snmptt conf配置文件详解

SNMPTT.CONF 配置文件格式

配置文件（通常/etc/snmp/snmptt.conf 或者c:\snmpsnmptt.conf）包含了一列已定义的traps。
如果你的snmptt.conf文件比较大，可以将其细分为多个文件，将这些配置文件包含在snmptt.ini文件中的snmptt_conf_files部分，如：

 snmptt_conf_files = < /etc/snmp/snmptt.conf.generic
 /etc/snmp/snmptt.conf.compaq
 /etc/snmp/snmptt.conf.cisco
 /etc/snmp/snmptt.conf.hp
 /etc/snmp/snmptt.conf.3com
 END

snmptt.conf文件的语法为：

 EVENT event_name event_OID "category" severity
 FORMAT format_string
 [EXEC command_string]
 [NODES sources_list]
 [MATCH [MODE=[or | and]] | [$n:[!][(    ) | n | n-n | > n | < n | x.x.x.x | x.x.x.x-x.x.x.x | x.x.x.x/x]]
 [REGEX (    )(    )[i][g][e]]
 [SDESC]
 [EDESC]

注：EVENT和FORMAT行是必须的。在[]中的命令是可选的。不要在配置文件中包含[]s

1. EVENT

EVENT event_name event_OID "category" severity
event_name:
不能包含空格。当使用snmpttconvertmib转换时，这个名字将与MIB文件中TRAP-TYPE或者NOTIFICATION-TYPE行的名字匹配
event_OID:
一般形式如：.1.3.6.1.4.1.232.0.11001
如果Net-SNMP perl模块安装，并且在snmptt.ini文件中设置了net_snmp_perl_enable为开启，则可以使用符号名，如：
linkDown
IF-MIB::linkDown
注：当翻译OID时，Net-SNMP 5.0.9 和更早的版本不支持包含模块名字（如：IF-MIB::) 。SNMP V1 traps 的企业ID格式为(.1.3.6.1.4.1.232) ,后面跟上一个0，再跟上trap号（11001）。这样可能导致在配置文件中相同的trap OID存在多条定义。如果在snmptt.ini文件中允许了multiple_event，那么将处理所有匹配的traps。如果multiple_event禁止，只有第一个匹配的条目被使用

OID中可以使用通配符，例如：.1.3.6.1.4.1.232.1.2.*
category:
特色字符串包含在双引号中。如果为“IGNORE”，则snmptt.conf中包含的FORMAT和EXEC都忽略。
如果类型为“LOGONLY”,则trap信息被日志记录，EXEC声明被忽略。
注：如果你打算使用Naigos等外部程序，则最好不要设置任何trap为LOGONLY，就好像不要使用EXEC来进行被动服务检查。
severity：
事件的级别，用于日志。如：Minor,Major,Normal,Critical,Warning。

2 FORMAT

FORMAT format_string
每个EVENT只能有一行FORMAT
使用如下的变量在字符串上进行变量替换：

 $A - Trap agent host name (see Note 1)
 $aA - Trap agent IP address
 $Be - securityEngineID (snmpEngineID) (see Note 7)
 $Bu - securityName (snmpCommunitySecurityName) (see Note 7)
 $BE - contextEngineID (snmpCommunityContextEngineID) (see Note 7)
 $Bn - contextName (snmpCommunityContextName) (see Note 7)
 $c - Category
 $C - Trap community string
 $D - Description text from SNMPTT.CONF or MIB file (see Note 6)
 $E - Enterprise trap OID in symbolic format
 $e  - Enterprise trap OID in number format
 $Fa  - alarm (bell) (BEL)
 $Ff  - form feed (FF)
 $Fn  - newline (LF, NL)
 $Fr  - return (CR)
 $Ft  - tab (HT, TAB)
 $Fz  - Translated FORMAT line (EXEC only)
 $G  - Generic trap number (0 if enterprise trap)
 $H  - Host name of the system running SNMPTT
 $S  - Specific trap number (0 if generic trap)
 $N  - Event name defined in .conf file of matched entry
 $i  - Event OID defined in .conf file of matched entry (could be a wildcard OID)
 $O - Trap OID in symbolic format (see Note 4)
 $o - Trap OID in numerical format (see Note 4)
 $R, $r  - Trap hostname (see Note 1)
 $aR, $ar - IP address
 $s  - Severity
 $T  - Uptime:  Time since network entity was initialized
 $X  - Time trap was spooled (daemon mode) or current time (standalone mode)
 $x  - Date trap was spooled (daemon mode) or current date (standalone mode)
 $# - Number of (how many) variable-bindings in the trap
 $$  - Print a $
 $@ - Number of seconds since the epoch of when the trap was spooled (daemon mode) or the current time (standalone mode)
 $n  - Expand variable-binding n (1-n) (see Note 2,5)
 $+n  - Expand variable-binding n (1-n) in the format of variable name:value (see Note 2,3,5)
 $-n  - Expand variable-binding n (1-n) in the format of variable name (variable type):value (see Note 2,3,5)
 $vn  - Expand variable name of the variable-binding n (1-n)(see Note 3)
 $*  - Expand all variable-bindings (see Note 5)
 $+*  - Expand all variable-bindings in the format of variable name:value (see Note 2,3,5)
 $-*  - Expand all variable-bindings in the format of variable name (variable type):value (see Note 2,3,5)

