安全網(wǎng)管技術(shù)網(wǎng)絡(luò)管理系統(tǒng)及SNMP協(xié)議

1、安全網(wǎng)管技術(shù)網(wǎng)絡(luò)管理系統(tǒng)及安全網(wǎng)管技術(shù)網(wǎng)絡(luò)管理系統(tǒng)及SNMP協(xié)議協(xié)議1參考資料參考資料p計算機網(wǎng)絡(luò)管理系統(tǒng)設(shè)計與應(yīng)用，白英彩等，清華大學(xué)出版社pCisco Networkers 2003文檔p/james/cw2003/index.xmlp/james/cw2003/NMS-1001.pdf23Service Design & Management SolutionsConfiguration & Change Management SolutionsResource & Performance Management So

2、lutionsSystems & Applications Management SolutionsNetwork Management SolutionsBackup & Storage Management SolutionsDesktop & Software Management SolutionsService Level Planning & ManagementDesktop & SoftwareManagementOperations & AvailabilityManagementConfigurationManagementChangManagementIT Service

3、 Management3.1 網(wǎng)絡(luò)管理概述網(wǎng)絡(luò)管理概述l網(wǎng)絡(luò)管理歷史網(wǎng)絡(luò)管理歷史p網(wǎng)絡(luò)管理與電信網(wǎng)絡(luò)的歷史一樣長，接線員能進(jìn)行有限的管理p隨著程控交換機的引入，越來越多p計算機網(wǎng)絡(luò)的管理伴隨ARPANET產(chǎn)生p早期的ARPANET、SNA、DNA、AppleTalk等的管理系統(tǒng)專用，不開放p80年代提出了多種網(wǎng)絡(luò)管理方案4網(wǎng)絡(luò)管理歷史網(wǎng)絡(luò)管理歷史l1988年年IAB(Internet Activities Board)制定了制定了Internet管理的發(fā)展策略管理的發(fā)展策略:pSGMP作為短期方案，最終采用CMIS/CMIPl推出了推出了SNMP(Simple Network Manageme

4、nt Protocol)和和CMOT(CMIP/CMIS on TCP/IP)l1990年正式發(fā)布年正式發(fā)布SNMP，1993年發(fā)布年發(fā)布SNMPv2lSNMP已經(jīng)成為網(wǎng)絡(luò)管理事實上的工業(yè)標(biāo)準(zhǔn)已經(jīng)成為網(wǎng)絡(luò)管理事實上的工業(yè)標(biāo)準(zhǔn)5網(wǎng)絡(luò)管理系統(tǒng)的功能特點網(wǎng)絡(luò)管理系統(tǒng)的功能特點l一個網(wǎng)絡(luò)管理工具，應(yīng)具備以下特點一個網(wǎng)絡(luò)管理工具，應(yīng)具備以下特點p發(fā)現(xiàn)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)和網(wǎng)絡(luò)配置 自動發(fā)現(xiàn)和手工修改p智能監(jiān)控 理解網(wǎng)絡(luò)結(jié)構(gòu)的內(nèi)在依賴管理，報告出現(xiàn)的問題p控制程度 設(shè)置設(shè)備重要等級，對不同等級的告警信息采取不同處理p靈活性 可定制6網(wǎng)絡(luò)管理系統(tǒng)的功能特點（網(wǎng)絡(luò)管理系統(tǒng)的功能特點（2）l多廠商集成多廠商集成p管理不

5、同廠商的設(shè)備，包含不遵循SNMP協(xié)議的l存取控制存取控制p不同的用戶訪問權(quán)限可以區(qū)分l用戶友好用戶友好p方便管理員使用l編程接口編程接口p可以靈活擴展功能l報告生成報告生成p按照管理員的要求，生成各種報表7常見網(wǎng)絡(luò)管理系統(tǒng)常見網(wǎng)絡(luò)管理系統(tǒng)lHP OpenViewp第一個網(wǎng)絡(luò)管理系統(tǒng)，最初是一個平臺，現(xiàn)在是可以給最終用戶的產(chǎn)品，得到第三方的廣泛支持pHP Openview Node Management特點： 自動發(fā)現(xiàn)網(wǎng)絡(luò)拓?fù)?性能分析 故障告警 多廠商支持8常見網(wǎng)絡(luò)管理系統(tǒng)（常見網(wǎng)絡(luò)管理系統(tǒng)（2）lCisco WorkspCisco 公司開發(fā)的網(wǎng)絡(luò)管理應(yīng)用，可以集成在網(wǎng)絡(luò)管理平臺上運行p針對C

