Equipos de red

Para qué sirve#

Con Equipos de red ves el estado de tus switches, routers, firewalls y puntos de acceso: si responden, cuánto usan de CPU y memoria, qué interfaces están caídas o saturadas, la temperatura y con qué equipos vecinos se conectan. Los consulta un gateway desde adentro de tu red; los equipos nunca necesitan salir a internet.

Conceptos que vas a ver:

• SNMP v3: el protocolo estándar con el que casi todos los equipos de red informan su estado. La versión 3 usa usuario y claves; es la única que usa Lymen.
• Trampas (traps): avisos que el equipo manda por su cuenta cuando pasa algo (por ejemplo, una interfaz se cae).
• Syslog: los mensajes de registro que el equipo manda a un servidor.
• Ping: la prueba más simple, para saber si el equipo contesta.
• Perfil: un conjunto de datos propios de un fabricante (Cisco, MikroTik…) que se suman a lo estándar.

Cuándo usarlo#

• Querés saber cuándo se cae un switch o un enlace antes de que llamen de la sala.
• Querés ver qué interfaces están saturadas.
• Querés recibir las trampas y el syslog de tus equipos en un solo lugar.

El principio de seguridad: vos aprobás, el gateway obedece#

Lymen solo consulta lo que aprobaste en el archivo red-permitidos.yaml del propio gateway. Lo que no figura ahí se rechaza, aunque se lo pidas desde el portal. Es un archivo del servidor, de root, que el programa lee pero no puede cambiar. Un archivo ausente, roto o con campos desconocidos significa "todo denegado".

Además, las credenciales SNMP v3 se cargan en el Llavero con el alcance Solo en tu red y quedan selladas para ese gateway: ni Lymen puede leerlas.

Requisitos#

1. Un gateway activo en Linux. El instalador de Windows hoy no incluye el monitoreo de equipos de red.
2. Una credencial SNMPv3 en el Llavero, con alcance Solo en tu red, sellada para ese gateway. Sin credencial, solo podés usar ping.
3. Los equipos con SNMP v3 habilitado y con el usuario creado.
4. El archivo red-permitidos.yaml con las direcciones de los equipos.

Paso a paso#

1. Aprobar los equipos en el gateway#

Editá /etc/lymen-agent/red-permitidos.yaml en el servidor gateway (como root):

version: 1
monitorear: [10.20.0.15, 192.168.5.0/24]
descubrir: [10.20.0.0/24]
escuchar:
  trampas: "0.0.0.0:162"
  syslog: "0.0.0.0:514"

El instalador lo crea con version: 1 y las listas vacías. Los cambios en monitorear y descubrir se toman solos (el archivo se vuelve a leer cuando cambia); si cambiás escuchar, reiniciá el servicio lymen-red. En el portal vas a ver lo aprobado dentro de un minuto.

2. Dar de alta el equipo#

1. Agregar datos › Equipos de red › Agregar equipo (o Equipos de red › Agregar equipos).
2. Completá el formulario (campos en la tabla de abajo).
3. Si la dirección todavía no está aprobada en el gateway, el portal te lo avisa: se guarda igual, pero no se consulta hasta que la agregues a monitorear.
4. Tocá Agregar.

3. O buscarlos en un rango#

Buscar en un rango pregunta por SNMP v3 a cada dirección de un rango y te muestra los equipos que respondieron, para que elijas cuáles dar de alta.

1. Elegí el gateway que busca (el portal muestra los rangos aprobados para buscar).
2. Escribí el rango, por ejemplo 10.20.0.0/24. Tiene que estar completo dentro de uno aprobado en descubrir.
3. Marcá hasta 3 credenciales SNMPv3 para probar.
4. Tocá Buscar. Puede tardar unos minutos según el tamaño del rango.
5. Marcá los equipos que quieras y tocá Agregar N equipos. Cada uno toma el nombre que él mismo informa y la credencial con la que respondió.

Si pedís un rango no aprobado, el gateway lo rechaza sin mandar un solo paquete y el portal te explica por qué.

Límites de la búsqueda: rangos IPv4 de /22 a /30 (hasta 1.024 direcciones), hasta 200 equipos encontrados, 100 pedidos por segundo en total y 16 en paralelo, para no molestar a tu red. Solo un descubrimiento a la vez por gateway.

Campos del equipo#

En el equipo, además, tenés que apuntar las trampas y el syslog a la dirección del gateway.

El archivo red-permitidos.yaml#

Está en /etc/lymen-agent/red-permitidos.yaml, es de root, y se lee sin reiniciar (salvo escuchar). Máximo 64 KB y 200 entradas entre monitorear y descubrir.

Solo se aceptan redes privadas: 10.x, 172.16 a 172.31, 192.168.x, 100.64 a 100.127 e IPv6 fc00::/7. Una dirección pública, de loopback, de enlace local (169.254.x) o multicast no se acepta ni escrita a mano. Los rangos tienen que estar bien escritos (10.20.0.0/24, no 10.20.0.5/24).

Perfiles de fabricante#

Todos los equipos se leen con lo estándar (interfaces, tráfico, errores, descartes, vecinos por LLDP o CDP, CPU y memoria cuando el equipo los publica). Los perfiles suman datos propios de cada marca:

Qué ves de cada equipo#

En Equipos de red hay una lista con resumen y buscador (por nombre, dirección, fabricante o etiqueta), con los equipos con problemas primero. El detalle muestra: fabricante y perfil, modelo, gateway, credencial, frecuencia, último dato, estado de SNMP y de ping (con milisegundos), CPU, memoria, temperatura, qué más escucha, Interfaces (estado, tráfico de entrada y salida, uso del enlace, errores y descartes por hora) y Vecinos. Podés Editar y Eliminar el equipo, y ponerle etiquetas. Los equipos también aparecen en Topología, con el interruptor Red.

Estados de un equipo: Responde, Caído, Sin datos y Sin permiso del gateway (la dirección no está aprobada en red-permitidos.yaml).

Ejemplo completo#

# /etc/lymen-agent/red-permitidos.yaml
version: 1
monitorear:
  - 10.20.0.1            # router del edificio
  - 10.20.0.10           # switch core
  - 192.168.5.0/24       # puntos de acceso Wi-Fi
descubrir:
  - 10.20.0.0/24         # para buscar equipos nuevos en la red de sistemas
escuchar:
  trampas: "0.0.0.0:162"
  syslog: "0.0.0.0:514"

Problemas comunes#