Checklist de acesso aos equipamentos

Rede, portas, usuário dedicado e SNMP de leitura: o que liberar em cada equipamento antes da implantação.

O Zaindu Core coleta os dados a partir do servidor da plataforma. Para isso, o servidor precisa alcançar a gerência de cada equipamento e ter um usuário próprio nele. Use esta lista antes da implantação e sempre que cadastrar um equipamento novo.

1. Alcance de rede

• Cada equipamento precisa de um IP de gerência que o servidor alcance.
• Se a gerência está em rede privada (o caso mais comum), a ligação é feita por um túnel VPN entre a sua rede e o servidor, configurado na implantação. Seus equipamentos não precisam ficar expostos na internet.
• Se existe NAT entre o túnel e o equipamento, cada porta usada (SSH, TL1, SNMP, API) precisa estar encaminhada. Porta fechada no NAT aparece na plataforma como falta de leitura, não como equipamento parado.
• Libere o acesso de gerência apenas para o IP do servidor da plataforma (ou do túnel), por lista de acesso no próprio equipamento ou no firewall à frente dele.

2. Protocolos por tipo de equipamento

• SSH: a porta padrão é 22. Se o equipamento usa outra, informe no cadastro.
• SNMP: a coleta usa a versão 2c, somente leitura, na porta UDP 161 padrão ou na que você informar.
• TL1 (só Nokia): a porta de TL1 é cadastrada à parte. Se a OLT está atrás de NAT, essa porta também precisa ser encaminhada.
• Syslog PPPoE: o concentrador envia os eventos de sessão para o servidor, em UDP 514 por padrão; só os IPs de concentrador cadastrados são aceitos.
• Traps da Parks: a OLT envia avisos de Dying-Gasp, queda de link e LOS de PON para o servidor, em UDP 10162.
• Telnet não é usado na coleta. Se a sua política permite, mantenha a gerência só por SSH.

3. Usuário dedicado

1. Crie em cada equipamento um usuário exclusivo para o Zaindu Core. Não reutilize o usuário de administrador nem o de um técnico.
2. Dê o menor privilégio que atende ao uso. Só monitoramento pede usuário de leitura. Provisionar, reiniciar e excluir ONU pela plataforma exige privilégio de configuração na OLT. Em roteadores de borda e BNG, leitura basta.
3. Use senha forte, longa e diferente de todas as outras da rede. Evite espaço e aspas na senha e na comunidade SNMP: esses caracteres quebram a linha de comando em vários fabricantes.
4. Restrinja o login desse usuário ao IP do servidor, quando o equipamento permitir.
5. Confira se o equipamento aceita sessões simultâneas suficientes: a plataforma abre uma sessão por equipamento, e a sua equipe continua precisando das dela.

Se trocar a senha no equipamento, atualize no cadastro da plataforma no mesmo momento. A coleta recua quando o equipamento recusa o login, e uma segunda recusa seguida abre um incidente crítico de credencial recusada.

4. SNMP somente leitura

• Crie uma comunidade de leitura exclusiva. A plataforma nunca precisa de comunidade de escrita, e uma comunidade de escrita exposta é porta aberta para quem descobrir a string.
• Não use a comunidade padrão de fábrica.
• Restrinja o SNMP ao IP do servidor, quando o equipamento permitir.
• No inventário de equipamentos, a plataforma gera o script de SNMP de leitura do fabricante (Nokia, Huawei, ZTE, Parks e RouterOS). O script é mostrado para conferência; nada é aplicado sozinho.

5. Boas práticas que valem para tudo

• Um usuário por sistema: se amanhã você precisar cortar o acesso da plataforma, basta desativar um usuário.
• Guarde as credenciais só no cofre da plataforma. Não mande senha em grupo de mensagens.
• Registre no equipamento, se ele permitir, uma descrição no usuário dizendo para que ele serve.
• Revise a lista de acesso quando o IP do servidor ou do túnel mudar.

Leia também