6、isco產(chǎn)品設(shè)計，管理這些設(shè)備更方便p功能： 配置管理 保存配置文件歷史，可以比較、分析配置文件內(nèi)容 9網(wǎng)絡(luò)管理的意義和發(fā)展網(wǎng)絡(luò)管理的意義和發(fā)展 隨著網(wǎng)絡(luò)的不斷推廣和應(yīng)用，人們對網(wǎng)絡(luò)的依賴越來隨著網(wǎng)絡(luò)的不斷推廣和應(yīng)用，人們對網(wǎng)絡(luò)的依賴越來越大，網(wǎng)絡(luò)越來越重要。越大，網(wǎng)絡(luò)越來越重要。 當(dāng)前計算機網(wǎng)絡(luò)發(fā)展特點：當(dāng)前計算機網(wǎng)絡(luò)發(fā)展特點： 規(guī)模不斷擴大 復(fù)雜性不斷增加 網(wǎng)絡(luò)異構(gòu)性（多廠商設(shè)備）越來越高 網(wǎng)絡(luò)管理系統(tǒng)能給網(wǎng)絡(luò)管理員提供良好的信息來源，網(wǎng)絡(luò)管理系統(tǒng)能給網(wǎng)絡(luò)管理員提供良好的信息來源，減少網(wǎng)絡(luò)故障，縮短網(wǎng)絡(luò)失效時間，最大程度發(fā)揮網(wǎng)減少網(wǎng)絡(luò)故障，縮短網(wǎng)絡(luò)失效時間，最大程度發(fā)揮網(wǎng)絡(luò)的作用。絡(luò)的作用

7、。10網(wǎng)絡(luò)管理定義和模型網(wǎng)絡(luò)管理定義和模型l網(wǎng)絡(luò)管理主要是關(guān)于規(guī)劃、監(jiān)督、設(shè)計和控制網(wǎng)絡(luò)資源的使用網(wǎng)絡(luò)管理主要是關(guān)于規(guī)劃、監(jiān)督、設(shè)計和控制網(wǎng)絡(luò)資源的使用和網(wǎng)絡(luò)的各種活動。和網(wǎng)絡(luò)的各種活動。l網(wǎng)絡(luò)管理模型：網(wǎng)絡(luò)管理模型：p功能模型p體系結(jié)構(gòu)模型p信息模型p組織模型11功能模型功能模型lISO 在在 ISO/IEC7498-4中定義了網(wǎng)絡(luò)管理的五大功能：中定義了網(wǎng)絡(luò)管理的五大功能：p故障管理 包括故障檢測、隔離和糾正三方面p計費管理 記錄網(wǎng)絡(luò)資源的使用，控制和檢測網(wǎng)絡(luò)操作的費用和代價，對商用網(wǎng)絡(luò)尤為重要p配置管理 配置網(wǎng)絡(luò)12功能模型功能模型l性能管理性能管理p估計系統(tǒng)資源的運行狀況及通信效率。l

8、安全管理安全管理p包括對授權(quán)機制、訪問控制、加密和密鑰的管理。13體系結(jié)構(gòu)模型體系結(jié)構(gòu)模型l體系結(jié)構(gòu)模型描述了實體的一般結(jié)構(gòu)，實體間接口及其通信方體系結(jié)構(gòu)模型描述了實體的一般結(jié)構(gòu)，實體間接口及其通信方法。主要涉及遠(yuǎn)程通信網(wǎng)的管理。法。主要涉及遠(yuǎn)程通信網(wǎng)的管理。14信息模型信息模型l實現(xiàn)被管虛擬資源、軟件及物理設(shè)備的邏輯表示。實現(xiàn)被管虛擬資源、軟件及物理設(shè)備的邏輯表示。l多采用面向?qū)ο蟮姆椒ǘx網(wǎng)絡(luò)管理信息。多采用面向?qū)ο蟮姆椒ǘx網(wǎng)絡(luò)管理信息。lSNMP中，網(wǎng)絡(luò)管理信息是面向?qū)傩缘?，更注重簡單性和可擴中，網(wǎng)絡(luò)管理信息是面向?qū)傩缘?，更注重簡單性和可擴展性。采用展性。采用ISO的抽象語法表示語言的

