2 .\" Japanese Version Copyright (c) 2002 Yuichi SATO
3 .\" all rights reserved.
4 .\" Translated Mon May 6 20:59:37 JST 2002
5 .\" by Yuichi SATO <ysato@h4.dion.ne.jp>
7 .TH SNMPD.CONF 5 "28 Aug 2001"
8 .ds )H U.C. Davis, ECE Dept.
12 /usr/share/snmp/snmpd.conf - ucd-snmp SNMP エージェントの設定ファイル
15 は ucd-smnp SNMP エージェントの操作法を定義する設定ファイルである。
16 このファイルは下記の「ディレクティブ」セクションにある
18 エージェントが mib エントリを操作したり表示したりするためには、
21 最初に man ページ snmp_config(5) を読んでおくこと。
22 ここには ucd-snmp ファイルの操作法・場所・
27 アプリケーション (perl スクリプト) にざっと目を通すのもよいかもしれない。
28 このアプリケーションはユーザーに情報を提示して
29 snmpd.conf ファイルの作成を助けてくれる。
32 .IP "snmpconf -g basic_setup"
38 ucd-snmp SNMP エージェントは、
39 mib ツリーの 1.3.6.1.4.1.2021 セクションに対してクェリーを行い、
41 このセクションの各 mib には以下のテーブルエントリがある。
43 以下にリストされた「ディレクティブ」に対するテーブルのインデックス番号。
46 これは他と重ならない方が良いが、重なっても構わない。
47 .IP ".100 -- errorFlag"
48 このテーブルエントリにエラーが見つかった場合に、
50 .IP ".101 -- errorMsg"
51 上記の errorFlag を引き起こすエラーを説明する「表示文字列」。
52 .\"sato: DISPLAY-STRING に対応する訳語はあるのかな?
53 .IP ".102 -- errorFix"
54 このエントリが SNMPset から整数 1 で、
55 かつ上で定義されている errorFlag が 1 の場合、
58 .\"sato: 1 行目の SNMPset to the integer value of 1 がよくわからない。
59 実行されるプログラムはコンパイル時に config.h ファイルで設定される。
63 .IP "proc NAME MAX MIN"
66 エージェントのマシンで稼働しているかをチェックする。
68 "/bin/ps -e" で表示されるプロセステーブルにない場合、
70 mib コラムの 1.3.6.1.4.1.2021.2.1.100 と
71 1.3.6.1.4.1.2021.2.1.101 に (それぞれ) 渡される。
73 MAX と MIN が指定されない場合、MAX は
75 (無限大) で MIN は 1 であると仮定される。
77 MAX は指定されているが、MIN は指定されていない場合、
79 .IP "procfix NAME PROG ARGS"
80 このディレクティブは、NAME で指定されたプロセスで発生したエラーを
82 NAME で指定されたプログラムに対して 1.3.6.1.4.1.2021.2.1.102 が
83 整数値 1 に設定された場合、このコマンドが呼び出される。
84 呼び出されるプログラムのデフォルトは、コンパイル時の値であり、
85 config.h ファイルの PROCFIXCMD で定義される。
86 .IP "exec NAME PROG ARGS"
87 .IP "exec MIBNUM NAME PROG ARGS"
90 エージェントは PROG という名前のプログラムを引き数 ARGS を付けて実行し、
91 プログラム PROG の終了ステータスと標準出力の 1 行目を返す。
92 これらはそれぞれ mib コラムの 1.3.6.1.4.1.2021.8.1.100 と
93 1.3.6.1.4.1.2021.8.1.101 の値をクェリーしたものである。
94 標準出力の 1 行目以降は暗黙の内に省略される。
96 MIBNUM が指定された場合も、上と同じように動作するが、
97 終了ステータスを MIBNUM.100.0 に返し、
98 標準出力全体を mib テーブル内のテーブル MIBNUM.101 に返す。
99 このとき MIBNUM.101 mib には標準出力への出力全体が入り、
100 1 つの mib テーブルエントリには出力の 1 行分が入る
101 (つまり、出力の第 1 行は MIBNUM.101.1、
102 第 2 行は MIBNUM.101.2、... となる)。
105 MIBNUM はドット区切りの整数値表記でなければならない。
106 (.1.3.6.1... の代わりに) ".iso.org.dod.internet..." のように
110 実行したプログラムの終了ステータスと標準出力を 30 秒間キャッシュする。
111 これによりその後のテーブルのクェリーのスピードが上がり、