注2： 如果snmptt.ini文件中的translate_integers被允许，SNMPTT将尝试查找MIB文件，将收到的trap中的数字转换为文本。为了使这个功能可用还有如下条件需要满足：必须安装了Net-SNMP/UCD-SNMP模块，并在snmptt.ini文件中开启了net_snmp_perl_enable选项。另外，为了是该功能可用，需要确保Net-SNMP/UCD-SNMP配置正确。如果选项开启，却没有将数字转换成文本，数字将会使用。如果MIB文件存在，但是却没有转换，需要在snmp.conf文件中正确配置，来处理所有的mibs。或者，你可以在snmptt.ini文件中设置mibs_enviroment变量为ALL.

注3：如果需要+n,$-n变量名和类型转换为文本，则也需要在snmptt.ini文件中开启net_snmp_perl_enable选项。 这个其实和注2一样。

注4：如果需要将数字的OID转换为文本，需要在snmptt.ini文件中，开启translate_trap_oid选项和net_snmp_perl_enable选项，并安装了Net-SNMP/UCD-SNMP模块。

注6：snmptt.ini文件中必须设置description_mode值为1或者2。 如果设置为1，描述从SNMPTT.CONF文件中获取。如果设置为2，描述从MIB文件中获取。

3 EXEC

[EXEC command_string]
可以一个EVENT，多行EXEC。
当一个trap接收到后，则按照顺序执行命令。
EXEC使用的变量替换跟FORMAT行中的一样。 例如：
EXEC /usr/bin/qpage -f TRAP alex "$r: $x $X - NIC switchover to slot $3, port $4 from slot $5, port $6"
EXEC c:\snmp\pager netops "$r: $x $X - NIC switchover to slot $3, port $4 from slot $5, port $6"

4 PREEXEC

[PREEXEC command_string]
每个EVENT，可以有多行PREEXEC
当一个trap收到后，在FORMAT和EXEC声明执行之前，要执行得语句和命令。外部程序的输出将保存在$pn变量中，n从1开始计数。当有多行PREEXEC时，第一个PREEXEC存储结果到$p1，第二个PREEXEC将结果存在$p2。要开启这个功能，需要在snmptt.ini文件中，设置pre_exec_enable选项
例子：

EVENT linkDown .1.3.6.1.6.3.1.1.5.3 "Status Events" Normal
FORMAT Link down on interface $1($p1). Admin state: $2. Operational state: $3
PREEXEC /usr/local/bin/snmpget -v 1 -Ovq -c public $aA ifDescr.$1

5 NODES

[NODES sources_list]
可以限制哪些设备可以映射为事件定义
每个EVENT，可以有多个NODES行。
sources_list中可以包含任意主机名、IP地址、网络地址或者文件名的组合。如果这个字符串被省略，则所有的设备都被接受。
如果想192.168.1.0/24网段的设备可以触发这个EVENT, 你可以使用一条NODE语句：
NODES 192.168.1.0/24
这里有两种操作模式，POS（positive-默认）和NEG(negative)。如果设置为POS，那么NODES中的任何一行匹配，则允许。如果设置为NEG，只有当NODES中都不匹配时，才允许。为了改变操作模式，使用如下声明：
NODES MODE=POS
NODES MODE=NEG
这个特色经常用在，对于相同的事件，一些需要按照常规处理，一些需要按照特殊处理。如
例一
NODES fred barney betty wilma
例二
NODES fred barney betty wilma
NODES MODE=NEG

6 MATCH

[MATCH [MODE=[or | and]] | [$n:[!][( )[i] | n | n-n | > n | < n | x.x.x.x | x.x.x.x-x.x.x.x | x.x.x.x/x]]
匹配这个MATCH的trap，才可以引发相应的EVENT定义。
如果一条MATCH声明已经存在，没有trap匹配它，默认的，没有EVENT定义会被匹配。
如下的perl正则表达式被支持：
i – 忽略大小写
如下的命令模式可用：

 MATCH MODE=[or | and]
 MATCH $x: [!] (reg) [i]
 MATCH $x: [!] n
 MATCH $x: [!] n-n
 MATCH $x: [!] < n
 MATCH $x: [!] > n
 MATCH $x: [!] & n
 MATCH $x: [!] x.x.x.x
 MATCH $x: [!] x.x.x.x-x.x.x.x
 MATCH $x: [!] x.x.x.x/x
 $x 是任意变量（如$3,$A等）
 reg是正则表达式
 ！ 是用于negate结果（非）
 & 相当于AND
 n 是一个数字
 x.x.x.x 是IP地址
 x.x.x.x-x.x.x.x 是IP地址段
 x.x.x.x/x 是IP段