9、抽象語法表示語言(ASN.1)表示。表示。15組織模型組織模型l包括管理者、代理者的概念，管理實體間的通信方法。包括管理者、代理者的概念，管理實體間的通信方法。1617管理信息庫代理管理信息庫代理網(wǎng)絡(luò)管理系統(tǒng)管理者典型網(wǎng)絡(luò)管理體系結(jié)構(gòu)組織模型管理信息庫代理被管設(shè)備單個設(shè)備結(jié)構(gòu)單個設(shè)備結(jié)構(gòu)l管理方式：管理方式：pCLI 命令行 Command Line 最直接，原始的管理方式，能控制設(shè)備的基本狀態(tài) 各個廠商的格式不同 有的產(chǎn)品，CLI實現(xiàn)了管理的所有功能p專有GUI管理程序 設(shè)備專用的管理程序pWEB www方式管理 簡單，往往只有部分管理功能pSNMP 基于網(wǎng)絡(luò)管理系統(tǒng) 往往只有部分管理功能1

10、8單個設(shè)備結(jié)構(gòu)（單個設(shè)備結(jié)構(gòu)（2）lIn-band帶內(nèi)管理帶內(nèi)管理p管理信息流跟普通網(wǎng)絡(luò)數(shù)據(jù)一起傳輸p受普通網(wǎng)絡(luò)數(shù)據(jù)的影響lOut-band帶外管理帶外管理p獨立的管理信息流19單個設(shè)備結(jié)構(gòu)單個設(shè)備結(jié)構(gòu)(3)l入口：入口：p控制口（串口） 只能使用CLI，所有情況下可用 多數(shù)提供MODEM接口 重要設(shè)備需要提供遠(yuǎn)程控制口管理p單獨的管理網(wǎng)絡(luò)接口 Out-band管理p普通網(wǎng)絡(luò)接口 In-band管理 telnet/ssh/SSL20單個設(shè)備結(jié)構(gòu)（單個設(shè)備結(jié)構(gòu)（4）l遠(yuǎn)程控制口遠(yuǎn)程控制口p撥號p反向telnet(Cisco專用)21AccessRouter設(shè)備設(shè)備設(shè)備設(shè)備管理專用網(wǎng)絡(luò)RS232單

11、個設(shè)備結(jié)構(gòu)（單個設(shè)備結(jié)構(gòu)（5）lCLI 命令行命令行 Command LinelWEB www方式管理方式管理22配置信息SNMP代理CLI/WEB配置信息SNMP代理CLI/WEB網(wǎng)絡(luò)管理資源的表示網(wǎng)絡(luò)管理資源的表示l用用“被管理對象被管理對象”(Managed Object)表示網(wǎng)絡(luò)中的資源表示網(wǎng)絡(luò)中的資源lCMIP定義封裝了被管理對象定義封裝了被管理對象p被管理對象的屬性 數(shù)據(jù)類型，是否可寫p被管理對象的行為 可能的操作p被管理對象的通知 特定事件發(fā)生時所發(fā)出的通知23MIB管理信息庫管理信息庫l被管理對象概念上的集合稱為管理信息庫被管理對象概念上的集合稱為管理信息庫(MIB，Manag

12、ement Information Base)lSNMP的的MIBp1988年MIB (RFC 1156)p1990年MIB II (RFC 1158)pIAB鼓勵廠商針對自己的產(chǎn)品定義自己的MIB，然后以RFC文檔的方式公布，以便該產(chǎn)品被網(wǎng)絡(luò)管理系統(tǒng)支持，保證系統(tǒng)的易擴充性p過多的MIB定義加大了網(wǎng)絡(luò)設(shè)備的負(fù)擔(dān) 很多設(shè)備可以設(shè)定啟用哪些MIB24網(wǎng)絡(luò)管理系統(tǒng)構(gòu)成網(wǎng)絡(luò)管理系統(tǒng)構(gòu)成p一個網(wǎng)絡(luò)管理系統(tǒng)不一定包含網(wǎng)絡(luò)管理的所有功能p四個部分組成： 多個被管代理（Managed Agent） 至少一個網(wǎng)絡(luò)管理者（Network Manager） 一個通用的網(wǎng)絡(luò)管理協(xié)議（Network Manageme

