新编-第3章简单网络管理协议-精品课件.ppt

1、TCP/IP网络管理最初使用的是1987年11月提出的简单网关监控协议（Simple Gateway Monitoring Protocol，SGMP），在此基础上改进成简单网络管理协议第一版（Simple Network Management Protocol，SNMPv1）SNMP出现后显示了许多优点。最主要的的优点是：简单，容易实现，而且是基于人们熟悉的SGMP（Simple Gateway Monitoring Protocol）协议，已有相当多的操作经验SNMP虽然被广泛应用，但是SNMP的缺点也是显然的：没有实质性的安全设施，无数据源认证功能，不能防止偷听。面对这样不可靠的管理环境

2、，许多制造商不得不废除了set命令，以避免网络配置被入侵者恶意窜改。为了修补SNMP的安全缺陷，1992年7月出现了一个新标准安全SNMP（S-SNMP），这个协议增强了安全方面的功能：用报文摘要算法MD5保证数据完整性和进行数据源认证；用时间戳对报文排序；用DES算法提供数据加密功能但是S-SNMP没有改进SNMP在功能和效率方面的其他缺点。几乎与此同时有人又提出了另外一个协议SMP（Simple Management Protocol），这个协议由8个文件组成，它对SNMP的扩充表现在下列方面：适用范围：SMP可以管理任意资源，不仅是网络资源，还可用于应用管理，系统管理。可实现管理站之间的

3、通信，也提供了更明确更灵活的描述框架，可以描述一致性要求和实现能力。在SMP中管理信息的扩展性得到了增强。复杂程度、速度和效率：保持了SNMP的简单性，更容易实现，并提供了数据块传送能力，因而速度和效率更高。安全设施：结合了S-SNMP提供的安全功能。兼容性：可以运行在TCP/IP网络上，也适合OSI系统和运行其他通信协议的网络。IETF组织了两个工作组：一个组负责协议功能和管理信息库的扩展，另一组负责SNMP的安全方面又经过几年的实验和论证，后来决定丢掉安全功能，把增加的其他功能做为新标准颁布，并保留了SNMPv1的报文封装格式,因而叫做基于团体的SNMP（Community-based S

4、NMP），简称SNMPv2C有关SNMPv2和SNMPv2C的RFC文件SNMPv2（1993.5）名称SNMPv（2019.1）1441SNMPv2简介19011442SNMPv2管理信息结构19021443SNMPv2文本结构约定19031444SNMPv2一致性声明19041445SNMPv2高层安全模型1446SNMPv2安全协议1447SNMPv2参加者MIB1448SNMPv2协议操作19051449SNMPv2传输层映射19061450SNMPv2管理信息库19071451管理进程间的管理信息库1452SNMP第1版和第2版网络管理框架共存1908SNMPv3工作组的目标是：产生

5、一组必要的文档，作为下一代SNMP核心功能的单一标准。要求尽量使用已有的文档，使新标准1.能够适应不同管理需求的各种操作环境；2.便于已有的系统向SNMPv3过渡；3.可以方便地建立和维护管理系统。SNMP实体可以对MIB-2中的对象执行下列操作：Get：管理站用于检索管理信息库中标量对象的值。Set：管理站用于设置管理信息库中标量对象的值。Trap：代理用于向管理站报告管理对象的状态变化。除过Trap 之外的4种PDU格式是相同的，共有5个字段PDU类型请求标识(request-id)错误状态(error-status)错误索引(error-index)变量绑定表（variable-bind

6、ing）Trap报文的格式与其他报文不同，它有下列字段制造商ID（enterprise）代理地址（agent-addr）一般陷入（generic-trap）特殊陷入（specific-trap）时间戳（time-stamp）生成和发送SNMP报文接收和处理SNMP报文检索简单的标量对象值可以用Get操作，如果变量绑定表中包含多个变量，一次还可以检索多个标量对象的值。接收GetRequest的SNMP实体以请求标识相同的GetResponse响应。特别要注意的是GetResponse操作的原子性：如果所有请求的对象值可以得到，则给于应答；反之，只要有一个对象的值得不到，则可能返回下列错误条件之一

