或 IPX
- 在 “验证” 组中：
- 选择 “SHA” 作为验证协议
- 输入验证密码
- 选择 “AES” 作为隐私协议
- 输入加密密码
- 点击 “添加” 创建用户（用户名默认为机器名，但可以手动修改）
注意：Windows 自带的 SNMPv3 支持有限，建议使用第三方软件如 SNMP Informant 或改用 Linux/Cisco 设备。
验证与排错
常用诊断命令
# 从管理端测试 snmpwalk -v 3 -u admin -l authPriv -a SHA -A "MyAuthPassword" -x AES -X "MyEncryptPassword" 192.168.1.1 system # 查看 snmpd 日志（Linux） tail -f /var/log/syslog | grep snmpd
常见问题
| 问题 | 原因与解决 |
|---|---|
认证失败 (Authentication failure) |
密码错误；引擎ID不匹配（检查两端引擎ID是否一致）；用户未创建成功 |
权限不足 (No access) |
未配置 rouser 或 rwuser；视图未正确设置 |
| 响应超时 | 防火墙未开放 UDP 161 端口（SNMP 使用 UDP 161） |
| 加密错误 | 加密算法不匹配（例如客户端用 AES-256 但设备只支持 AES-128） |
安全建议
- 避免使用
MD5和DES：它们已被证明不安全。坚持使用 SHA 系列（SHA-1/SHA-256）和 AES 加密。 - 密码长度至少 12 字符，包含大小写字母、数字和特殊符号。
- 定期轮换 SNMPv3 密码。
- 限制 SNMP 访问源 IP（通过 ACL 或防火墙）。
总结配置清单
| 设备类型 | 示例命令 |
|---|---|
| Cisco | snmp-server user admin mygroup v3 auth sha Pass123 priv aes 128 Pass456 |
| Linux | net-snmp-config --create-snmpv3-user -a SHA -x AES -A "Pass123" -X "Pass456" admin |
| Windows | 图形界面设置验证/隐私协议及密码 |
配置完成后,务必从管理端测试连接，确保 SNMPv3 正常采集数据。