13、nt Protocol） 一個或多個管理信息庫(MIB)25網(wǎng)絡(luò)管理者（網(wǎng)絡(luò)管理者（Network Manager）l實施網(wǎng)絡(luò)管理的處理實體，駐留在管理工作站上。實施網(wǎng)絡(luò)管理的處理實體，駐留在管理工作站上。l是整個網(wǎng)絡(luò)系統(tǒng)的核心，完成復(fù)雜網(wǎng)絡(luò)管理的各項功能。如排是整個網(wǎng)絡(luò)系統(tǒng)的核心，完成復(fù)雜網(wǎng)絡(luò)管理的各項功能。如排除網(wǎng)絡(luò)故障，配置網(wǎng)絡(luò)等。除網(wǎng)絡(luò)故障，配置網(wǎng)絡(luò)等。26被管代理（被管代理（Managed Agent）l駐留在被管設(shè)備上，網(wǎng)絡(luò)管理的處理實體。駐留在被管設(shè)備上，網(wǎng)絡(luò)管理的處理實體。l負(fù)責(zé)跟網(wǎng)絡(luò)管理者通信，執(zhí)行網(wǎng)絡(luò)管理者的指令，或在特定事負(fù)責(zé)跟網(wǎng)絡(luò)管理者通信，執(zhí)行網(wǎng)絡(luò)管理者的指令，或在特

14、定事件發(fā)生時通知網(wǎng)絡(luò)管理者。件發(fā)生時通知網(wǎng)絡(luò)管理者。l監(jiān)視所在網(wǎng)絡(luò)設(shè)備的工作狀況，收集有關(guān)網(wǎng)絡(luò)信息。監(jiān)視所在網(wǎng)絡(luò)設(shè)備的工作狀況，收集有關(guān)網(wǎng)絡(luò)信息。l被管代理一般有多個，分別位于網(wǎng)絡(luò)中的各個設(shè)備上。被管代理一般有多個，分別位于網(wǎng)絡(luò)中的各個設(shè)備上。27網(wǎng)絡(luò)管理協(xié)議（網(wǎng)絡(luò)管理協(xié)議（Network Management Protocol）l描述了管理者和被管代理之間數(shù)據(jù)通信機制。描述了管理者和被管代理之間數(shù)據(jù)通信機制。l網(wǎng)絡(luò)管理標(biāo)準(zhǔn)主要制定的內(nèi)容就是網(wǎng)絡(luò)管理協(xié)議。網(wǎng)絡(luò)管理標(biāo)準(zhǔn)主要制定的內(nèi)容就是網(wǎng)絡(luò)管理協(xié)議。l定義管理者和被管代理之間的數(shù)據(jù)報文種類和格式；定義管理定義管理者和被管代理之間的數(shù)據(jù)報文種類和

15、格式；定義管理信息庫的數(shù)據(jù)庫格式。信息庫的數(shù)據(jù)庫格式。28管理信息庫（管理信息庫（MIB）l存儲在被管理設(shè)備的存儲器中。存儲在被管理設(shè)備的存儲器中。l一個動態(tài)刷新的數(shù)據(jù)庫，包括設(shè)備的配置信息、數(shù)據(jù)通信的統(tǒng)一個動態(tài)刷新的數(shù)據(jù)庫，包括設(shè)備的配置信息、數(shù)據(jù)通信的統(tǒng)計信息、安全性信息和設(shè)備特有信息。計信息、安全性信息和設(shè)備特有信息。29集中與分布式的網(wǎng)絡(luò)管理系統(tǒng)集中與分布式的網(wǎng)絡(luò)管理系統(tǒng)l集中式：集中式：p簡單，易于實現(xiàn)p不適應(yīng)大規(guī)模網(wǎng)絡(luò)管理l分布式：分布式：p復(fù)雜p多層管理者p某些管理者會被高一層的管理者所管理p適應(yīng)大規(guī)模網(wǎng)絡(luò)管理303.2 TCP/IP網(wǎng)絡(luò)管理體系結(jié)構(gòu)網(wǎng)絡(luò)管理體系結(jié)構(gòu)lIAB制訂了

16、制訂了TCP/IP網(wǎng)絡(luò)管理體系結(jié)構(gòu)網(wǎng)絡(luò)管理體系結(jié)構(gòu)l三部分內(nèi)組成三部分內(nèi)組成p基于TCP/IP的管理信息結(jié)構(gòu)(SMI)p基于TCP/IP的管理信息庫(MIB)pSNMP網(wǎng)絡(luò)協(xié)議3132333435基于基于TCP/IP的管理信息結(jié)構(gòu)的管理信息結(jié)構(gòu)(SMI)l網(wǎng)絡(luò)管理應(yīng)用通過對網(wǎng)絡(luò)管理應(yīng)用通過對MIB中網(wǎng)絡(luò)管理對象的讀取和設(shè)置來實現(xiàn)中網(wǎng)絡(luò)管理對象的讀取和設(shè)置來實現(xiàn)對網(wǎng)絡(luò)設(shè)備的管理和監(jiān)控。對網(wǎng)絡(luò)設(shè)備的管理和監(jiān)控。lMIB對象的定義符合對象的定義符合ISO ASN.1語言。語言。l對象類型的定義有對象名稱、對象語法和對象編碼。對象類型的定義有對象名稱、對象語法和對象編碼。36對象名稱對象名稱l標(biāo)示一個

