【免费下载链接】community-templatesZabbix Community Templates repository项目地址https://gitcode.com/gh_mirrors/co/community-templates点击查看免费下载导读本文以 Zabbix 社区模板仓库community-templates中 Juniper SRX 系列模板 为核心系统讲解如何通过 SNMP 对 Juniper SRX 系列防火墙进行全维度监控。读者将掌握该模板的导入方法、19 个核心监控项与 6 类接口自动发现项的作用原理、全部触发器告警阈值与处理建议以及基于 5.4 版 YAML 导出文件 的源码级配置细节可直接落地到生产环境。模板概览监控什么、面向谁Template Juniper SRX是 Zabbix 社区为Juniper SRX 系列防火墙编写的开箱即用监控模板全部数据通过SNMP agent采集无需在被监控设备上安装任何 Agent 或额外组件。从模板定义5.4 版 YAML可以看到模板归属于两个主机组Networking Hardware与Templates导出格式版本为5.4导出日期为2021-11-25。该模板覆盖的监控维度包括设备可用性ICMP Ping 存活探测会话Flow Session容量当前会话数、最大会话数、可用会话百分比双节点资源使用率RERouting Engine路由引擎与 PFEPacket Forwarding Engine包转发引擎的 CPU、内存使用率硬件健康RE 节点 CPU 温度、红色/黄色告警灯状态系统运行状态Uptime重启检测接口流量通过 LLD 自动发现 fe/ge/xe/ae/reth/st/vcp/vlan 等接口采集出入向流量、错误、丢弃包。仓库同时提供了三个 Zabbix 版本对应的模板文件Zabbix 版本模板文件格式文件路径5.0XMLNetwork_Devices/Juniper/template_juniper_srx_series/5.0/template_juniper_srx_series.xml5.4YAMLNetwork_Devices/Juniper/template_juniper_srx_series/5.4/template_juniper_srx_series.yaml6.0YAMLNetwork_Devices/Juniper/template_juniper_srx_series/6.0/template_juniper_srx_series.yaml三个版本的内容保持一致5.0 版为 XML 导出5.4/6.0 版为 YAML 导出请按你的 Zabbix Server 版本选择对应文件导入。关于宏与模板链接按官方 README5.4/README.md的说明该模板不依赖任何用户宏Macros也没有模板链接Template links即它是一个完全自洽、零配置依赖的独立模板——导入后只需要在主机上配置好 SNMP 接口即可工作。对不熟悉 Zabbix 模板机制的读者而言这意味着上手门槛非常低无需预先定义宏、无需链接其他模板。部署指南导入模板并关联主机参照仓库根目录 README.md 中给出的通用使用流程Juniper SRX 模板的落地步骤如下导入模板登录 Zabbix Web 界面进入Data collection → Templates点击右上角Import选择对应版本目录下的模板文件XML 或 YAML上传导入配置 SNMP确保 Juniper SRX 设备已开启 SNMP在 Junos 中使用set snmp community public之类的配置启用模板默认使用 SNMPv1/v2c 的 community 方式读取未使用 SNMPv3关联主机在主机配置中填写 SRX 设备的 IP/DNS添加 SNMP 接口端口默认 161并在Templates标签页链接Juniper SRX模板验证数据等待一个采集周期后在Latest data中确认jnxJsSPUMonitoringCPUUsage.0、jnxOperatingTemp.9.1.0.0等监控项开始出现数据。注意该模板的所有监控项均通过 Zabbix Server 主动轮询 SNMP 获取不需要在防火墙上安装 Zabbix Agent因此适用于所有支持 SNMP 的 Juniper SRX 系列设备包括 SRX 分支防火墙与 SRX 系列服务网关。核心监控项详解读懂 19 个 Items模板共定义了 19 个监控项其中 1 个为计算型、1 个为简单检查、其余为 SNMP agent 采集下面按功能域分组逐项说明。监控项在 YAML 中通过items段定义并统一使用tags标记了Application: Device Health设备健康、Application: Performance性能或Application: Interfaces接口三类标签便于在 Zabbix 中按标签筛选与聚合。