113 このキャッシュは 1.3.6.1.4.1.2021.100.VERCLEARCACHE を
114 整数 (1) に設定する snmp-set 要求により消去される。
116 .IP "execfix NAME PROG ARGS"
117 このディレクティブは NAME で指定された
118 実行プログラムまたはシェルスクリプトで発生した
119 エラーを修正するためのコマンドを登録する。
121 1.3.6.1.4.1.2021.8.1.102 が整数値 1 に設定されると、
123 呼び出されるプログラムのデフォルトは、コンパイル時の値であり、
124 config.h ファイルの EXECFIXCMD で定義される。
126 .IP "disk PATH [ MINSPACE | MINPERCENT% ]"
128 PATH にマウントされたディスクの使用可能なディスク容量をチェックする。
129 ディスク容量が MINSPACE (kB) より少ない場合、
130 または % 記号を指定して MINPERCENT (%) より少ない場合、
131 または DEFDISKMINIMUMSPACE (kB) が指定されていない場合、
132 1.3.6.1.4.1.2021.9.1.100 mib テーブルの関連するエントリが (1) に設定され、
134 1.3.6.1.4.1.2021.9.1.101 のクェリーによって返される。
137 .IP "load MAX1 MAX5 MAX15"
140 1 分間・5 分間・15 分間の平均がそれぞれの最大値を超えている場合は、
141 1.3.6.1.4.1.2021.10.1.100 と 1.3.6.1.4.1.2021.10.1.101 をクェリーして、
142 エラーフラグ (1) とテキスト文字列のエラーメッセージを返す。
143 MAX1, MAX5, MAX15 の値のうち指定されていないものは、
144 デフォルトの DEFMAXLOADAVE になる。
145 .IP "file FILE [MAXSIZE]"
146 ファイルサイズを監視し、(キロバイトで) 指定されたサイズを
148 MAXSIZE が指定されていない場合のデフォルトは無限大になり、
153 1.3.6.1.4.1.2021.101.1.100 フラグと
154 1.3.6.1.4.1.2021.101.1.101 テキスト文字列をクェリーして表示される。
156 snmp マスターエージェントで AgentX サポートを有効にするためには、
157 snmpd.conf ファイルに以下のような行を書き込めばよい:
159 このサポートはまだ実験的なもので、製品版のシステムでは使用すべきではない。
160 詳細は README.agentx を参照すること。
163 のような SMUX ベースのサブエージェントを有効にするためには、
167 .IP "smuxpeer OID PASS"
170 .I smuxpeer .1.3.6.1.4.1.4.1.3 secret
173 エージェントが UCD-DLMOD-MIB のサポートを組み込んでいる場合、
175 起動時に \fIdlmod\fR ディレクティブを使って動的にロードしたり、
176 実行中に UCD-DLMOD-MIB を使って動的にロードすることができる。
177 以下のディレクティブは、モジュール名プレフィックスが NAME である
178 共有オブジェクトモジュールファイル PATH をロードする。
179 .IP "dlmod NAME PATH"
182 snmpd は RFC 2275 で規定されている
183 View-Based Access Control Model (vacm) をサポートしている。
184 このため、snmpd は設定ファイルにある
185 \fIcom2sec\fR, \fIgroup\fR, \fIaccess\fR, \fIview\fR
187 また簡単に使用するためのラッパーディレクティブ
188 \fIrocommunity\fR, \fIrwcommunity\fR,
189 \fIrouser\fR, \fIrwuser\fR も認識する。
190 .IP "rocommunity COMMUNITY [SOURCE] [OID]"
191 .IP "rwcommunity COMMUNITY [SOURCE] [OID]"
192 これらディレクティブは読み込みしかできないコミュニティと
194 エージェントにアクセスするために使用する。
195 これらは以下の \fIcom2sec\fR, \fIgroup\fR,
196 \fIaccess\fR, \fIview\fR ディレクティブ行を簡単に使うための方法である。
197 これらは効率的ではなく、グループが作成されないために
199 言い換えれば、複雑な状態を設定する場合には使用してはならない、
202 SOURCE のフォーマットは、以下の \fIcom2sec\fR ディレクティブセクションで
204 OID トークンは、コミュニティのアクセスを、
205 指定された OID 以下のものだけに制限する。
206 .IP "rouser USER [noauth|auth|priv] [OID]"
207 .IP "rwuser USER [noauth|auth|priv] [OID]"
