Inventorier le réseau

L'Inventaire réseau de Portail ZAPP découvre les équipements présents sur vos réseaux (switchs, routeurs, imprimantes, serveurs, postes…), vous laisse décider lesquels suivre, puis les inventorie en détail et les enregistre dans la CMDB. Le travail se fait en trois temps : un scan de découverte trouve les hôtes, vous les validez, puis un inventaire les interroge avec les identifiants que vous avez associés à leur type.

Les écrans sont réservés au groupe Administrateurs. On y accède par l'entrée Inventaire réseau du menu ; les onglets en haut de chaque page mènent aux Périmètres, Réseaux déclarés, Scans, Hôtes découverts, Identifiants, Associations et Approbations (avec le nombre de demandes en attente). L'entrée Scans réseau du menu ouvre directement les scans.

Les scans passent par un agent Outpost installé sur le réseau à explorer : sans le module Agents Outpost, aucun scan n'est possible. Les identifiants et les associations, ainsi que les approbations, sont décrits dans la page « Gérer les accès et les approbations de l'inventaire réseau ».

Les périmètres de scan

Un périmètre dit quoi scanner, depuis quel Outpost et quand. La page Périmètres de scan réseau en donne la liste (nom, agent Outpost, cibles, planification, Activé). Cliquez sur + Nouveau périmètre et renseignez :

Nom ;
Agent Outpost : l'agent qui fera le scan. Il doit être installé sur le même segment réseau que les équipements, pour lire leur table ARP locale. Seuls les agents actifs sont proposés ;
Cibles : une entrée par ligne — adresse IP, CIDR (par exemple 192.0.2.0/24), plage (192.0.2.10-192.0.2.50) ou nom d'hôte. IPv4 uniquement, 65 536 adresses au plus par entrée, 200 entrées au plus, 65 536 adresses au plus pour tout le périmètre une fois les exclusions retirées, et toujours à l'intérieur d'un réseau déclaré ;
Exclusions : mêmes formats ; ces adresses ne sont jamais sondées ;
Profil de ports (Minimal, Standard, Étendu), Parallélisme (32 par défaut), Débit max (paquets/s) (500 par défaut, 5 000 au plus) et Délai par sonde (ms) (1 000 par défaut, entre 100 et 10 000) ;
Identifier les équipements (mDNS, SSDP, bannières, SNMP) : coché par défaut, c'est ce qui permet de deviner le type d'un équipement ;
Fenêtres de scan autorisées : les jours et heures pendant lesquels un scan peut avoir lieu. Les boutons Toutes les nuits (22:00-06:00) et Week-end en ajoutent une toute faite. Les heures sont celles du serveur, et une plage qui finit avant son début passe minuit. Aucune fenêtre : scans autorisés à tout moment ;
Planification (cron, optionnel) : pour lancer le scan automatiquement ;
Lancer un inventaire automatiquement après chaque scan planifié réussi : un scan lancé à la main ne déclenche jamais d'inventaire automatique.

Tant qu'aucun réseau n'est déclaré, aucune cible n'est acceptée : déclarez d'abord vos réseaux.

Ce qui passe par approbation. La création d'un périmètre, et toute modification de son agent, de ses cibles ou de ses exclusions, est soumise à approbation : « Demande soumise à approbation : rien ne sera appliqué avant sa validation. » Les autres réglages (nom, ports, débit, fenêtres, planification…) s'appliquent tout de suite. Activer ou désactiver un périmètre, ou le supprimer, s'applique aussi tout de suite.

Lancer un scan de découverte

La page Scans de découverte montre chaque périmètre avec son Outpost, ses Capacités et son Dernier scan :

Complète : l'Outpost sait faire la découverte ;
Découverte dégradée : l'Outpost ne peut pas utiliser ICMP, certains hôtes peuvent échapper au scan ;
NetDiscovery non pris en charge : cet Outpost ne sait pas faire de découverte ;
Inconnues : l'Outpost ne s'est pas encore annoncé.