7、：变量绑定表中的一个对象无法与MIB中的任何对象标识符匹配，或者要检索的对象是一个数据块（子树或表），没有对象实例生成。在这些情况下，响应实体返回的GetResponse PDU中错误状字段置为noSuchName，错误索引设置为一个数，指明有问题的变量。变量绑定表中不返回任何值。响应实体可以提供所有要检索的值，但是变量太多，一个响应PDU装不下，这往往是由下层协议数据单元大小限制的。这时响应实体返回一个应答PDU，错误状态字段置为tooBig。由于其他原因（例如代理不支持）响应实体至少不能提供一个对象的值，则返回的PDU中错误状态字段置为genError，错误索引置一个数，指明有问题的变量。

8、变量绑定表中不返回任何值。GetNext命令检索变量名指示的下一个对象实例，但是并不要求变量名是对象标识符，或者是实例标识符。GetNext可用于有效地搜索表对象Set命令用于设置或更新变量的值。它的PDU格式与Get是相同的，但是在变量绑定表中必须包含要设置的变量名和变量值。对于Set 命令的应答也是GetResponse，同样是原子性的。如果所有的变量都可以设置，则更新所有变量的值，并在应答的GetResponse中确认变量的新值；如果至少有一个变量的值不能设置，则所有变量的值都保持不变，并在错误状态中指明出错的原因。Set出错的原因与Get是类似的（tooBig、noSuchName和g

9、enError)，然而若有一个变量的名字和要设置的值在类型、长度或实际值不匹配，则返回错误条件badValue。陷入是由代理向管理站发出的异步事件报告，不需要应答报文。SNMPv1规定了6种陷入条件,另外还有设备制造商定义的陷入：coldStart 发送实体重新初始化，代理的配置已改变，通常是由系统失效引起的。warmStart 发送实体重新初始化，但代理的配置没有改变，这是正常的重启动过程。linkDown 链路失效通知，变量绑定表的第一项指明对应接口表的索引变量及其值。linkUp 链路启动通知，变量绑定表的第一项指明对应接口表的索引变量及其值。authenticationFailure

10、发送实体收到一个没有通过认证的报文。egpNeighborLoss 相邻的外部路由器失效或关机。enterpriseSpecific 由设备制造商定义的陷入条件，在特殊陷入（specific-trap）字段指明具体的陷入类型。支持扩展的MIB图形用户接口自动发现机制可编程的事件高级网络控制功能面向对象的管理模型用户定义的图标通常轮询频率与网络的规模和代理的多少有关。而网络管理性能还取决于管理站的处理速度、子网数据速率、网络拥塞程度等众多的因素，所以很难给出准确的判断规则。轮询只是采用get请求/响应这种简单形式，而且管理站全部时间都用来轮询，于是我们有下面的不等式：NT/，其中 N=被轮询的代

11、理数 T=轮询间隔 =单个轮询需要的时间。与下列因素有关：管理站生成一个请求报文的时间从管理站到代理的网络延迟代理处理一个请求报文的时间代理产生一个响应报文的时间从代理到管理站的网络延迟管理站处理一个响应报文的时间为了得到需要的管理信息，交换请求/响应报文的数量由于轮询的性能限制，SNMP不适合管理很大的网络。轮询产生的大量管理信息传送可能引起网络响应时间的增加。SNMP不适合检索大量数据，例如检索整个表中的数据。SNMP的陷入报文是没有应答的，管理站是否收到陷入报文，代理不得而知。这样可能丢掉重要的管理信息。SNMP只提供简单的团体名认证，这样的安全措施是很不够的。SNMP并不直接支持向被管

12、理设备发送命令。SNMP的管理信息库MIB-2支持的管理对象是很有限的，不足以完成复杂的管理功能。SNMP不支持管理站之间的通信，而这一点在分布式网络管理中是很需要的。SNMPv2 SMI引入了4个关键的概念：对象的定义概念表通知的定义信息模块SNMPv2对象宏定义OBJECT-TYPE MACRO:=BEGIN TYPE NOTATION:=“SYNTAX”Syntax UnitsPart “MAX-ACCESS”Access “STATUS”Status “DESCRIPTION”Text ReferPart IndexPart DefValPart VALUE NOTATION:=val