208 SNMPv3 USM ユーザーを VACM アクセス設定テーブルに作成する。
209 これもまた、\fIcom2sec\fR, \fIgroup\fR, \fIaccess\fR, \fIview\fR
210 ディレクティブを組み合わせて使用した方が効率的 (かつ強力) である。
212 ユーザーが使用しなければならない認証とプライバシーの最低レベルを
213 最初のトークンで指定する (デフォルトは "auth" である)。
214 OID パラメータは、そのユーザーのアクセスを、
215 指定された OID 以下のものだけに制限する。
216 .IP "com2sec NAME SOURCE COMMUNITY"
217 このディレクティブはソース (SOURCE) とコミュニティ (COMMUNITY) のペアから
218 セキュリティ名 (NAME) へのマッピングを指定する。
219 SOURCE はホスト名・サブネット・\fI"default"\fR である。
220 サブネットは IP/MASK または IP/BITS で指定できる。
221 入ってくるパケットにマッチするソースとコミュニティの組み合わせが選択される。
222 .IP "group NAME MODEL SECURITY"
223 このディレクティブはセキュリティモデル (MODEL) と
224 セキュリティ名 (SECURITY) のペアから
225 グループ名 (NAME) へのマッピングを定義する。
226 MODEL は \fIv1\fR, \fIv2c\fR, \fIusm\fR のいずれか 1 つである。
227 .IP "access NAME CONTEXT MODEL LEVEL PREFX READ WRITE NOTIFY"
228 access ディレクティブはグループセキュリティと
229 モデルセキュリティのレベルを、あるビュー (view) にマップする。
230 MODEL は \fIany\fR, \fIv1\fR, \fIv2c\fR, \fIusm\fR のいずれか 1 つである。
231 LEVEL は \fInoauth\fR, \fIauth\fR, \fIpriv\fR のいずれか 1 つである。
232 PREFX は入ってくる pdu の内容に対する
233 CONTEXT のマッチの方法を指定するもので、
234 \fIexact\fR または \fIprefix\fR である。
235 READ, WRITE, NOTIFY はビューに対応するアクセス方法を指定するのに使われる。
236 v1 または v2c のアクセスでは、LEVEL は noauth、
238 .IP "view NAME TYPE SUBTREE [MASK]"
239 このディレクティブは指定した名前のビュー (view) を定義する。
240 TYPE は \fIincluded\fR または \fIexcluded\fR である。
241 MASK は 16 進数で表した 8 ビットを
242 \&'.' または ':' で区切ってリストにしたものである。
243 MASK が指定されていない場合のデフォルトは "ff" である。
246 テーブルの 1 つの行 (row) へのアクセスを制御することにある。
247 例えば、ISP ではそれぞれの顧客に対して
248 顧客ごとのインタフェースにアクセスさせたいと考えるかもしれない:
251 view cust1 included interfaces.ifTable.ifEntry.ifIndex.1 ff.a0
252 view cust2 included interfaces.ifTable.ifEntry.ifIndex.2 ff.a0
254 (interfaces.ifTable.ifEntry.ifIndex.1 == .1.3.6.1.2.1.2.2.1.1.1 で
255 ff.a0 == 11111111.10100000 である。
256 これは行インデックスをうまい具合いにカバーして含んでいるが、
257 行フィールドの変更をユーザーに許可している。)
260 # sec.name source community
261 com2sec local localhost private
262 com2sec mynet 10.10.10.0/24 public
263 com2sec public default public
266 group mygroup v1 mynet
267 group mygroup v2c mynet
268 group mygroup usm mynet
270 group local v2c local
271 group local usm local
272 group public v1 public
273 group public v2c public
274 group public usm public
276 # incl/excl subtree mask
277 view all included .1 80
278 view system included system fe
279 view mib2 included .iso.org.dod.internet.mgmt.mib-2 fc
281 # context sec.model sec.level prefix read write notify