设备可用性与存活检测监控项名称类型Key更新周期单位/值映射Ping checkSimple checkicmpping30s值映射Service state0→Down1→UpPing check是唯一的非 SNMP 监控项通过 Zabbix Server 直接发起 ICMP 探测来判断防火墙是否在线。它挂载了值映射valuemapService state——在 YAML 的 valuemaps 段 中数值0被映射为Down、1映射为Up使监控界面展示更直观。防火墙会话容量Flow SessionsSRX 作为状态化防火墙其并发会话数直接决定设备承载能力模板用三个监控项 一个计算项完整覆盖了会话水位监控项名称类型KeyOID更新周期单位Flow sessions (Current)SNMP agentjnxJsSPUMonitoringCurrentFlowSession.01.3.6.1.4.1.2636.3.39.1.12.1.1.1.6.060ssessionsFlow sessions (Max)SNMP agentjnxJsSPUMonitoringMaxFlowSession.01.3.6.1.4.1.2636.3.39.1.12.1.1.1.7.060ssessionsFlow sessions (Available)CalculatedjnxJsSPUMonitoringAvailableFlowSession.0—60s%其中Flow sessions (Available)是模板中唯一的计算型监控项CALCULATED其计算表达式见 YAML 第 43-48 行为((last(//jnxJsSPUMonitoringMaxFlowSession.0)-last(//jnxJsSPUMonitoringCurrentFlowSession.0))/last(//jnxJsSPUMonitoringMaxFlowSession.0))*100即可用会话百分比 最大会话数 − 当前会话数÷ 最大会话数 × 100%。该计算项不直接采集 SNMP而是复用 Max 与 Current 两个原始监控项的最近值进行运算从而得到还剩多少会话余量这一关键运维指标。当可用会话不足时新连接将无法建立因此它是判断设备是否逼近会话瓶颈的核心依据。RE 与 PFE 资源使用率CPU / 内存SRX 的双节点架构Node 0 / Node 1常见于双路由引擎或集群部署体现在监控项的命名与 OID 后缀上。模板分别采集RE路由引擎与PFE包转发引擎的 CPU 与内存使用率覆盖两类不同的 OID 家族PFE 相关jnxJsSPUMonitoring 家族企业 OID 前缀 1.3.6.1.4.1.2636.3.39.1.12.1.1.1监控项名称KeyOID更新周期Node 0 PFE CPU usagejnxJsSPUMonitoringCPUUsage.01.3.6.1.4.1.2636.3.39.1.12.1.1.1.4.030sNode1 PFE CPU usagejnxJsSPUMonitoringCPUUsage.101.3.6.1.4.1.2636.3.39.1.12.1.1.1.4.1030sNode 0 PFE Memory usagejnxJsSPUMonitoringMemoryUsage.01.3.6.1.4.1.2636.3.39.1.12.1.1.1.5.030sNode 1 PFE Memory usagejnxJsSPUMonitoringMemoryUsage.101.3.6.1.4.1.2636.3.39.1.12.1.1.1.5.1030sRE 相关jnxOperating 家族企业 OID 前缀 1.3.6.1.4.1.2636.3.1.13.1监控项名称KeyOID更新周期Node 0 RE CPU usagejnxOperatingCPU.9.1.0.01.3.6.1.4.1.2636.3.1.13.1.8.9.1.0.030sNode 1 RE CPU usagejnxOperatingCPU.9.2.0.01.3.6.1.4.1.2636.3.1.13.1.8.9.2.0.030sNode 0 RE Memory usagejnxOperatingBuffer.9.1.0.01.3.6.1.4.1.2636.3.1.13.1.11.9.1.0.030sNode 1 RE Memory usagejnxOperatingBuffer.9.2.0.01.3.6.1.4.1.2636.3.1.13.1.11.9.2.0.030s从 OID 结构可以推断RE 相关 OID 末尾的9.1.0.0/9.2.0.0分别对应 Node 0.9.1.与 Node 1.9.2.9通常对应 RE 组件的索引编号。四个监控项的单位均为%采集周期 30 秒属于高频采样的性能类监控项。