注：如果为了基于IP地址/主机名来限制可以映射的EVENT的设备，推荐使用NODES关 键字。如果模式设置为’or’,只要有一条匹配，则认为结果是true；如果模式为and，只要有一 条匹配失败，则认为结果为false。在表达式中使用圆括号(),需要跟在\号之后。
如果没有MATCH MODE＝这样的行存在，默认为or。每个EVENT，只能有一条match mode存在。如果多行MATCH MODE＝存在，只有最后一样被使用。
例如：

 $2必须在1000到2000之间：MATCH $2: 1000-2000
 任何匹配(or)：$3等于52，或者$4是IP地址段192.168.1.10－192.168.1.20，或者severity为Major：
  MATCH $3: 52
  MATCH $4: 192.168.1.10-192.168.1.20
  MATCH $s: (Major)
 全部匹配(and): $3大于20，$5不包含关键词alarm或者critical, $6 必须字符串’(1)remaining’ , $7 必须包含字符串’power’，不管是大写还是小写：
  MATCH $3: >20
  MATCH $5: !(alarm|critical)
  MATCH $6: (\(1\) remaining)
  MATCH $7: (power)i
  MATCH MODE=and

7 REGEX

[REGEX( )( )[i][g][e]]
在translated FORMAT/ EXEC行 进行搜索和替换。
多个REGEX（）（）行被允许。
第一个()包含了查找的表达式；第二个()包含了替换的文本。
如下的Perl正则表达式被支持：

• i － 当匹配左侧时忽略大小写
• g － 替换所有匹配的部分，而不是仅替换查找到的第一个匹配
• e － 执行右侧的代码
  为了使用capture替换，或者e参数，需要在snmptt.ini文件中设置allow_unsafe_regex为1
  如果有多行REGEX，那么从上到下的处理，并且结果是累加的。即第二行处理第一行产生的结果。
  例1：

 处理前的FORMAT行：UPS has       detected a      building alarm.       Cause: UPS1 Alarm #14: Building alarm 3.
 REGEX (Building alarm 3)(Computer room high temperature)
 REGEX (Building alarm 4)(Moisture detection alarm)
 REGEX (roOm)(ROOM)ig
 REGEX (UPS)(The big UPS)
 REGEX (\s+)( )g
 处理后的FORMAT行：The big UPS has detected a building alarm. Cause: UPS1 Alarm #14: Computer ROOM high temperature

列2：

 处理前的FORMAT行：Alarm (1) and (2) has been triggered
 
 REGEX (\(1\))(One)
 REGEX (\(2\))((Two))
 处理后的FORMAT行：Alarm One and (Two) has been triggered

列3：

如果设置了allow_unsafe_regex，那么captures可以在替换部分使用
 处理前的FORMAT行：The system has logged exception error 55 for the service testservice
 REGEX (The system has logged exception error (\d+) for the service (\w+))(Service $2 generated error $1)
 处理后的FORMAT行：Service testservice generated error 55

列4：

如果设置了allow_unsafe_regex允许，并且使用了e参数，右侧的部分被执行。
 处理前的FORMAT行：Authentication Failure Trap from IP address: C0 A8 1 FE
 REGEX (Address: (\w+)\s+(\w+)\s+(\w+)\s+(\w+))("address: ".hex($1).".".hex($2).".".hex($3).".".hex($4))ei
 处理后的FORMAT行：Authentication Failure Trap from IP address: 192.168.1.254

8 SDESC EDESC

这两个标识符之间的是描述，会被snmptt忽略。

Tips1 SNMPTT.CONF 配置文件Notes

当在配置文件中对相同的trap存在多个定义时，如下的规则被应用：
A match occurs when:

• 接收到的trap的OID匹配配置文件中定义的OID
• AND（当主机名匹配NODES中定义的主机名，或者没有NODES定义）
• AND（MATCH部分匹配为true ，或者没有MATCH条目）

如果在snmptt.ini文件中设置multiple_event为1：

• 一个trap匹配配置文件中的多个定义，则被处理多次
• 如果所有的精确匹配都符合，那么通配符匹配将不执行
• 如果一个精确匹配不存在，通配符匹配被执行，假如（主机名匹配NODES中定义的主机或者没有NODES定义）和（MATCH部分匹配为真或者没有MATCH定义）

如果snmptt.ini文件中设置multiple_event 为0：

• trap匹配到的第一个定义被处理
• 如果一个精确匹配存在，通配符匹配将不执行
• 如果一个精确匹配不存在，通配符匹配被执行，假如主机名匹配NODES中定义的主机或者没有NODES定义）和（MATCH部分匹配为真或者没有MATCH定义）