B2-28 Supervision : SNMP, Zabbix, alertes

1. Pourquoi superviser ?

Superviser, c'est mesurer en continu l'état des équipements et des services, comparer ces mesures à des seuils et prévenir quelqu'un quand un seuil est franchi. L'objectif n'est pas de constater la panne, mais de la voir venir : un disque qui se remplit, une interface qui sature, un service qui redémarre en boucle.

On distingue deux familles de questions :

• DisponibilitéEst-ce que ça marche ? Le serveur répond au ping, le service web renvoie 200, l'interface est up. Réponse binaire : oui ou non.
• PerformanceEst-ce que ça marche bien ? Temps de réponse, charge du processeur, mémoire, débit d'une interface. Réponse chiffrée, que l'on suit dans le temps.
• CapacitéEst-ce que ça marchera encore dans un mois ? Remplissage des disques, croissance du trafic. On prolonge la courbe pour anticiper un achat.

2. Une heure commune : NTP

Avant de superviser, tous les équipements doivent avoir la même heure. Sinon, impossible de reconstituer une panne : le routeur dit que l'interface est tombée à 03:12, le serveur dit que la sauvegarde a échoué à 02:47… alors que c'était la même seconde. L'heure exacte sert aussi à la sécurité : l'authentification Kerberos de l'Active Directory refuse les machines décalées de plus de 5 minutes, et les certificats ont des dates de validité.

NTP (Network Time Protocol, port UDP 123) distribue l'heure en cascade. Chaque niveau s'appelle une strate : plus le numéro est petit, plus on est près de l'horloge de référence.

Sur Debian 13, le client NTP par défaut est systemd-timesyncd (fichier /etc/systemd/timesyncd.conf, vérification avec timedatectl) ; chrony le remplace quand la machine doit aussi servir l'heure. Sur Windows, le contrôleur de domaine principal se synchronise sur la source interne (w32tm /config /manualpeerlist:172.16.50.252 /syncfromflags:manual /update) et les postes du domaine suivent automatiquement.

3. SNMP : interroger les équipements

SNMP (Simple Network Management Protocol) est le langage commun des équipements réseau : routeurs, commutateurs, imprimantes, onduleurs, pare-feu, bornes Wi-Fi. Tous embarquent un petit agent SNMP qui répond aux questions d'un gestionnaire (le serveur de supervision).

Chaque information qu'un agent peut fournir porte un identifiant unique, l'OID, rangé dans un arbre. La MIB est le dictionnaire qui donne un nom lisible et un sens à chaque OID.

4. Versions de SNMP et configuration Cisco

En v1 et v2c, la communauté sert de mot de passe… et circule en clair dans chaque requête. Trois protections s'imposent : une communauté non devinable, l'accès en lecture seule (RO) et une liste d'accès qui n'autorise que les postes de supervision.

Depuis un poste Debian, le paquet snmp fournit snmpget et snmpwalk pour tester avant de configurer l'outil de supervision :

Dans le résultat, INTEGER: 1 signifie up et 2 down (valeurs définies par la MIB). Sans les fichiers MIB installés, Debian affiche les OID en chiffres (iso.3.6…) : c'est normal.

5. Zabbix : l'architecture

Zabbix est un logiciel libre de supervision, très répandu en entreprise. La version 7.0 LTS (support long) s'installe sur Debian 13 depuis le dépôt officiel de Zabbix. Il collecte des valeurs par plusieurs moyens : son propre agent installé sur les serveurs, SNMP pour les équipements réseau, le ping ICMP, des requêtes web, IPMI pour le matériel.

6. Hôtes, éléments, modèles et déclencheurs

Dans Zabbix, tout s'organise autour de quatre objets. Ce sont les mots de l'interface (en français : menu Collecte de données → Hôtes) :

• Hôte (host)Ce qu'on supervise : un serveur, un routeur, une imprimante. Il a un nom, un ou plusieurs groupes et des interfaces (agent sur 10050, SNMP sur 161 avec sa communauté).
• Élément (item)Une valeur mesurée, identifiée par une clé : system.cpu.util (processeur), vfs.fs.size[C:,pused] (disque C: utilisé, en %), icmpping, ou un OID SNMP. Chaque élément a un intervalle (1 min) et une durée de conservation.
• Modèle (template)Un lot d'éléments, de déclencheurs et de graphiques prêt à l'emploi : Windows by Zabbix agent, Linux by Zabbix agent, Cisco IOS by SNMP, ICMP Ping. On lie le modèle à l'hôte au lieu de tout créer à la main.
• Déclencheur (trigger)Une condition sur un élément, avec une sévérité. Quand elle devient vraie, Zabbix crée un problème ; quand elle redevient fausse, le problème est résolu.

Les modèles découvrent aussi automatiquement ce qui existe sur l'hôte (découverte de bas niveau) : chaque disque, chaque interface du commutateur reçoit ses éléments sans saisie. Les réglages communs passent par des macros, par exemple {$SNMP_COMMUNITY} pour la communauté SNMP.