RE 负责控制平面路由协议、管理面PFE 负责数据平面报文转发二者的 CPU/内存水位含义不同——RE 满载影响设备自管理能力PFE 满载则直接影响转发性能与新建会话能力后续触发器的告警描述也正是围绕这两个维度设计的。硬件健康温度与告警灯监控项名称KeyOID更新周期单位Node 0 CPU temperaturejnxOperatingTemp.9.1.0.01.3.6.1.4.1.2636.3.1.13.1.7.9.1.0.060s°CNode 1 CPU temperaturejnxOperatingTemp.9.2.0.01.3.6.1.4.1.2636.3.1.13.1.7.9.2.0.060s°CRed alarmjnxRedAlarmState1.3.6.1.4.1.2636.3.4.2.3.1.030salarm(s)Yellow alarmjnxYellowAlarmState1.3.6.1.4.1.2636.3.4.2.2.1.060salarm(s)CPU 温度监控项复用jnxOperatingTemp家族1.3.6.1.4.1.2636.3.1.13.1.7同样区分 Node 0 / Node 1。红/黄告警灯对应 Juniper 设备的机箱告警体系红色告警jnxRedAlarmState代表严重故障如硬件损坏、温度超限黄色告警jnxYellowAlarmState代表需要注意的非致命问题如冗余组件降级。模板为二者分别配置了告警触发器详见后文并将它们归类到Device Health标签下。系统运行时间与重启检测监控项名称KeyOID更新周期单位UptimeUptime1.3.6.1.2.1.1.3.060ssUptime使用标准 SNMP MIB-II 的sysUpTimeOID1.3.6.1.2.1.1.3.0其原始单位为百分之一秒centiseconds因此模板为它配置了MULTIPLIER 预处理YAML 第 384-388 行将返回值乘以0.01转换为以秒为单位的运行时长。配合Uptime 600的触发器可在设备重启后 10 分钟内自动感知详见触发器章节。发现规则JunOS 接口自动发现LLD模板通过一条名为JunOS Interfaces的 SNMP 发现规则YAML 第 399-412 行实现接口的自动发现与批量监控发现方式SNMP agent 轮询ifDescrOID1.3.6.1.2.1.2.2.1.2发现规则 key 为discovery.ifDescr更新周期 300 秒5 分钟即每 5 分钟扫描一次接口列表宏注入发现规则使用discovery[{#SNMPVALUE},1.3.6.1.2.1.2.2.1.2]语法将接口描述写入{#SNMPVALUE}宏接口名同时 Zabbix 自动生成{#SNMPINDEX}宏接口索引供后续原型拼接 OID过滤正则并非所有接口都会被监控模板在filter段通过正则对{#SNMPVALUE}进行白名单过滤^(fe|ge|xe)-[0-9]\/[0-9]\/[0-9]\.[0-9]$|^(fe|ge|xe)-[0-9]\/[0-9]\/[0-9]$|^(ae|reth|st)[0-9]\.[0-9]$|^(ae|reth|st)[0-9]$|^vcp-[0-9]$|^vlan.[0-9]$该正则依次匹配 Juniper SRX 常见的接口命名规范正则分支匹配的接口类型示例^(fe|ge|xe)-[0-9]\/[0-9]\/[0-9]\.[0-9]$带子单元编号的物理接口子接口ge-0/0/0.0^(fe|ge|xe)-[0-9]\/[0-9]\/[0-9]$普通物理接口无子单元xe-1/2/3^(ae|reth|st)[0-9]\.[0-9]$链路聚合/冗余组的子接口ae0.100、reth1.0^(ae|reth|st)[0-9]$链路聚合组AE、冗余以太网reth、ST 接口ae0、reth1^vcp-[0-9]$虚拟机箱控制端口VCPvcp-0^vlan.[0-9]$VLAN 逻辑接口vlan.10从该正则可以看到模板作者的工程考量主动排除了lo0loopback、irb、fxp等非业务接口也避免了对xe-0/0/0这类不带子接口编号的重复匹配歧义确保发现的接口全部是值得监控的数据面/管理面接口。