如何通过SNMP获取Juniper路由器安全策略命中次数？

问题描述 #

我想了解是否可通过SNMP获取命令show security policies hit-count descending的输出，该命令输出示例如下：

show security policies hit-count descending 
node0:
--------------------------------------------------------------------------

Logical system: root-logical-system
 Index   From zone        To zone           Name           Policy count
 1       WIFI-DEVICETEST  UNTRUST           allow-internet-traffic-only 284046       
 2       USERS            UNTRUST           allow-all      273438       
 3       AV               UNTRUST           allow-media-to-internet 187757

目前我找到与安全策略相关的MIB为jnxJsSecPolicyMIB，但不清楚如何利用该MIB获取命中次数。

回答 #

可以通过jnxJsSecPolicyMIB获取对应数据，具体操作和关键OID如下：

核心OID映射 #

以下OID直接对应命令输出的各个字段：

• jnxJsSecPolicyIndex（.1.3.6.1.4.1.2636.3.5.2.1.1）：策略索引（对应「Index」列）
• jnxJsSecPolicyFromZone（.1.3.6.1.4.1.2636.3.5.2.1.5）：源Zone（对应「From zone」列）
• jnxJsSecPolicyToZone（.1.3.6.1.4.1.2636.3.5.2.1.6）：目的Zone（对应「To zone」列）
• jnxJsSecPolicyName（.1.3.6.1.4.1.2636.3.5.2.1.7）：策略名称（对应「Name」列）
• jnxJsSecPolicyHitCount（.1.3.6.1.4.1.2636.3.5.2.1.11）：策略命中次数（对应「Policy count」列）

获取数据步骤 #

1. 执行SNMP Walk遍历jnxJsSecPolicyTable（.1.3.6.1.4.1.2636.3.5.2.1），这个表包含所有安全策略的元数据和命中统计。
2. 从遍历结果中提取每个策略对应的上述5个字段，匹配命令输出的结构。
3. 若需要按命中次数降序排列，需在客户端对获取到的数据进行排序（SNMP协议本身不支持排序操作）。

注意事项 #

• 确保设备已启用SNMP服务，且配置了允许访问jnxJsSecPolicyMIB的权限。
• 多逻辑系统场景下，可通过jnxJsSecPolicyLogicalSystem（.1.3.6.1.4.1.2636.3.5.2.1.2）字段区分不同逻辑系统的策略。

内容的提问来源于stack exchange，提问作者user3425403