网络设备出了故障，如果没人盯着，可能要等用户打电话投诉才知道。SNMP就是让监控平台主动收集设备状态、主动告警的技术。Zabbix、Prometheus、iMC这些监控平台背后都是通过SNMP和设备通信的。今天说说H3C设备上SNMP怎么配。
SNMP是什么
SNMP全称简单网络管理协议，是网络设备管理的标准协议。它的角色分两部分：管理端（NMS，网络管理系统）和被管理端（Agent，运行在设备上）。NMS通过SNMP协议向Agent发查询请求，Agent返回设备状态信息。Agent也可以主动发送Trap告警给NMS。
SNMP有三个版本，版本差异主要是安全机制。
SNMPv1：最老的版本，用community字符串做认证（类似密码），明文传输。安全性差，不推荐用。
SNMPv2c：v2的社区版，也是community认证明文传输。功能比v1强（支持批量获取）但安全性一样差。目前使用最广泛，因为很多监控平台默认支持。
SNMPv3：增加了用户认证和加密。支持USM（用户安全模型）做MD5/SHA认证和DES/AES加密。安全性高但配置复杂，老设备或监控平台可能不支持。
实际部署中常见做法：内部网用v2c（安全风险可控），公网或高安全场景用v3。
H3C设备上怎么配
v2c配置最简单：
snmp-agent
snmp-agent sys-info version v2c
snmp-agent community read public
snmp-agent community write private
三行命令的含义：
使能SNMP Agent。
设备运行SNMPv2c。
读community是public（NMS用这个字符串查询设备）。
写community是private（NMS用这个字符串修改设备配置）。
community字符串就是密码，不要用public和private这种默认值。改成复杂的字符串：
snmp-agent community read MyR3ad0nly2026
snmp-agent community write MyWr1te2026Key
配置Trap让设备主动告警：
snmp-agent target-host trap address udp-domain 10.1.1.100 params securityname MyR3ad0nly2026 v2c
snmp-agent trap enable
target-host指定Trap接收端（监控平台）的地址。trap enable使能所有模块的Trap告警。当设备端口down、风扇故障、CPU利用率高等事件发生时，自动发Trap给监控平台。
v3配置更安全：
snmp-agent sys-info version v3
snmp-agent group v3 mygroup privacy read-view iso write-view iso
snmp-agent usm-user v3 myuser mygroup authentication sha myauthpass123 privacy aes128 myprivpass456
v3需要创建用户组（group）和用户（usm-user）。认证算法用SHA，加密算法用AES128。两个密码分开：authentication是认证密码，privacy是加密密码。
让监控平台能看什么
配置SNMP后，监控平台可以通过SNMP查询设备几乎所有的运行参数：
接口状态：端口up/down、带宽利用率、丢包率、错包率。这是最基础的监控。
CPU和内存利用率：设备负载情况。
设备温度和风扇：硬件健康状态。
路由表和ARP表：网络连通性诊断。
配置变更：有人改了配置可以告警。
在Zabbix里添加H3C设备时，配置SNMP接口参数（地址、端口161、community字符串），然后关联对应的模板。H3C交换机/路由器/防火墙在Zabbix社区都有现成模板。
和iMC联动
H3C自己的iMC平台和H3C设备的SNMP集成更深。iMC不仅做SNMP监控，还能做配置管理（自动备份配置）、用户管理（EIA准入）、流量分析（NTA）。
iMC发现设备时填SNMP参数即可自动纳管。纳管后可以看到拓扑图、告警列表、性能报表等。如果项目用了H3C设备，iMC比第三方监控平台的体验更好，因为厂商适配更深入。
安全加固
SNMP虽然方便但也有安全风险。community字符串泄露后任何人都能读取甚至修改设备配置。建议做到以下几点。
修改默认community。public和private必须改掉，用复杂字符串。
限制SNMP访问来源。只允许监控平台IP访问设备的SNMP端口：
acl basic 2000
rule permit source 10.1.1.100 0.32
rule deny
snmp-agent community read MyR3ad2026 acl 2000
配了ACL后只有10.1.1.100能用SNMP访问设备，其他IP的SNMP请求被拒绝。
优先用v3。如果监控平台支持v3，尽量不用v2c。v3的加密认证比community安全得多。
关闭不需要的Trap模块。默认trap enable开了所有模块的Trap，有些告警没用还刷屏。按需开启：
undo snmp-agent trap enable
snmp-agent trap enable standard
排障
监控平台收不到数据。先在监控平台上手动做SNMP walk测试，看能不能拿到设备信息。如果是超时，检查网络连通性和ACL配置。如果返回空，检查community字符串和SNMP版本是否匹配。
Trap收不到。检查target-host配置的地址和端口是否正确。默认Trap端口162。在设备上display snmp-agent trap看已发送的Trap计数，如果发送计数增加但监控平台没收到，可能是网络不通或防火墙挡了162端口。
v3认证失败。检查认证和加密算法两端是否一致。v3的SHA/AES配置必须NMS和设备完全匹配，一个不匹配就认证失败。
H3CIE-RS+的GB0-802笔试中SNMP属于网络管理模块考点，考SNMP v1/v2c/v3的区别。H3CSE-RS-iMC的GB0-961考试中SNMP是iMC的基础协议。SNMP配置简单但安全细节多，生产环境要重视安全加固。润天教育作为H3C钻石级授权培训中心，路由交换和iMC课程中都有SNMP实验环节，千万级真机实验室可以对接Zabbix或iMC做完整的监控集成实验。