接口监控项原型Item Prototypes发现规则下定义了6 个接口监控项原型全部基于 IF-MIB1.3.6.1.2.1.2.2.1计数器采集采集周期 60 秒原型名称IF-MIB OID含义预处理{#SNMPVALUE} - Inbound traffic1.3.6.1.2.1.2.2.1.10ifInOctets 入向字节计数CHANGE_PER_SECOND MULTIPLIER 8{#SNMPVALUE} - Outbound traffic1.3.6.1.2.1.2.2.1.16ifOutOctets 出向字节计数CHANGE_PER_SECOND MULTIPLIER 8{#SNMPVALUE} - Inbound discarded packets1.3.6.1.2.1.2.2.1.13ifInDiscards 入向丢弃CHANGE_PER_SECOND{#SNMPVALUE} - Outbound discarded packets1.3.6.1.2.1.2.2.1.19ifOutDiscards 出向丢弃CHANGE_PER_SECOND{#SNMPVALUE} - Inbound errors1.3.6.1.2.1.2.2.1.14ifInErrors 入向错误CHANGE_PER_SECOND{#SNMPVALUE} - Outbound errors1.3.6.1.2.1.2.2.1.20ifOutErrors 出向错误CHANGE_PER_SECOND这里有两个值得注意的实现细节CHANGE_PER_SECOND 预处理IF-MIB 的 octets/discards/errors 都是单调递增的计数器直接展示没有意义。模板对全部 6 个原型都配置了CHANGE_PER_SECOND预处理YAML 第 422-426 行将两次采集间的差值换算成每秒增量即速率值MULTIPLIER 8 换算流量入/出向流量两个原型在速率换算之后再叠加MULTIPLIER 8预处理YAML 第 441-449 行把字节每秒B/s乘以 8 转换为比特每秒bps与网络运维习惯一致这两个原型的值类型value_type设为FLOAT、单位设为bps。此外每个接口原型默认保存 7 天历史数据history: 7d并以Application: Interfaces标签归类。图形原型Graph Prototypes发现规则还附带一个名为Interface {#SNMPVALUE}的图形原型YAML 第 528-575 行将上述 6 个接口指标以不同绘制方式组合到一张图上入向流量FILLED_REGION填充区域图颜色2618B1出向流量BOLD_LINE粗线颜色FFC600入向丢弃、入向错误、出向丢弃、出向错误细线颜色分别为594CD8、7B72D8、FFD440、FFE073。全部 6 个图形项均绘制在右侧 Y 轴yaxisside: RIGHT。每发现一个接口Zabbix 就会自动为该接口生成一张综合流量/错误/丢弃视图无需手工建图。触发器与告警体系阈值、表达式与处置建议虽然 5.4 版 README.md 中Triggers一节标注为There are no triggers in this template但实际导出的 YAML 模板文件 中完整定义了 15 个触发器5.0 版 XML 亦然。这是 README 与模板导出内容不一致的一个典型情况实际告警能力以模板文件为准。以下按告警场景分组说明。可用性告警灾难级sum(/Juniper SRX/icmpping,#3)0 or ({TRIGGER.VALUE}1 and sum(/Juniper SRX/icmpping,#3)3)名称Ping check优先级DISASTER灾难逻辑解读最近 3 次探测全部失败sum0或此前已处于告警态{TRIGGER.VALUE}1且最近 3 次并非全部成功3告警描述The firewall device has stopped responding. This could indicate a failure and needs to be investigated.防火墙已停止响应可能故障需立即排查。会话容量告警Warning / High计算项Flow sessions (Available)的可用会话百分比触发两级告警触发器名称表达式优先级含义Flow sessions (10% Available)last(...)10HIGH可用会话不足 10%即设备已使用超过 90% 会话容量逼近设备上限Flow sessions (20% Available)last(...)20WARNING可用会话低于 20%即已使用 80%~90%两条触发器的描述给出了相同的处置建议Actions审查流量模式Review traffic patterns查找高非活跃超时会话Look for sessions with high inactivity timeouts评估设备型号是否满足容量需求Review Device type。