Un monde d'octets

Par défaut, le serveur ssh d'un équipement h3c écoute sur toutes les ip configurées sur celui-ci. Le fait de mettre une acl isolant le vlan d'administration ne suffit donc pas à pleinement restreindre les accès à celui-ci. Il faut placer une acl sur les interface vty.

Voici un exemple :

acl number 2000 name ssh-pty-restriction
rule 0 permit source 10.1.0.0 0.0.0.255
quit

user-interface vty 0 3
acl 2000 inbound
quit

user-interface vty 0 4
acl 2000 inbound
quit

A l'issu de ces règles, l'accès au ssh de votre équipement n'est plus possible que pour le range 10.1.0.0/24

Un save, et tout cela est pérénisé !

Nous paramétrons les switchs (H3C) pour envoyer les trappes à notre serveur de supervision :

snmp-agent target-host trap address udp-domain 10.2.0.40 params securityname PRIVCOMMUNITY

Nos paramétrons le démon snmptrapd comme suit (fichier /etc/snmp/snmptrapd.conf) :

disableAuthorization yes
authCommunity log,execute PRIVCOMMUNITY
traphandle IF-MIB::linkUp /usr/local/bin/snmp-link-up-handler

Voici le contenu de la commande snmp-link-up-handler :

#!/usr/bin/perl -w

while (<>)
{
  chomp;
  if (/SNMP-COMMUNITY-MIB::snmpTrapAddress.0/)
  {
    $ip=$_;
    $ip=~ s/.* //;
  }

  if (/IF-MIB::ifIndex/)
  {
    $port=$_;
    $port=~ s/.* //;
  }

}

system "/usr/local/bin/getmacbyswitchport $ip $port";

Quant à la commande getmacbyswitchport, elle interroge le switch d'ip ip pour avoir la liste des adresses mac connectées au port port, et envoie le contenu dans une base de données.

#!/bin/bash

database=/var/lib/h3cinventory/inventory.sqlite

date=`date`
macadresses=`/usr/local/bin/h3cquery.exp $1 | grep -i "1/0/$2\s" | awk '!x[$1]++ {print $1}'`
for f in $macadresses
do 
  echo "delete from inventory where macadress='$f';" 
  echo "insert into inventory values ('$f','$1',$2,'$date');"
done | sqlite $database

la commande h3cquery.exp est un script expect qui se connecte en ssh au switch passé en argument et fait un "dis mac-address".

la base de données à comme structure l'unique table définie comme suit :

create table inventory (macadress text,switch text, port integer, lastseen text);

Voici un peut script utilisant la commande expect qui permet d'interroger la table de bridge d'un switch.
Le script s'appelle comme suit :

h3cquery.exp ip_switch [Mac Adress]

L'adresse mac doit être précisée sous la forme XXXX-XXXX-XXXX.
Si vous ne précisez pas d'adresse mac, vous verrez toute la table de bridge du switch.

#!/usr/bin/expect -f

set force_conservative 0 ;
if {$force_conservative} {
set send_slow {1 .1}
proc send {ignore arg} {
sleep .1
exp_send -s -- $arg
}
}

set timeout -1
set macaddress [lindex $argv 1]
set server [lindex $argv 0]
spawn ssh admin@$server
expect "password: "
send "********"
send "\r"
expect ">"
send "screen-length disable\r"
expect ">"
send "dis mac-address $macaddress \r"
expect {
  "More" {send -- " " ; exp_continue}
  ">" {send -- "quit\r"}
}