Guest vNIC alterado para VMXNet3, não pode fazer SNMP contra dispositivos Cisco ASA

Question

Tem um arranhão aqui. Ou eu encontrei um bug do Windows e / ou VMware, ou eu perdi algo incrivelmente simples. [Spoiler - foi incrivelmente simples.]

Nosso ambiente VMware é o ESXI 5.5. Temos uma VM do Windows 2012 R2 (chamada BOS-NETMON) que não pode mais fazer consultas SNMP de dispositivos Cisco ASA (v2 ou v3).

Esta máquina executa o SolarWinds Orion, e nem isso nem ferramentas independentes como o trabalho SNMPTEST Paessler. Todos os outros dispositivos monitorados atualmente continuam a responder ao SNMP deste convidado - temos o Cisco IOS, o Meraki, o Exagrid, o APC / Schneider - tudo bem. Todos os outros protocolos permitidos (SSH, HTTPS, ICMP) funcionam ao se conectar aos ASAs deste convidado.

O problema começou quando trocamos o convidado do hardware v1Ce do E1000e para o VMXNet3. Antes disso, funcionou bem por alguns anos.

• Executando a janela de Logging do ASDM, ela nem sequer vê a tentativa de conexão SNMP do BOS-NETMON. EDIT - Isso foi porque eu não tinha as configurações de log corretas no ASA.
• Executando o Wireshark no BOS-NETMON, ele mostra as consultas SNMP saindo, não registra respostas dos ASAs.
  • Testei o SNMP de outro convidado VMXNet3, ele também não consegue consultar o SNMP em relação a um ASA, mas funciona em dispositivos Cisco não ASA. EDITAR - isso não parece ser verdade. Ou eu testei errado ou comecei a trabalhar recentemente. De qualquer forma, outro host com uma NIC VMXNet3 pode consultar o SNMP em relação a um desses ASAs.
• Testei o SNMP de um convidado com o vNIC do E1000e e ele consultou com êxito o SNMP em um ASA.
• 4/5 dos ASAs de destino não estão no mesmo site, por isso não deve ser um problema de ARP - e se fosse, os outros protocolos não SNMP seriam afetados.

Editar mais: Eu tenho informações de depuração ASDM para uma sessão SNMP bem-sucedida e sem êxito. O próximo passo será uma captura de pacotes, eu acho.

6   Mar 12 2018 16:30:26    302015  10.50.100.177   63809   10.10.99.10 161 Built inbound UDP connection 610885144 for Inside_Interface:10.50.100.177/63809 (10.50.100.177/63809) to identity:10.10.99.10/161 (10.10.99.10/161)

7   Mar 12 2018 16:30:26    710005  10.50.100.152   49588   10.10.99.10 161 UDP request discarded from 10.50.100.152/49588 to Inside_Interface:10.10.99.10/161

    

Answer 1

All other allowed protocols (SSH, HTTPS, ICMP) work when connecting to the ASAs from this guest.

Você ativou a depuração snmp no ASA para poder ver o que ela pensa?

debug snmp
logging buffered debug
logging asdm debug

O IP da caixa de monitoramento mudou quando você alterou o vNIC? Você está usando ACLs SNMP?