性能资源告警Average模板为 RE/PFE 的 CPU、内存分别配置了阈值 95% 的告警均为AVERAGE平均优先级并区分 Node 0 / Node 1触发器名称表达式关键参数{HOSTNAME} node 0/1 high PFE CPU usagemin(...CPUUsage.0/10,60s)9560 秒内最小值 95%{HOSTNAME} node 0/1 high PFE memory usagemin(...MemoryUsage.0/10,30s)9530 秒内最小值 95%{HOSTNAME} node 0/1 high RE CPU usagemin(...OperatingCPU.9.x.0.0,60s)9560 秒内最小值 95%{HOSTNAME} node 0/1 high RE memory usagemin(...OperatingBuffer.9.x.0.0,30s)9530 秒内最小值 95%注意这里使用的是min(...,60s)95语义——即最近 60 秒内的最小值都超过 95%比单纯看最新值更稳健能过滤瞬时毛刺只有持续高负载才触发。各触发器的处置建议Actions随资源类型不同而不同PFE CPU 95%审查流量模式、PPS每秒包数、会话数——转发面满载将影响转发响应与新建会话Device responsiveness for transit traffic is likely to be impacted including session buildupPFE 内存 95%检查系统日志、清理未使用功能配置、禁用不需要的 ALG应用层网关——转发操作可能因无法分配内存而受影响RE CPU 95%禁用 traceoptions 调试跟踪、清理存储、核查系统进程——设备自身流量的响应能力将受影响RE 内存 95%核查路由表规模、核查运行中的系统进程、检查系统日志——设备将开始主动内存清理Device will begin active memory clean up attempts。硬件健康告警触发器名称表达式优先级High CPU temperature on {HOSTNAME} node 0/1min(...jnxOperatingTemp.9.x.0.0,60s)65AVERAGERed alarm on {HOSTNAME}last(/Juniper SRX/jnxRedAlarmState)2HIGHYellow alarm on {HOSTNAME}last(/Juniper SRX/jnxYellowAlarmState)2AVERAGE温度触发器在 60 秒窗口内最小值超过65°C时告警。红/黄告警触发器表达式为last(...)2即告警状态值不等于 2即触发——可以推断 Juniper 的 alarm 状态 MIB 中数值2通常代表无告警/正常1代表存在告警因此只要设备上报了非 2 的告警状态Zabbix 就会告警红色告警优先级为 HIGH黄色为 AVERAGE与故障严重程度对应。重启检测last(/Juniper SRX/Uptime)600名称{HOSTNAME} Has just been restarted优先级 AVERAGE含义设备运行时间经 0.01 乘数换算后的秒数小于 600 秒10 分钟判定设备刚刚重启便于运维在设备异常重启后第一时间收到通知。值映射与标签体系模板末尾定义了名为Service state的值映射YAML 第 576-584 行原始值映射后显示0Down1Up该映射仅应用于Ping check监控项。所有监控项均带Application标签共三个取值Device HealthPing、温度、红黄告警、Uptime、Performance会话、RE/PFE CPU/内存、InterfacesLLD 接口原型可在 Zabbix 标签筛选中按应用域快速过滤。运维实践建议基于对模板源码的解析以下是在实际部署中的关键建议选择正确的版本文件Zabbix 5.0 用 5.0 目录下的 XML5.4 与 6.0 分别使用对应 YAML高版本 Zabbix 也可导入低版本文件并自动升级SNMP 前置条件模板基于 SNMPv1/v2c community 采集需在 Junos 中配置 SNMP community 与允许访问的 Zabbix Server 地址set snmp community name clients zabbix-ip并确保管理面可达双节点适配监控项同时覆盖 Node 0 / Node 1适用于双 RE 或集群场景单节点设备上 Node 1 相关 OID 可能无数据可通过禁用对应监控项或接受无数据状态处理接口发现范围发现过滤正则已覆盖物理接口、子接口、AE/reth 聚合接口、VCP 与 VLAN 接口若你的设备使用xe-以外命名如et-高速接口可参考该正则结构自行扩充白名单阈值调优95% 的 CPU/内存阈值与 65°C 温度阈值适用于多数场景生产环境可根据设备型号手册与历史基线调整会话容量告警的 10%/20% 两级阈值已内置处置建议适合作为会话风暴的第一道防线Uptime 单位注意sysUpTime原始单位为百分之一秒模板已通过MULTIPLIER 0.01预处理修正为秒若你在外部工具中直接读取该 OID需自行换算。