Un déclencheur s'écrit avec une fonction appliquée à un élément, désigné par /hôte/clé :

last(/SRV-01/vfs.fs.size[C:,pused])>85              disque C: rempli à plus de 85 %
avg(/SRV-01/system.cpu.util,10m)>90                 processeur à plus de 90 % en moyenne sur 10 min
max(/R1/icmpping,3m)=0                              R1 ne répond plus au ping depuis 3 min
last(/SW1/net.if.status[ifOperStatus.10101])=2      interface Gi0/1 de SW1 down

7. Les alertes : prévenir la bonne personne

Un problème qui reste affiché dans un tableau de bord que personne ne regarde ne sert à rien. Zabbix envoie des notifications grâce à trois réglages :

• Type de médiaLe canal : courriel (serveur SMTP), webhook vers une messagerie d'équipe (Teams, Slack, Mattermost, ntfy), SMS. Menu Alertes → Types de média.
• Média de l'utilisateurL'adresse de chaque technicien sur ce canal, avec ses heures et les sévérités qu'il veut recevoir. Menu Utilisateurs → Utilisateurs → Média.
• ActionLa règle : « si un problème de sévérité Haut ou plus survient sur le groupe Serveurs, prévenir le groupe Support ». Menu Alertes → Actions → Actions de déclencheur. Elle peut escalader : prévenir le responsable si personne n'a acquitté au bout de 30 min.

Quand un technicien prend en charge un problème, il l'acquitte dans Zabbix avec un commentaire : ses collègues savent que quelqu'un s'en occupe, et l'escalade s'arrête. Le lien avec l'outil de tickets (GLPI) se fait par webhook ou à la main : chaque alerte importante devient un ticket.

Uptime Kuma et Zabbix ne se font pas concurrence : Kuma, très simple, vérifie depuis l'extérieur que les services répondent et publie une page d'état pour les utilisateurs ; Zabbix suit de l'intérieur des centaines de valeurs, avec historique et seuils. Beaucoup d'équipes utilisent les deux.

8. Dépanner la supervision

Quand un hôte reste rouge ou qu'un élément ne reçoit rien, remonte la chaîne dans l'ordre, du réseau vers l'application :

1. Joignable ? ping depuis SRV-SUP vers l'hôte.
2. Port ouvert ? nc -zv 172.16.50.10 10050 (agent) ; pour SNMP, un snmpget qui répond.
3. Autorisé ? Communauté et liste d'accès SNMP, ligne Server= de l'agent, pare-feu Windows.
4. Bien déclaré ? Adresse et port de l'interface de l'hôte, nom d'hôte identique à Hostname= pour l'agent actif, modèle lié.
5. Que dit Zabbix ? Icône de disponibilité (ZBX, SNMP) de l'hôte et message d'erreur au survol, menu Surveillance → Dernières données, journal /var/log/zabbix/zabbix_server.log.

R1# show running-config | include snmp|access-list 10
access-list 10 permit host 172.16.99.20
snmp-server community BL-Supervision RO 10

Received empty response from Zabbix Agent at [172.16.50.10].
Assuming that agent dropped connection because of access permissions.

root@srv-sup:~# ping -c 2 172.16.50.15
2 packets transmitted, 2 received, 0% packet loss
root@srv-sup:~# nc -zv -w 3 172.16.50.15 10050
nc: connect to 172.16.50.15 port 10050 (tcp) timed out

R1# show running-config | include ntp
ntp server 0.fr.pool.ntp.org
R1# show ntp status
Clock is unsynchronized, stratum 16, no reference clock

Expression : last(/SRV-WEB/vfs.fs.size[/,pused])>85
Dernières valeurs : 84,9 · 85,2 · 84,8 · 85,1 · 84,9

9. À l'examen et en entreprise

10. L'essentiel

1. Superviser = collecter, stocker, comparer à un seuil, alerter : voir la panne venir plutôt que la subir.
2. Trois questions : disponibilité (ça marche ?), performance (ça marche bien ?), capacité (ça marchera encore ?).
3. NTP (UDP 123) donne la même heure à tous : indispensable pour comparer les journaux, pour Kerberos et les certificats. Strate 16 = non synchronisé.
4. SNMP : le gestionnaire interroge l'agent sur UDP 161 ; l'agent envoie ses traps sur UDP 162.
5. OID = identifiant d'une information dans l'arbre ; MIB = dictionnaire des OID. sysName = 1.3.6.1.2.1.1.5.0.
6. v1 et v2c : communauté en clair → lecture seule, nom non devinable, liste d'accès. v3 : utilisateur, authentification et chiffrement.
7. Zabbix : serveur, base de données, interface web ; agent passif (TCP 10050) ou actif (TCP 10051) ; SNMP pour le réseau ; proxy pour un site distant.
8. Hôte → éléments (clés) apportés par un modèle → déclencheurs avec une sévérité → problème.
9. Alerte = type de média + média de l'utilisateur + action (avec escalade) ; le technicien acquitte.
10. Pas d'alerte sans action à mener : durées, deux seuils, dépendances, pas d'alerte sur les ports des postes.

Les commandes clés

Tout cela tient sur une page : utilise le bouton Mémo à imprimer en haut de la fiche.

11. Quiz noté

12. Exercices : à toi de répondre

Écris ta réponse sous chaque énoncé et envoie-la à ton professeur. Quand il l'a validée, le corrigé s'affiche à la place du cadenas ; s'il te la renvoie « à revoir », lis son commentaire et corrige.

13. Fil rouge : superviser Brocéliande Logistique