ありがとうございます。

CSCO10795163 · ‎2016-03-11

皆様

ASAのSNMPトラップについて質問があります。

ASA起動時にColdStartトラップが監視機器にあがる想定でいましたがあがっておらず、

ASAと接続している機器でパケットキャプチャしてもifindex(LinkUp)のトラップは通過しているものの

ColdStartのトラップが通過している形跡はありませんでした。

ASA起動時にASAからColdStartトラップを出しているものの、LinkUp前にColdStartトラップを

出しているため接続先の通過に至っていない、そのため監視機器にもあがっていないという見解で

いるのですが正しいでしょうか？

モデル：ASA5515X-K9

OSバージョン：9.4(2)6

参考になるCiscoサイトの情報があれば併せていただけると助かります。

Akira Muranaka · ‎2016-03-11

CSCO10795163さん、こんばんわ！

実機で試したほうが早いかなと思い、少しバージョンは違いますが、行ってみました。 9.5(2)5と 9.4(2)6はリリース時期がほぼ同じなので、修正されている不具合には大きな変わりはないと思います。

SNMP設定はColdstartのみ有効化します。ASAは Portfastが有効なCatalystに直結し、幾つかスイッチを経由し、SNMPサーバに疎通可能です。

ciscoasa/pri/act(config)# sh run | in snmp-server
snmp-server host outside xx.xx.xx.xx community ***** version 2c
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp coldstart
no snmp-server enable traps snmp authentication linkup linkdown warmstart
!
ciscoasa/pri/act(config)# sh ver | in Version
Cisco Adaptive Security Appliance Software Version 9.5(2)5
Device Manager Version 7.5(2)

ASAはサーバなので、完全に電源OFFするには1分以上電源ケーブルを抜く必要があったはずです。再度電源ケーブルを挿して起動したところ、以下のColdStartのTrapをSNMPサーバ側で確認できました。

ASAのTrap送信タイミングですが、ASAが SNMP server側のInterfaceがUPし少し立ってからSNMP Trapを送付しているようです。その為、ASAがリンクアップ検知して送付時に接続スイッチのポートや経路が上がってない場合はTrapは失われてしまうと思います。

ColdStartのOIDは 1.3.6.1.6.3.1.1.5.1でした。そのため、OIDは以下のPIX/ASA資料のころと変わりがなさそうです。

抜粋：

PIX ソフトウェア 4.0 以降を使用するときには、次のトラップを生成できます。
cold start = 1.3.6.1.6.3.1.1.5.1
link_up = 1.3.6.1.6.3.1.1.5.4
link_down = 1.3.6.1.6.3.1.1.5.3

http://www.cisco.com/cisco/web/support/JP/100/1008/1008073_pixsnmp-j.html#trapsinsidetooutside

上記が切り分けのご参考になれば幸いです。

CSCO10795163 · ‎2016-03-14

ありがとうございます。

電源ボタンによる落とし上げと電源ケーブルの抜き差しでは同じ電源断でも異なる

ということですね。

電源ボタンによる落とし上げとコマンドによるリロードは実施したものの電源ケーブルの

抜き差しは実施していなかったので実施してみます。

実施したら結果を伝えます。