同仓库其他 Juniper 模板的定位community-templates 的Network_Devices/Juniper目录下还提供了面向其他 Juniper 产品线的模板便于按设备类型选型template_juniper_ex_series面向EX 系列交换机监控维度与 SRX 模板类似Ping、红黄告警、负载、CPU/内存、RE 温度、接口 LLD同样支持虚拟机箱virtual chassis场景template_juniper_bgp_stats_by_snmp 与 template_juniper_total分别面向 BGP 会话统计与 Juniper 设备综合指标。SRX 模板的独特价值在于其Flow Session会话容量监控——这是防火墙区别于交换机/路由器的核心指标模板通过 Max/Current 两个 SNMP 项加一个计算项完整覆盖了会话水位告警是防火墙容量规划与故障排查的有力工具。附录关键 OID 速查表指标KeyOIDPFE CPUNode 0/1jnxJsSPUMonitoringCPUUsage.0/.101.3.6.1.4.1.2636.3.39.1.12.1.1.1.4.0/.10PFE 内存Node 0/1jnxJsSPUMonitoringMemoryUsage.0/.101.3.6.1.4.1.2636.3.39.1.12.1.1.1.5.0/.10当前会话数jnxJsSPUMonitoringCurrentFlowSession.01.3.6.1.4.1.2636.3.39.1.12.1.1.1.6.0最大会话数jnxJsSPUMonitoringMaxFlowSession.01.3.6.1.4.1.2636.3.39.1.12.1.1.1.7.0RE CPUNode 0/1jnxOperatingCPU.9.1.0.0/.9.2.0.01.3.6.1.4.1.2636.3.1.13.1.8.9.1.0.0/.9.2.0.0RE 内存Node 0/1jnxOperatingBuffer.9.1.0.0/.9.2.0.01.3.6.1.4.1.2636.3.1.13.1.11.9.1.0.0/.9.2.0.0CPU 温度Node 0/1jnxOperatingTemp.9.1.0.0/.9.2.0.01.3.6.1.4.1.2636.3.1.13.1.7.9.1.0.0/.9.2.0.0红色告警jnxRedAlarmState1.3.6.1.4.1.2636.3.4.2.3.1.0黄色告警jnxYellowAlarmState1.3.6.1.4.1.2636.3.4.2.2.1.0系统运行时间Uptime1.3.6.1.2.1.1.3.0接口入向字节ifInOctetsLLD1.3.6.1.2.1.2.2.1.10.{#SNMPINDEX}接口入向丢弃ifInDiscardsLLD1.3.6.1.2.1.2.2.1.13.{#SNMPINDEX}接口入向错误ifInErrorsLLD1.3.6.1.2.1.2.2.1.14.{#SNMPINDEX}接口出向字节ifOutOctetsLLD1.3.6.1.2.1.2.2.1.16.{#SNMPINDEX}接口出向丢弃ifOutDiscardsLLD1.3.6.1.2.1.2.2.1.19.{#SNMPINDEX}接口出向错误ifOutErrorsLLD1.3.6.1.2.1.2.2.1.20.{#SNMPINDEX}赞分享【免费下载链接】community-templatesZabbix Community Templates repository项目地址https://gitcode.com/gh_mirrors/co/community-templates点击查看免费下载相关推荐Juniper SRX 防火墙 Zabbix 监控模板全解析SNMP 采集项、自动发现与告警触发器实战指南Juniper SRX 防火墙 Zabbix 监控模板全解析SNMP 采集项、自动发现与告警触发器实战指南 本文围绕 Zabbix 官方社区模板仓库commJuniper Total 模板深度解析Zabbix 6.0 下用 SNMP 一站式监控 Juniper 交换机与防火墙Juniper Total 模板深度解析Zabbix 6.0 下用 SNMP 一站式监控 Juniper 交换机与防火墙 Juniper Total 是 ZaJuniper Total 模板实战用 Zabbix SNMP 低级别发现一站式监控 Juniper 交换与防火墙Juniper Total 模板实战用 Zabbix SNMP 低级别发现一站式监控 Juniper 交换与防火墙 导读 Juniper Total 是 Za上一篇告别网盘下载限速不花一分钱3步解锁全平台直链下载下一篇5分钟玩转暗黑3鼠标宏D3KeyHelper免费自动化工具的完整使用攻略创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考