17、對象。標(biāo)示一個對象。lASN.1按照對象的注冊關(guān)系定義對象的標(biāo)示符，它是按照對象的注冊關(guān)系定義對象的標(biāo)示符，它是一個整行數(shù)序列。一個整行數(shù)序列。l在注冊關(guān)系樹的在注冊關(guān)系樹的Internet子樹下有四個節(jié)點：子樹下有四個節(jié)點：lDirectory OBJECT IDENTIFIER := internet 1lMgmt OBJECT IDENTIFIER:=internet 2 lExperimental OBJECT IDENTIFIER:=internet 3lPrivate OBJECT IDENTIFIER:=internet 43738對象名稱對象名稱lDirectory(1.3.6

18、.1.1)子樹為子樹為Internet中的中的OSI體系結(jié)構(gòu)保留體系結(jié)構(gòu)保留lMgmt(.2)子樹用于標(biāo)示正式批準(zhǔn)的子樹用于標(biāo)示正式批準(zhǔn)的RFC中定義的對象中定義的對象lExperimental(.3)子樹用于標(biāo)示正在進(jìn)行試驗的對象子樹用于標(biāo)示正在進(jìn)行試驗的對象lPrivate(.4)子樹用于標(biāo)示各個網(wǎng)絡(luò)設(shè)備廠商定義的對象子樹用于標(biāo)示各個網(wǎng)絡(luò)設(shè)備廠商定義的對象39對象語法對象語法l定義對象的結(jié)構(gòu)定義對象的結(jié)構(gòu)lASN.1定義了四種基本對象語法類型：定義了四種基本對象語法類型：pINTEGER 整數(shù)（ASN.1不限制，但是MIB定義為0-4G)pOCTE

19、T STRING 字符串pOBJECT IDENTIFIER 對象標(biāo)示符pNULL40對象語法（對象語法（2）l構(gòu)造語法類型構(gòu)造語法類型 SEQUENCE (序列序列)pSEQUENCE , , p為4種基本類型l支持應(yīng)用語法類型（支持應(yīng)用語法類型（Application-wide syntax type）定義定義pIPADDRESS 長度為4的OCTET STRINGpCOUNTER 計數(shù)器，非負(fù)INTEGERpGAUGE 累加器，非負(fù)INTEGERpTIMETICKS 厘秒計時器，非負(fù)INTEGER41對象編碼對象編碼l采用采用ASN.1基本編碼規(guī)則基本編碼規(guī)則42TCP/IP的的MIBl

20、IAB定義了定義了2個個SNMP MIB：pMIB I(RFC1156)pMIB II (RFC1213)43對象定義格式對象定義格式l對象類的定義包括以下域：對象類的定義包括以下域：p對象域 文本形式的對象描述符合對象標(biāo)示符組成p對象語法域 ASN.1定義的對象類的抽象語法p對象定義 對象語義的說明p對象訪問權(quán)限 Read-only, read-write, write-only, not-accessablep狀態(tài)域 強制(mandatory) 當(dāng)前(current) 過期（deprecated）44例子例子/接口接收數(shù)據(jù)接口接收數(shù)據(jù)lifInOctets OBJECT-TYPEl SYN

21、TAX Counter32l MAX-ACCESS read-onlyl STATUS currentl DESCRIPTION The total number of octets received on the interface, including framing characters. Discontinuities in the value of this counter can occur at re-initialization of the management system, and at other times as indicated by the value of ifCounterDiscontinuityTime.l := ifEntry 10 4546對象組對象組lSystem 組定義網(wǎng)絡(luò)設(shè)備系統(tǒng)描述和硬件、軟件類型組定義網(wǎng)絡(luò)設(shè)備系統(tǒng)描述和硬件、軟件類型lInterface 組定義設(shè)備網(wǎng)絡(luò)端口描述、運行情況和通組定義設(shè)備網(wǎng)絡(luò)端口描述、運行情況和通信量信量lAddress Translation定義網(wǎng)絡(luò)地址到物理地址的映定義網(wǎng)絡(luò)地址到物理地址的映射表（即射表（即ARP表）表）lIP組描述了與設(shè)備組描述了與設(shè)備IP層有關(guān)的信息層有關(guān)的信息lICMP組描述了組描述了ICMP輸入輸出統(tǒng)計信息輸入輸出統(tǒng)計信息lTCP/UDP/EGP/SNMP組分別描