282 access mygroup "" any noauth exact mib2 none none
283 access public "" any noauth exact system none none
284 access local "" any noauth exact all all all
285 .IP "デフォルトの VACM モデル"
286 最初の状態でのエージェントのデフォルトの設定は、
289 com2sec public default public
290 group public v1 public
291 group public v2c public
292 group public usm public
294 access public "" any noauth exact all none none
297 .IP "engineID STRING"
298 snmpd エージェントが SNMPv3 メッセージに応答するためには
300 設定ファイルにこの行があれば、STRING から engineID を設定する。
301 engineID のデフォルト値は、マシンのホスト名に対して見つかる
303 .IP "createUser username (MD5|SHA) authpassphrase [DES] [privpassphrase]"
304 このディレクティブは、他の場所にある通常の設定ファイルではなく、
305 "/var/ucd-snmp"/snmpd.conf ファイルに書くべきである。
306 その理由は、情報がこのファイルから読み込まれた後、
307 この行が削除され (ユーザーのマスターパスワードの格納場所から消去されて)、
308 この行から得られるキーに置き換えられるためである。
310 盗まれたとしても他のエージェントにアクセスするのには使えない。
311 しかしパスワードが盗まれた場合は、他のエージェントにアクセスできる。
313 MD5 と SHA は使用される認証タイプであるが、
314 SHA を使用するためにはインストールされている openssl を使って
316 現在のところプライバシープロトコルがサポートされているのは DES のみである。
317 プライバシーパスフレーズが指定されていない場合、
318 認証パスフレーズと同じであると仮定される。
319 上で説明した VACM アクセス制御テーブルに入れなければ、
320 作成したユーザーの使い道がない点に注意すること。
322 警告: パスフレーズは少なくとも 8 文字である。
325 コマンドを用いれば、実行中に SNMPv3 ユーザーを作成することができる。
328 .IP "syslocation STRING"
329 .IP "syscontact STRING"
331 エージェントが置かれているシステムの場所 (location)・
332 連絡先 (contact)・名前 (name) を設定する。
333 この情報は mibII ツリーの 'system' グループに設定される。
334 通常、これらのオブジェクト (sysLocation.0, sysContact.0 and sysName.0) は
336 ただし、これらのオブジェクトの値に適切なトークンを付加して指定すれば、
337 そのオブジェクトを読み込みのみにすることができ、
339 notWritable エラーレスポンスを返すようにできる。
340 .IP "sysservices NUMBER"
341 system.sysServices.0 オブジェクトの値を設定する。
343 .IP "agentaddress [(udp|tcp):]port[@address][,...]"
345 指定したソケットのリストでエージェントのリストを作成する。
346 複数のポートをコンマで区切って指定できる。
347 トランスポート名 ("udp" または "tcp")・コロン・ポート名のようにして、
349 特定のインタフェースにバインドするために、
352 .I "agentaddress 161,tcp:161,9161@localhost"
353 のように指定すれば、エージェントに対して、
354 全てのアドレスの udp ポート 161・全てのアドレスの tcp ポート 161・
355 localhost のアドレスに関連づけられた
356 インタフェースの udp ポート 9161 を監視 (listen) させることができる。
359 使用するデフォルトのトランスポートマッピングを変更することができる
360 (上記の例では、デフォルトのトランスポートマッピングは
363 .IP "agentgroup groupid"
364 ポートをオープンした後で、グループ ID を指定した値に変更する。
365 groupid はグループ名またはグループ番号である。
369 の場合は、エージェントを snmp グループで動作させる。
371 の場合は、エージェントをグループ ID 10 番で動作させる。
373 ポートをオープンした後で、ユーザー ID を指定した値に変更する。
374 userid はユーザー名またはユーザー番号である。
378 の場合は、エージェントをユーザー snmp で動作させる。