13、ue(VALUE ObjectName)ENDSNMPv2把表分为两类禁止删除和生成行的表：这种表的最高的访问级别是read-write。在很多情况下这种表由代理控制，表中只包含read-only型的对象允许删除和生成行的表：这种表开始时可能没有行，由管理站生成和删除行。行数可由管理站或代理改变允许生成和删除行的表必须有一个列对象，其SYNTAX子句的值为RowStatus,MAX-ACCESS子句的值为read-write，这种列叫做概念行的状态列。状态列可取6种值active（可读写）notInService（可读写）notReady（只读）createAndGo（只写不读）createA

14、ndWait（只写不读）destroy（只写不读）1.1.行的生成行的生成生成概念行的过程可以分成以下4个步骤(1)(1)选择索引对象的实例标识符选择索引对象的实例标识符(2)(2)管理站通过事务处理产生和激活概念行管理站通过事务处理产生和激活概念行(3)(3)初始化非默认值对象初始化非默认值对象(4)(4)激活概念行激活概念行2.2.概念行的挂起概念行的挂起当概念行处于active状态时，如果管理站希望概念行脱离服务，以便进行修改，则可以发出set命令，把状态列由active置为notInService。这时有两种可能：若代理不执行该操作，则返回wrongValue若代理可执行该操作，则返回

15、noError表定义中的DESCRIPTION子句需指明，在何种情况下可以把状态列置为notInService3.3.概念行的删除概念行的删除管理站发出set命令，把状态列置为destroy,如果这个操作成功，概念行立即被删除SNMPv2提供了通知类型的宏定义NOTIFICATION-TYPE，用于定义异常条件出现时SNMPv2实体发送的信息SNMPv2还引入了信息模块的概念，用于说明一组有关的定义。共有3 种信息模块：MIB模块：包含一组有关的管理对象的定义。MIB的依从性声明模块：使用MODULE-COMPLIANCE和OBJECT-GROUP宏说明有关管理对象实现方面的最小要求。代理能力

16、说明模块：用AGENT-CAPABILITIES宏说明代理实体应该实现的能力1.1.系统组系统组SNMPv2的系统组是MIB-2系统组的扩展2.SNMP2.SNMP组组这个组是由MIB-2的对应组改造而成的，有些对象被删除了，同时又增加了一些新对象3.MIB3.MIB对象组对象组这个新组包含的对象与管理对象的控制有关，分为两个子组第一个子组snmpTrap由两个对象组成：snmpTrapOIDsnmpTrapEnterprise第二个子组snmpSet仅有一个对象snmpSerialNo，这个对象用于解决set操作中可能出现的两个问题：一个管理站可能向同一MIB对象发送多个set操作，保证这些

17、操作按照发送的顺序在MIB中执行是必要的，即使在传送过程中次序发生了错乱。多个管理站对MIB的并发操作可能破坏了数据库的一致性和精确性。解决这些问题的方法如下。snmpSerialNo的语法是TestAndIncr(文字约定为0.2147483647之间的一个整数)，假设它的当前值是K，1）如果代理收到的set操作置snmpSerialNo的值为K，则这个操作成功，响应PDU中返回K值，这个对象的新值增加为K（mod 231）;2）如果代理收到一个set操作，置这个对象的值不等于K，则这个操作失败，返回错误值inconsistentValue.4.4.接口组接口组MIB-2定义的接口组经过一段

18、时间的使用，发现有很多缺陷RFC1573 对MIB-2接口组做了一些小的修改，主要是纠正了上面提到的有些问题。RFC1573还对接口组增加了4个新表5.5.接口扩展表接口扩展表6.6.接口堆栈表接口堆栈表接口堆栈表说明接口表中属于同一物理接口的各个行之间的关系，指明哪些子层运行于哪些子层之上7.7.接口测试表接口测试表接口测试表的作用是由管理站指示代理系统测试接口的故障8.8.接收地址表接收地址表接收地址表包含每个接口对应的各种地址（广播地址、组播地址和单地址）SNMPv2提供了3种访问管理信息的方法：管理站和代理之间的请求/响应通信，这种方法与SNMPv1是一样的。管理站和管理站之间的请求/

