Pourquoi SNMP, et pourquoi la version 3
Un commutateur n'accepte pas d'agent. Pour l'inventorier, GLPI l'interroge par SNMP, un protocole ancien et universel que tout équipement réseau parle.
Les versions comptent, et ce n'est pas un détail de configuration.
SNMP v1 et v2c n'ont pas d'authentification. Un mot de communauté circule en clair sur le réseau, et la communauté par défaut, public, est connue de tous. Quiconque capture le trafic obtient la clé et peut interroger l'équipement : modèle, version de firmware, tables de ports, voisins. C'est une cartographie offerte.
SNMP v3 apporte l'authentification et le chiffrement. C'est la seule version à utiliser sur un réseau de production.
Le triplet de v3
Trois niveaux existent, et un seul mérite d'être retenu.
| Niveau | Authentification | Chiffrement |
|---|---|---|
| noAuthNoPriv | non | non |
| authNoPriv | oui | non |
| authPriv | oui | oui |
En authPriv, deux secrets distincts sont définis : un mot de passe d'authentification, avec un algorithme de hachage, et un mot de passe de confidentialité, avec un algorithme de chiffrement. Utilisez deux secrets différents ; les réutiliser annule l'intérêt de la séparation.
Côté équipement, la configuration tient en deux instructions : créer un groupe en version 3 avec le niveau priv, puis créer un utilisateur rattaché à ce groupe, avec ses deux secrets.
Le piège de l'algorithme
GLPI ne supporte pas tous les algorithmes. Sur les versions 10.0 de la branche courante, le chiffrement attendu est AES 128.
Configurer AES 256 sur le commutateur, ce que beaucoup font par réflexe de sécurité, produit un équipement qui répond parfaitement aux outils réseau et reste muet pour GLPI. Le symptôme est déroutant : la découverte trouve l'équipement, l'inventaire échoue sans détail.
Vérifiez ce que supporte votre version avant de configurer la flotte, et non après.
Restreindre l'accès
Deux mesures simples, souvent omises.
Limiter les interrogations aux adresses autorisées, par une liste de contrôle d'accès sur l'équipement. Seule la machine portant l'agent qui fait l'inventaire réseau a besoin d'interroger les commutateurs.
Rester en lecture seule. GLPI n'a jamais besoin d'écrire. Un compte SNMP en écriture sur un équipement réseau permet de le reconfigurer, ce qui n'est pas un risque théorique.
Uniformiser, ou souffrir
Le même utilisateur SNMP, avec les mêmes secrets, doit être configuré sur tous les équipements du même lot.
Un parc où chaque commutateur a ses propres identifiants oblige à créer autant d'identifiants SNMP dans GLPI, et à les associer un par un. Le jour d'un changement de secret, l'opération devient une corvée que personne ne fait, et les secrets ne changent jamais.
La configuration se pousse en quelques lignes par un outil d'automatisation, ce qui évite l'oubli d'un équipement isolé.
À retenir
SNMP v2c diffuse une communauté en clair : cartographie offerte. Utilisez v3 en authPriv, avec deux secrets distincts. Vérifiez que l'algorithme est celui que votre version de GLPI supporte, AES 128 sur la branche 10.0. Limitez les adresses autorisées, restez en lecture seule, et uniformisez sur tout le lot.