380 の場合は、エージェントをユーザー ID 10 番で動作させる。
381 .IP "interface NAME TYPE SPEED"
382 エージェントがタイプやスピードの推測に失敗したインタフェースに対して、
383 このディレクティブで追加の情報を提供することができる。
384 TYPE は IANAifType-MIB で指定されるタイプである。
385 .IP "ignoredisk STRING"
386 使用可能なディスクデバイスをスキャンする場合、
387 エージェントは使用可能なディスクデバイスをオープンするときに
389 これによってデバイスツリーを辿っているときにタイムアウトが起るかもしれない。
390 次に辿ったときにタイムアウトになるかもしれないし、
393 このような現象が起った場合は、このディレクティブを追加し、
394 チェックしない (つまりオープンしない) 全てのデバイスを指定する。
395 設定ファイルにこのディレクティブを 1 つ以上の指定して、
397 bourne シェルの文法の似たワイルドカードを使って、
398 デバイスを指定することもできる (下記の例を参照すること)。
401 全てのシステムでスキャンされるデバイスのリストは、
402 ソース (host/hr_disk.c) を見て、
403 OS タイプに対応した Add_HR_Disk_entry() コールをチェックすること。
407 ignoredisk /dev/rdsk/c0t2d0
410 デバイス /dev/rdsk/c0t2d0 をスキャンさせないようにする。
412 ignoredisk /dev/rdsk/c0t[!6]d0
414 このディレクティブは /dev/rdsk/c0t6d0 を除く /dev/rdsk/c0tXd0 の
415 全てのデバイスをスキャンさせないようにする。
416 多くのシステムで同様なディレクティブとしては以下のものがある:
418 ignoredisk /dev/rdsk/c0t[0-57-9a-f]d0
420 ignoredisk /dev/rdsk/c1*
422 このディレクティブは、/dev/rdsk/c1 で始まる名前のデバイスを
425 ignoredisk /dev/rdsk/c?t0d0
427 このディレクティブは、デバイス /dev/rdsk/cXt0d0 ('X' は任意の文字) を
431 このようなワイルドカード表現を 2 つ以上使うことできる。
432 .IP "authtrapenable NUMBER"
433 authtrapenable を 1 に設定すると、
434 認証の失敗が起った場合にトラップを生成する。
435 デフォルトの値は disabled(2) である。
437 (snmpEnableAuthenTraps.0) は読み書き可能であるが、
438 このトークンを使って値を設定すると読み込みだけになり、
439 オブジェクトの値を設定しようとした場合には
440 notWritable エラーレスポンスを返す。
441 .IP "trapcommunity STRING"
443 デフォルトのコミュニティ文字列を定義する。
444 このコマンドはコミュニティ文字列を使う以下の 3 つのコマンドより
445 前に使用しなければならない点に注意すること。
446 .IP "trapsink HOST [COMMUNITY [PORT]]"
447 .IP "trap2sink HOST [COMMUNITY [PORT]]"
448 .IP "informsink HOST [COMMUNITY [PORT]]"
449 これらのコマンドはトラップを受信する (通知を送る先の) ホストを定義する。
450 このデーモンは起動時に Cold Start トラップを送る。
451 有効になっている場合は、認証が失敗したときにもトラップを送る。
452 \fItrapsink\fR, \fItrap2sink\fR, \fIinformsink\fR 行を複数指定すれば、
454 \fItrap2sink\fR は SNMPv2 トラップを送るのに使う。
455 \fIinformsink\fR は通知を発行するのに使う。
456 COMMUNITY が指定されていない場合、
457 以前に \fItrapcommunity\fR ディレクティブで指定した文字列が使われる。
459 良く知られている SNMP トラップポート (162) が使われる。
460 .IP "trapsess [SNMPCMD_ARGS] HOST [COMMUNITY]"
461 これはより基本的なトラップ設定トークンで、
462 任意のトラップ送信先タイプと任意の SNMP バージョンを指定できる。
467 ここで挙げた引き数に加えて、特別な引き数 \fI-Ci\fR があり、
468 unacknowledged トラップではなく通知を使用することを指定する。
470 バージョン番号 v2c または v3 を指定する必要がある)。
472 .IP "proxy [SNMPCMD ARGS] HOST OID [REMOTEOID]"
476 このトークンは受信した OID 以下の任意のリクエストを HOST に中継して渡す。
477 通常はローカルの OID ツリーを新しい REMOTEOID という場所に変更する。
