📡 Supervision (Monitoring) – SNMP, NetFlow, Logs & Outils

ICMP (Internet Control Message Protocol) est un protocole de Couche 3 (Réseau) utilisé pour le diagnostic et les messages d'erreur (il n'transporte pas de données utilisateur).

Ping (Echo Request / Echo Reply)

C'est l'outil de base de la supervision de disponibilité.

La commande ping envoie un paquet ICMP Type 8 (Echo Request) à une destination.

Si la destination est joignable, elle répond avec un paquet ICMP Type 0 (Echo Reply).

Usage en Supervision (Nagios, Zabbix...)

Le NMS "ping" toutes les 1 ou 5 minutes chaque appareil critique (serveur, routeur) :

• Réponse reçue (temps=10ms) : Hôte = UP.
• "Request Timed Out" (Perte) : Hôte = DOWN (-> Alerte !).

fping (Fast Ping) est un outil (Linux) similaire à ping, mais optimisé pour la supervision de multiples cibles (scanning).

ping vs fping

• ping (séquentiel) : Envoie paquet 1, attend réponse 1. Envoie paquet 2, attend réponse 2. (Lent pour 1000 hôtes).
• fping (parallèle) : Envoie 1000 paquets (mode round-robin) puis écoute les réponses. (Très rapide).

Exemple d'usage

Scanner tout un sous-réseau (-g) et n'afficher que les hôtes "Alive" (-a) :

$ fping -a -g 192.168.1.0/24

192.168.1.1 is alive
192.168.1.10 is alive
192.168.1.50 is alive

C'est souvent le moteur utilisé par les NMS (Nagios, Zabbix) pour le "Network Discovery".

Smokeping est un outil de supervision (open-source) spécialisé dans la visualisation de la qualité de la connexion (Latence, Gigue, Perte).

Fonctionnement (RRDtool)

Il "ping" (ou utilise d'autres sondes) en continu (ex: 20 pings toutes les 5 minutes) des cibles (ex: 8.8.8.8, votre passerelle FAI, votre serveur web).

Il stocke les résultats (Latence min/max/moyenne, Perte) dans une base de données RRDtool (Round Robin Database), qui est optimisée pour les données "Time-Series" (horodatées).

Résultat (Le "Smokegraph")

Il génère des graphiques "Smokegraphs" :

• L'axe X est le temps (ex: 24h).
• L'axe Y est la latence (ex: 0-100ms).
• La zone "pleine" (Médiane) est en vert.
• La "fumée" (en gris) représente la Gigue (Jitter) (la variation entre min/max).
• Les barres rouges représentent la Perte (Loss).

Permet de voir en un coup d'œil si un lien WAN est stable ou non.

SNMP utilise deux modes de communication (sur des ports UDP différents).

Exemple :
1. Le Port Fa0/1 tombe (DOWN).
2. L'Agent (Switch) envoie immédiatement
   un "SNMP TRAP" au Manager (NMS).
3. Message : "Port Fa0/1 est DOWN !"

(Le NMS n'a pas eu à attendre le
 prochain cycle de polling de 5 min
 pour le découvrir).

L'écosystème NetFlow nécessite un "Collector" et un "Analyzer".

Outils Open Source

• nfdump / nfsen : (CLI / Web) Outils (Linux) de base. nfdump capture et filtre les flux. nfsen est une ancienne interface web pour nfdump.
• Elastiflow : Un pipeline moderne basé sur ELK Stack. Utilise Logstash pour recevoir les flux et Kibana pour les visualiser (très puissant).

Outils Commerciaux (NMS)

• PRTG Network Monitor : Intègre un collecteur de flux (NetFlow, sFlow).
• SolarWinds NTA (NetFlow Traffic Analyzer) : Module spécialisé pour SolarWinds Orion.

Le Stack ELK (Elastic) est la solution open-source leader pour l'agrégation et l'analyse de logs (Log Management).

C'est le moteur de nombreux SIEM (Security Information and Event Management).

Composants (ELKB)

[Serveurs/Routeurs] ──(Logs)──► [ BEATS ]
                                   │
                                   ▼
                             [ LOGSTASH ]
 (Collecte, Parse (Grok), Enrichit)
                                   │
                                   ▼
                       [ ELASTICSEARCH ]
 (Base de données NoSQL. Indexe, Stocke)
                                   │
                                   ▼
                               [ KIBANA ]
 (Interface Web, Visualisation, Dashboards)

• Beats : Agents légers (ex: Filebeat lit /var/log, Packetbeat analyse le réseau).
• Logstash : Le pipeline "ETL". Reçoit de Beats, parse les logs (via filtres Grok) pour les structurer (de "Login failed for user bob" à {user: "bob", status: "failed"}).
• Elasticsearch : La base de données NoSQL qui stocke et indexe ces logs structurés (JSON).
• Kibana : L'interface web (UI) pour rechercher, visualiser et créer des dashboards.

Alternatives populaires à ELK pour la gestion de logs (SIEM).

Nagios est le NMS "classique" (open-source), très robuste. Icinga 2 est un fork moderne de Nagios.

Modèle "Check-Based" (Basé sur les Vérifications)

Nagios est un ordonnanceur (scheduler). Il n'effectue aucune supervision lui-même. Il se contente d'exécuter des scripts (Plugins) à intervalle régulier.

Plugin : Un script (Bash, Perl, Python) qui vérifie UNE chose et retourne un code de sortie.

(Exemple : check_ping)
$ /usr/lib/nagios/plugins/check_ping -H 8.8.8.8 -w 100,5% -c 200,10%
OK - 8.8.8.8: rta 10.5ms, lost 0% | ...
$ echo $?
0

Codes de Sortie (États)

Zabbix est une solution de supervision "tout-en-un" (open-source) qui concurrence Nagios, mais avec une approche plus intégrée.

Prometheus est la solution open-source (CNCF) de monitoring de référence pour les environnements Cloud Native (Conteneurs, Kubernetes, Microservices). Il est souvent couplé à Grafana pour la visualisation.

Nécessite le paquet snmp (net-snmp-utils).

snmpget

Récupérer un seul OID.

# Usage: snmpget -v [version] -c [community] [IP] [OID]

# Récupérer le sysUpTime (temps écoulé)
$ snmpget -v2c -c public 192.168.1.1 1.3.6.1.2.1.1.3.0

snmpwalk

"Marcher" dans l'arbre OID (GETNEXT).

# Usage: snmpwalk -v [version] -c [community] [IP] [OID_de_départ]

# "Walker" toute la table des interfaces
$ snmpwalk -v2c -c public 192.168.1.1 1.3.6.1.2.1.2

# "Walker" la description des interfaces (ifDescr)
$ snmpwalk -v2c -c public 192.168.1.1 .1.3.6.1.2.1.2.2.1.2
ifDescr.1 = STRING: "FastEthernet0/1"
ifDescr.2 = STRING: "FastEthernet0/2"