本文档介绍如何在华为交换机上配置 SNMPv3 Trap并使用 tcpdump 进行抓包验证确保 Trap 报文能够正常发出。一、适用场景设备华为交换机V200R 系列及兼容版本目标配置 SNMPv3认证加密使交换机能够向网管系统发送 Trap 告警验证方式通过 tcpdump 抓包确认 Trap 报文是否正常发出二、完整配置步骤2.1 清空现有 SNMP 配置如需从零开始HUAWEIsystem-view[HUAWEI]undo snmp-agent2.2 按顺序执行配置命令# 1. 开启 SNMP 代理[HUAWEI]snmp-agent# 2. 设置版本为纯 v3禁用 v1/v2c[HUAWEI]snmp-agent sys-info version v3# 3. 创建 MIB 视图用于控制可访问的节点范围[HUAWEI]snmp-agent mib-view included iso-view iso# 4. 创建 v3 组⚠️ 关键必须指定 notify-view[HUAWEI]snmp-agent group v3 admin-group privacy notify-view iso-view read-view iso-view write-view iso-view# 5. 创建 v3 用户交互式设置密码[HUAWEI]snmp-agent usm-user v3 user01[HUAWEI]snmp-agent usm-user v3 user01 group admin-group# 设置认证协议和密码推荐 SHA[HUAWEI]snmp-agent usm-user v3 user01 authentication-mode sha# 系统提示输入认证密码8-64位输入后回车确认# 设置加密协议和密码推荐 AES128[HUAWEI]snmp-agent usm-user v3 user01 privacy-mode aes128# 系统提示输入加密密码8-64位输入后回车确认# 6. 配置 Trap 目标主机[HUAWEI]snmp-agent target-hosttrapaddress udp-domain192.168.30.132 params securityname user01 v3 privacy# 7. 全局开启 Trap 功能[HUAWEI]snmp-agenttrapenable2.3 配置要点说明步骤关键参数说明版本设置version v3仅启用 v3禁用不安全的 v1/v2cGroupnotify-view必配控制 Trap 能发送哪些 MIB 节点缺失将导致 Trap 被丢弃认证协议sha比 md5 更安全加密协议aes128比 des56 更安全推荐使用Target-hostv3 privacy指定使用 v3 且认证加密三、验证配置3.1 查看配置是否生效# 查看 SNMP 版本display snmp-agent sys-info version# 查看目标主机display snmp-agent target-host# 查看 v3 用户display snmp-agent usm-user# 查看 group 配置确认 notify-view 是否存在display snmp-agent group# 查看 MIB 视图display snmp-agent mib-view3.2 预期结果display snmp-agent sys-info versionPolling 和 Trap 均只显示 SNMPv3 enabledisplay snmp-agent target-host只有一条记录Version 为 v3Level 为 Privacydisplay snmp-agent usm-user显示用户存在状态为 active认证和加密协议已配置四、触发 Trap 事件4.1 通过拔插网线触发链路状态变化找一个空闲的物理口如 GigabitEthernet0/0/3# 确认端口未被 shutdowninterface GigabitEthernet0/0/3 display this|includeshutdown确认端口正常后插入网线另一端接笔记本或测试设备等待 3 秒然后拔出。4.2 检查事件是否产生# 查看 trapbuffer 是否有链路日志display trapbuffer# 查看 SNMP 统计关键是 Trap-PDU sentdisplay snmp-agent statistics|include Trap-PDU如果 Trap-PDU sent 计数增加说明交换机已尝试发送 Trap。五、使用 tcpdump 抓包验证5.1 在网管侧执行抓包登录到目标主机Trap 接收端如 192.168.30.132执行以下命令# 实时查看是否有 SNMP 报文发向本机 162 端口sudotcpdump-iany-n-vvport162# 如需保存为 pcap 文件供后续分析sudotcpdump-iany-n-vvport162-wsnmp_trap.pcap5.2 正常结果纯 v3成功配置后抓包应显示类似内容具体输出可能因加密而无法完全解析但头部会明确显示 SNMPv3IP 192.168.30.232.55470 192.168.30.132.snmptrap: { SNMPv3 { Useruser01 } ... }关键特征✅ 报文头部明确显示 SNMPv3✅ 没有 SNMPv2c 或 C“xxxxx”团体字字段✅ 报文内容为密文无法直接读取 OID加密生效5.3 异常结果排查抓包结果可能原因解决方案无任何报文交换机未尝试发送 Trap检查 group 是否配置 notify-view检查 snmp-agent trap enable 是否开启出现 SNMPv2c C“xxx”仍有 v2c 通道未删除执行undo snmp-agent target-host ... v2c删除有 SNMPv3 报文但网管无响应认证/加密密码不匹配核对网管侧密码与交换机完全一致六、常见故障notify-view 缺失导致 Trap 发不出6.1 问题现象✅display trapbuffer有链路日志事件已产生❌display snmp-agent statistics中 Trap-PDU sent 不增加❌ tcpdump 无任何报文6.2 问题配置snmp-agent group v3 admin-group privacy这条命令缺少notify-view参数。6.3 原理说明Group 参数作用对 Trap 的影响read-view控制 Get/GetNext 可读的 MIB 节点不影响 Trapwrite-view控制 Set 可写的 MIB 节点不影响 Trapnotify-view控制 Trap 可发送的 MIB 节点未配置则 Trap 被丢弃在华为交换机中read-view 和 write-view 有默认值ViewDefault但 notify-view 没有默认值必须手动指定。6.4 修复方法system-view undo snmp-agent group v3 admin-group privacy snmp-agent group v3 admin-group privacy notify-view ViewDefault read-view ViewDefault write-view ViewDefault quit save修复后重新拔插网线触发事件Trap-PDU sent 计数应增加tcpdump 能抓到 SNMPv3 报文。七、附录A. 常用诊断命令速查# 查看 SNMP 统计Trap-PDU sent 是关键指标display snmp-agent statistics|include Trap-PDU# 查看 trapbuffer 日志display trapbuffer# 清空 trapbuffer测试用reset trapbuffer# 查看目标主机配置display snmp-agent target-host# 查看 v3 用户详情display snmp-agent usm-user# 查看 group 配置display snmp-agent group# 查看 MIB 视图display snmp-agent mib-view# 查看端口状态display interface briefB. 查看 v3 用户的认证与加密方式display snmp-agent usm-user输出示例User name: user01 Engine ID: 800007DB0350464A79E60D active Authentication Protocol: sha# 认证方式Privacy Protocol: aes128# 加密方式Group name: admin-groupAuthentication Protocol认证协议sha / md5 / 无Privacy Protocol加密协议aes128 / des56 / aes256 / 无C. tcpdump 常用选项# 基本用法tcpdump-iany-n-vvport162# 指定网卡如 eth0tcpdump-ieth0-n-vvport162# 只抓取来自交换机的包以 IP 过滤tcpdump-iany-n-vvsrchost192.168.30.232 and port162# 保存为 pcap 文件tcpdump-iany-n-vvport162-w/tmp/trap.pcap# 读取 pcap 文件分析tcpdump-n-vv-r/tmp/trap.pcapD. 支持的认证与加密协议华为交换机认证协议加密协议md5des56shaaes128sha2-256部分新版本aes192 / aes256部分新版本