19、响应通信，这种方法是SNMPv2特有的，可以由一个管理站把有关管理信息告诉另外一个管理站。代理系统到管理站的非确认通讯，即由代理向管理站发送陷入报文，报告出现的异常情况。SNMPv1中也有对应的通信方式。SNMPv2报文的结构分为3部分：版本号、团体名和作为数据传送的PDU。SNMPv2实体发送一个报文一般要经过下面4个步骤：根据要实现的协议操作构造PDU；把PDU、源和目标端口地址以及团体名传送给认证服务，认证服务产生认证码或对数据进行加密，返回结果；加入版本号和团体名，构造报文；进行BER编码，产生0/1比特串，发送出去SNMPv2实体接收到一个报文后要完成下列动作：对报文进行语法检查，丢

20、弃出错的报文；把PDU部分、源和目标端口号交给认证服务。如果认证失败，发送一个陷入，丢弃报文；如果认证通过，则把PDU转换成ASN.1的形式；协议实体对PDU做句法检查，如果通过，根据团体名和适当的访问策略作相应的处理。SNMPv2 共有6种协议数据单元，分为3种PDU格式这些协议数据单元在管理站和代理系统之间或者是两个管理站之间交换，以完成需要的协议操作如果该变量的对象标识符前缀不能与这一请求可访问的任何变量的对象标识符前缀匹配，则返回一个错误值noSuchObject；如果变量名不能与这一请求可访问的任何变量名完全匹配，则返回一个错误值noSuchInstance。这种情况可能出现在表访问

21、中：访问了不存在的行，或正在生成中的表行等；如果不属于以上情况，则在变量绑定表中返回被访问的值。如果由于任何其它原因而处理失败，则返回一个错误状态genErr,对应的错误索引指向有问题的变量。如果生成的响应PDU太大，超过了本地的或请求方的最大报文限制，则放弃这个PDU，构造一个新的响应PDU，其错误状态为tooBig，错误索引为0，变量绑定表为空。对变量绑定表中指定的变量在MIB中查找按照词典顺序的后继变量，如果找到，返回该变量（对象实例）的名字和值。如果找不到按照词典顺序的后继变量，则返回请求PDU中的变量名和错误值endOfMibView。如果出现其它情况使得构造响应PDU失败，以与Ge

22、tRequest类似的方式返回错误值。假设GetBulkRequestPDU变量绑定表中有L个变量，该PDU的“非重复数”字段的值为N，则对前N个变量应各返回一个词典后继。再设请求PDU的“最大后继数”字段的值为M，则对其余的R=L-N个变量应该各返回最多M个词典后继。如果可能，总共返回N+R*M个值。如果在任何一步查找过程中遇到不存在后继的情况，则返回错误值endOfMibView。这个请求的格式和语义与SNMPv1的基本相同，差别是处理响应的方式不同。SNMPv2实体分两个阶段处理这个请求的变量绑定表，首先是检验操作的合法性，然后再更新变量。如果至少有一个变量绑定对的合法性检验没有通过，则

23、不进行下一阶段的更新操作。所以这个操作与SNMPv1一样，是原子性的。陷入是由代理发给管理站的非确认性消息TrapPDU的变量绑定表中应报告下面的内容：sysUpTime.0的值，即发出陷入的时间。snmpTrapOID.0的值，这是SBNPv2 MIB对象组定义的陷入对象的标识符。有关通知宏定义中包含的各个变量及其值。代理系统选择的其他变量的值。这是管理站发送给管理站的消息，PDU格式与Get等操作相同，变量绑定表的内容与陷入报文的一样。SNMPv2增加的管理站之间的通信机制是分布式网络管理所需要的功能特征，为此引入了通知报文InformRequest和管理站数据库（manager-to-m

24、anager MIB）。管理站数据库主要由3个表组成：snmpAlarmTablesnmpEventTablesnmpEventNotifyTableSNMP引擎提供下列服务：发送和接收报文，认证和加密报文，控制对管理对象的访问。1.1.调度器调度器调度器的功能包括：向/从网络中发送/接收SNMP报文，确定SNMP报文的版本，并交给相应的报文处理模块处理，为接收PDU的SNMP应用提供一个抽象的接口，为发送PDU的SNMP应用提供一个抽象的接口。2.2.报文处理子系统报文处理子系统3.3.安全子系统安全子系统4.4.访问控制子系统访问控制子系统SNMPv3的应用程序分为5种命令生成器（comm

