① snmp trap 信息的获取
trap的产生是由代理端的逻辑决定的，也就是写代理程序的人决定的。
比如：你自己写一个代理端，这个代理端用来采集cpu占用率，
你可以在程序中规定：
如果cpu占用率>60%，就发送一条trap命令。
这个trap命令的触发完成是由代理端决定的，你想怎么触发就怎么触发。
② Python网络编程6-使用Pysnmp实现简单网管
简单网络管理协议SNMP（Simple Network Management Protocol）用于网络设备的管理。SNMP作为广泛应用于TCP/IP网络的网络管理标准协议，提供了统一的接口，从而实现了不同种类和厂商的网络设备之间的统一管理。
SNMP协议分为三个版本：SNMPv1、SNMPv2c和SNMPv3。
SNMP系统由网络管理系统NMS（Network Management System）、SNMP Agent、被管对象Management object和管理信息库MIB（Management Information Base）四部分组成。
SNMP查询是指NMS主动向SNMP Agent发送查询请求，如图1-3所示。SNMP Agent接收到查询请求后，通过MIB表完成相应指令，并将结果反馈给NMS。SNMP查询操作有三种：Get、GetNext和GetBulk。SNMPv1版本不支持GetBulk操作。
不同版本的SNMP查询操作的工作原理基本一致，唯一的区别是SNMPv3版本增加了身份验证和加密处理。下面以SNMPv2c版本的Get操作为例介绍SNMP查询操作的工作原理。假定NMS想要获取被管理设备MIB节点sysContact的值，使用可读团体名为public，过程如下所示：
SNMP设置是指NMS主动向SNMP Agent发送对设备进行Set操作的请求，如下图示。SNMP Agent接收到Set请求后，通过MIB表完成相应指令，并将结果反馈给NMS。
不同版本的SNMP Set操作的工作原理基本一致，唯一的区别是SNMPv3版本增加了身份验证和加密处理。下面以SNMPv3版本的Set操作为例介绍SNMP Set操作的工作原理。
假定NMS想要设置被管理设备MIB节点sysName的值为HUAWEI，过程如下所示：
SNMPv1和SNMPv2c的Set操作报文格式如下图所示。一般情况下，SNMPv3的Set操作信息是经过加密封装在SNMP PDU中，其格式与SNMPv2c的Set操作报文格式一致。
SNMP Traps是指SNMP Agent主动将设备产生的告警或事件上报给NMS，以便网络管理员及时了解设备当前运行的状态。
SNMP Agent上报SNMP Traps有两种方式：Trap和Inform。SNMPv1版本不支持Inform。Trap和Inform的区别在于，SNMP Agent通过Inform向NMS发送告警或事件后，NMS需要回复InformResponse进行确认。
在Ensp中搭建网络环境，在R2上启用SNMP作为SNMP agent，Linux主机作为NMS；为方便观察SNMP报文格式，在R2使用SNMP的版本为v2c。
通过下面的Python脚本获取R2的系统信息与当前的主机名
运行结果如下
在R2接口上抓包结果如下，Linux主机向R2的161端口发送SNMP get-request报文，可以看到SNMP使用的版本为v2c，设置的团体名为public，随机生成了一个request-id，变量绑定列表（Variable bindings），即要查询的OID，但Value为空；值得注意的是这些信息都是明文传输的，为了安全在实际环境中应使用SNMPv3。
通过下面的Python脚本获取R2的接口信息。
运行结果如下：
在R2接口抓包结果如下，getBuikRequest相比get-request设置了一个max-repetitions字段，表明最多执行get操作的次数。Variable bindings中请求的OID条目只有一条。
下面Python脚本用于设置R2的主机名为SNMPv2R2。
运行结果如下
在路由器上可以看到主机名有R2变为了SNMPv2R2。
get-response数据包内容与set-request中无异。
下面Python脚本用于接收，R2发送的Trap，并做简单解析。
先运行该脚本，之后再R2上手动将一个接口shutdown，结果如下：
接口上抓包结果如下，此时团体名用的是public，data部分表明是trap。
由于Ensp中的通用路由器认证算法只支持des56，而pysnmp不支持该算法，因此使用AR路由器配置SNMPv3。
使用下面Python脚本发送snmpv3 get报文获取设备系统信息。
抓包结果如下，首先发送get-resques进行SNMPv3认证请求，随机生成一个msgID，认证模式为USM，msgflgs中Reportable置1要求对方发送report，其他为置0，表示不进行加密与鉴权；另外安全参数，认证参数、加密参数都为空，此时不携带get请求数据。
路由器给NMS回复report，msgID与resquest一致，Msgflgs中各位都置0，同时回复使用的安全引擎，认证与加密参数为空，不进行认证与加密，因此能看到data中的数据。
AR1收到请求后进行回复，数据包中msgflags标志位中除reportable外其他位都置1，表示不需要回复，同时进行加密与鉴权。同样也可以看到认证用户为testuser，认证参数与加密参数都有填充，data部分也是同样加密。
参考：
什么是SNMP - 华为 (huawei.com)
AR100-S V300R003 MIB参考 - 华为 (huawei.com)