481 詳細は snmpcmd の man ページを参照すること。
485 proxy -v 1 -c public remotehost .1.3.6.1.4.1.2021
487 proxy -v 3 -l noAuthNoPriv -u user remotehost .1.3.6.1.3.10 .1.3.6.1.2.1.1
489 .IP "pass MIBOID EXEC"
490 MIBOID の全制御を EXEC プログラムに渡す。
491 EXEC プログラムは以下の 3 つのうちの 1 つの方法で呼び出す:
496 これらの呼び出しは SNMP get と getnext リクエストにマッチする。
497 EXEC プログラムは渡された引き数を受け取り、
498 レスポンスを標準出力に返すと仮定されている。
500 標準出力の 1 行目は返り値の mib OID である。
501 2 行目は返される値の TYPE である。
503 .BR string ", " integer ", " unsigned ", " objectid ", "
504 .BR timeticks ", " ipaddress ", " counter ", " gauge
506 標準出力の 3 行目は返された TYPE に対応する VALUE である。
508 例えば .1.3.6.1.4.100 へリクエストが送られたときに
509 スクリプトが整数値 "42" を返す場合、
510 スクリプトは以下の 3 行を返さなければならない:
520 end-of-mib 条件や不正なリクエスが原因で、
522 単純に exit して標準出力に何も返さなければよい。
523 SNMP NO-SUCH-NAME レスポンスに対応する snmp エラーが生成される。
524 .IP "EXEC -s MIBOID TYPE VALUE"
526 SNMP set リクエストを送るには、上の方法を用いる。
527 EXEC プログラムに渡される TYPE は、テキスト文字列
528 .BR integer ", " counter ", " gauge ", " timeticks ", "
529 .BR ipaddress ", " objid ", " string
531 これらは次の引き数で渡される VALUE のタイプを表す。
533 標準出力に何も返さなかった場合は、set が成功したものと仮定する。
534 それ以外の場合としては、エラーを示すために
543 write (つまり snmpset) が許可されるコミュニティは、
545 上で説明した "community" トークンで別に定義した
547 どのコミュニティに書き込みアクセスを許可するかは、
548 ソースファイル snmplib/snmp_impl.h の
555 pass .1.3.6.1.4.1.2021.255 /path/to/local/passtest
557 .IP "pass_persist MIBOID EXEC"
558 MIBOID の全ての制御を EXEC プログラムに渡す。
559 pass と似ているが、EXEC プログラムは
560 最初のリクエストに返答した後も稼働し続ける。
562 初期化の際には、EXEC に対して標準入力から文字列 "PING\\n" が渡され、
563 標準出力に "PONG\\n" を表示して返答する。
565 get または getnext リクエストを送るには、
566 EXEC プログラムにコマンド (get または getnext) と
568 EXEC プログラムは、mib OID・返される VALUE の TYPE・
569 返された TYPE に対応する VALUE という 3 行を返す。
571 例えば、.1.3.6.1.4.100 の値をリクエストする場合は、
580 値、つまり 42 を返すために、スクリプトは以下のような書き出しを行う:
590 end-of-mib 条件または不正なリクエストが原因で、
591 スクリプトがリクエストに応答できないことを表すには、
592 標準出力に "NONE\\n" を書き出す。
596 pass_persist .1.3.6.1.4.1.2021.255 /path/to/local/pass_persisttest
599 上記の情報が実際の例でどのように使われているかについては、
600 ソースのトップディレクトリにある EXAMPLE.CONF ファイルを参照すること。
601 .SH snmpd.conf と snmpd.local.conf の再読み込み
602 ucd-snmp エージェントは設定ファイルを再読み込みさせることが可能である。
603 以下の 2 つのうちの 1 つを実行すればよい:
605 snmpset で UCD-SNMP-MIB::versionUpdateConfig.0
606 (.1.3.6.1.4.1.2021.100.11.0) を整数 (1) に設定する。
608 snmpd エージェントプロセスに "kill -HUP" シグナルを送る。
610 /usr/share/snmp/snmpd.conf
612 snmpconf(1), snmp.conf(5), snmp_config(5), snmpd(1), EXAMPLE.conf, read_config(3).