25、and generators）命令响应器（command responders）通知发送器（notification originators）通知接收器（notification receivers）代理转发器（proxy forwarders）管理站代理标准规定安全模块必须提供防护的两种主要威胁是：修改信息（Modification of Information）假冒（Masquerade）标准还规定安全模块必须对两种次要威胁提供防护：修改报文流（Message Stream Modification）消息泄露（Disclosure）有两种威胁是安全体系结构不必防护的，因为它们不是很重要，或

26、者这种防护没有多大作用：拒绝服务（Denial of Service）通信分析（Traffic Analysis）RFC2574把安全协议分为3个模块：时间序列模块：提供对报文延迟和重放的防护。认证模块：提供完整性和数据源认证，加密模块：防止报文内容的泄露在VACM模型中要用到以下概念：SNMP上下文(context)组（group）安全模型（securityModel）安全级别（securityLevel）操作（operation）1.1.视图和视图系列视图和视图系列为了安全，我们需要把某些组（group）的访问权限制在一个管理信息的子集中。提供这种能力的机制就是MIB视图视图限定了SNMP

27、上下文中管理对象类型(或管理对象实例)的一个特殊集合由于列对象的格式是类似的，所以可以把它们聚合成一个结构，叫做视图树系列（ViewTreeFamily）如果下列两个条件都成立，则该对象实例属于视图树系列：管理对象标识符至少包含了系列名包含的那些子标识符；对应于掩码为1的位，管理对象标识符中的子标识符必须与系列名中的对应子标识符相匹配。2.VACM MIB2.VACM MIB的组成的组成VACM MIB由几个表组成vacmContextTablevacmSecurityToGroupTablevacmAccessTablevacmViewTreeFamilyTable3.3.访问控制决策过程访

28、问控制决策过程简单网络管理协议是目前广泛部署和选用的管理协议，特别是用于监控应用SNMP建立在管理信息被组织到MIB这样一种概念之上，其中的单个管理变量或被管对象通过使用对象标对象标识符识符（OID）来处理SNMP提供了少数的原语，这些原语使得管理者能够读写MIB，使代理能够发送事件 对于MIB表这种情况来说，能够对MIB进行漫步特别有用；有趣的是，get-next操作的工作方式意味着表是按照列，而不是按照行来遍历的SNMPv1是最简单的版本，并且对于代理来说是最容易实现的版本 简单性意味着有限的功能，相应地，这又意味着管理应用需要做更多的工作 SNMPv1的唯一安全性机制是作为SNMP报文一

29、部分的社区字符串，它是以明文来通信的，例如，它没有提供验证或加密。因此，很多代理不允许通过SNMP来修改它们的配置，并将SNMP的用途限于监控，在这种情况下暴露的安全性漏洞并不是太重要SNMPv2c增加了一些功能（get-bulk请求和inform请求）最重要的是，增加了一种更有效的手段来获取更多数量的管理信息 注意由于SNMPv2的报文长度限制与SNMPv1的相同，这意味着仍然不可能一次性获取一个MIB或更大的表，因为响应报文的大小很容易超过此限制；尽管如此，在很多情况下，由于使用get-bulk所节省的迭代操作仍然可以使通信效率得到显著改善 SNMPv2还对SNMPv1的安全性缺陷进行了弥补，但是从实用的角度来看，SNMPv2仍然是基于社区字符串，因此也被称为SNMPv2c（c代表了“community”）SNMPv3是SNMP的最新版本，它实际上可以被认为是SNMPv2c加上了安全性而得，这意味着它与SNMPv2c具有相同的管理操作，但解决了缺乏安全性的问题 安全性问题是导致以前的SNMP版本无法用于那些对安全性需求比较敏感的应用，例如供应应用 SNMPv3功能更全面，但是也更复杂，不如最初的SNMPv1协议简单