Le bouton Lancer un scan (périmètre activé seulement) envoie la demande à l'Outpost. Un scan ne transmet aucun identifiant : il ne fait que trouver les hôtes. Il est refusé hors des fenêtres autorisées, si un scan est déjà en cours sur le périmètre, ou si une cible n'est plus couverte par un réseau déclaré. Les scans planifiés sont lancés par une tâche du planificateur, qui vérifie par défaut chaque minute les périmètres dont le cron est échu.

Le Journal des scans conserve chaque scan (date, type Découverte ou Inventaire, périmètre, cibles telles qu'au lancement, auteur ou Planifié, statut, nombre d'hôtes). Un scan resté En cours peut être arrêté par Annuler le scan, ce qui libère le périmètre. Quand le module Grilles de données est installé, le journal est une grille dont on peut Purger la sélection (les scans en cours ne peuvent pas être purgés).

Valider les hôtes découverts

La page Hôtes découverts liste les hôtes trouvés, filtrables par statut, par périmètre et par recherche (IP, nom, MAC, constructeur…). Pour chacun : l'adresse, le périmètre, l'identité (nom, MAC et constructeur), les ports ouverts, les dates de première et dernière détection, l'inventaire et le statut.

Un hôte découvert ne reçoit jamais d'identifiant tant qu'il n'est pas validé avec un type d'équipement (Switch, Routeur, Pare-feu, Imprimante, NAS, Onduleur, IoT, Serveur, Poste Windows, Autre) : c'est ce type qui décide des identifiants qu'il pourra recevoir.

Valider : choisissez le type (pré-rempli quand l'équipement a été identifié), puis cliquez. L'hôte passe à Validé ;
Rejeter : l'hôte passe à Rejeté et ne sera pas inventorié, même s'il est revu par un scan suivant ;
Remettre en attente : ramène un hôte validé ou rejeté à En attente.

Validation automatique des hôtes identifiés : le bouton Activer / Désactiver en haut de la page. Elle ne concerne que les hôtes dont le type a pu être déduit de leur empreinte ; un hôte non identifié reste toujours à valider à la main. Un hôte validé ainsi porte la mention Validé automatiquement.

Inventorier les hôtes validés

Sur la page des scans, Lancer l'inventaire interroge les hôtes validés du périmètre qui ont un identifiant associé à leur type d'équipement. Pour chaque hôte, l'identifiant est choisi parmi ceux associés à ce périmètre et à ce type, dans cet ordre : SNMP v3, puis SNMP v1/v2c, puis SSH, puis WinRM (seulement si l'Outpost l'annonce). Les identifiants de type API HTTPS ne servent pas encore à l'inventaire.

L'inventaire, comme le scan, est refusé hors des fenêtres de scan du périmètre. Si rien n'est éligible, un message dit pourquoi : aucun hôte validé, aucun identifiant pour leur type d'équipement, protocole inutilisable, secret introuvable, ou clés d'hôte SSH toutes modifiées.

Chaque hôte inventorié est écrit dans la CMDB : une machine dont le système d'exploitation est connu devient une machine, le reste un équipement réseau avec ses interfaces. La colonne Inventaire de la page des hôtes indique la date du dernier inventaire, une éventuelle erreur (authentification refusée, délai dépassé, hôte injoignable…) et le lien Présent dans le CMDB vers la fiche.

Forcer la création dans le CMDB : pour un hôte validé qui n'a pas encore de fiche (inventaire jamais réussi), ce bouton crée une fiche minimale à partir des seules données de découverte (adresse, MAC, nom, constructeur) et du type choisi à la validation, sans interroger l'équipement.

Clé d'hôte SSH modifiée

Quand un équipement inventorié en SSH présente une clé d'hôte différente de celle épinglée, la connexion est refusée avant toute authentification et la page des hôtes affiche « Clé d'hôte SSH modifiée : aucun identifiant n'est envoyé à cet hôte. », avec la clé épinglée et la clé observée. Vérifiez que l'équipement n'a pas été usurpé (réinstallation, remplacement…), puis cliquez sur Accepter la nouvelle clé : la clé observée devient aussitôt la clé épinglée (si aucune clé n'avait été relevée, elle est épinglée au prochain inventaire). Un nouveau changement de clé avant le prochain inventaire est donc refusé à son tour.