SNMP library for Python — SNMP library for Python 4.4 documentation (pysnmp.readthedocs.io)
③ snmptrap命令从哪个ip发出
snmp_trap 命令用于生成一个通知（陷阱），以通过指定消息向 SNMP 管理器报告事件。
语法
snmp_trap [-debug] [-host HostName | -target TargetHost] [-com Community] [-msg Message]
-host HostName 指定连接到指定的主机上的 SNMP 代理程序。如果未指定此标志，那么缺省主机为本地主机。Host 可以是 IP 地址，也可以是主机名。
④ 日志采集方式 SNMP TRAP 和 Syslog 的区别
文本方式
在统一安全管理系统中以文本方式采集日志数据主要是指邮件或FTP方式。邮件
方式是指在安全设备内设定报警或通知条件，当符合条件的事件发生时，相关情况被一一记录下来，然后在某一时间由安全设备或系统主动地将这些日志信息以邮件
形式发给邮件接受者，属于被动采集日志数据方式。其中的日志信息通常是以文本方式传送，传送的信息量相对少且需专业人员才能看懂。而FTP方式必须事先开
发特定的采集程序进行日志数据采集，每次连接都是完整下载整个日志文本文件,网络传输数据量可能非常大，属于主动采集日志数据方式。
随着网络高速的发展，网络内部以百兆、千兆甚至万兆互联，即使采取功能强大的计算机来处理日志数据包的采集工作，相对来说以上两种方式速度和效率也是不尽人意。因此，文本方式只能在采集日志数据范围小、速度比较慢的网络中使用，一般在网络安全管理中不被主要采用。
SNMP
trap方式
建立在简单网络管理协议SNMP上的网络管理，SNMP
TRAP是基于SNMP MIB的，因为SNMP MIB
是定义了这个设备都有哪些信息可以被收集，哪些trap的触发条件可以被定义，只有符合TRAP触发条件的事件才被发送出去。人们通常使用 SNMP
Trap
机制进行日志数据采集。生成Trap消息的事件(如系统重启)由Trap代理内部定义，而不是通用格式定义。由于Trap机制是基于事件驱动的，代理只有在监听到故障时才通知管理系统，非故障信息不会通知给管理系统。对于该方式的日志数据采集只能在SNMP下进行，生成的消息格式单独定义，对于不支持
SNMP设备通用性不是很强。
网络设备的部分故障日志信息，如环境、SNMP访问失效等信息由SNMP
Trap进行报告，通过对 SNMP 数据报文中 Trap
字段值的解释就可以获得一条网络设备的重要信息，由此可见管理进程必须能够全面正确地解释网络上各种设备所发送的Trap数据，这样才能完成对网络设备的
信息监控和数据采集。
但是由于网络结构和网络技术的多样性，以及不同厂商管理其网络设备的手段不同，要求网络管理系统不但对公有
Trap能够正确解释，更要对不同厂商网络设备的私有部分非常了解，这样才能正确解析不同厂商网络设备所发送的私有
Trap，这也需要跟厂商紧密合作，进行联合技术开发，从而保证对私有 Trap
完整正确的解析和应用。此原因导致该种方式面对不同厂商的产品采集日志数据方式需单独进行编程处理，且要全面解释所有日志信息才能有效地采集到日志数据。
由此可见，该采集在日常日志数据采集中通用性不强。
syslog方式
已成为工业标准协议的系统日志
(syslog)协议是在加里佛尼亚大学伯克立软件分布研究中心(BSD)的TCP/IP
系统实施中开发的，目前，可用它记录设备的日志。在路由器、交换机、服务器等网络设备中，syslog记录着系统中的任何事件，管理者可以通过查看系统记
录，随时掌握系统状况。它能够接收远程系统的日志记录，在一个日志中按时间顺序处理包含多个系统的记录,并以文件形式存盘。同时不需要连接多个系统，就可
以在一个位置查看所有的记录。syslog使用UDP作为传输协议，通过目的端口514(也可以是其他定义的端口号),将所有安全设备的日志管理配置发送
到安装了syslog软件系统的日志服务器，syslog日志服务器自动接收日志数据并写到日志文件中。
另外，选用以syslog方式采集日志数据非常方便，且具有下述原因：
第一，Syslog
协议广泛应用在编程上，许多日志函数都已采纳
syslog协议，syslog用于许多保护措施中。可以通过它记录任何事件。通过系统调用记录用户自行开发的应用程序的运行状况。研究和开发一些系统程
序是日志系统的重点之一，例如网络设备日志功能将网络应用程序的重要行为向 syslog
接口呼叫并记录为日志，大部分内部系统工具(如邮件和打印系统)都是如此生成信息的，许多新增的程序(如tcpwrappers和SSH)也是如此工作
的。通过syslogd(负责大部分系统事
件的守护进程)，将系统事件可以写到一个文件或设备中，或给用户发送一个信息。它能记录本地事件或通过网络记录到远端设备上的事件。
第二，当今网络设备普遍支持syslog协议。几乎所有的网络设备都可以通过syslog协议，将日志信息以用户数据报协议(UDP)方式传送
到远端服务器，远端接收日志服务器必须通过syslogd监听UDP 端口514，并根据
syslog.conf配置文件中的配置处理本机，接收访问系统的日志信息，把指定的事件写入特定文件中，供后台数据库管理和响应之用。意味着可以让任何
事件都登录到一台或多台服务器上，以备后台数据库用off-line(离线) 方法分析远端设备的事件。
第三，Syslog
协议和进程的最基本原则就是简单，在协议的发送者和接收者之间不要求严格的相互协调。事实上，syslog信息的传递可以在接收器没有被配置甚至没有接收器的情况下开始。反之，在没有清晰配置或定义的情况下，接收器也可以接收到信息。