簡單網(wǎng)絡(luò)管理協(xié)議課件

簡單網(wǎng)絡(luò)管理協(xié)議簡單網(wǎng)絡(luò)管理協(xié)議11SNMP概述在早期的網(wǎng)絡(luò)應(yīng)用中，網(wǎng)絡(luò)管理問題并未得到重視，也無網(wǎng)絡(luò)管理協(xié)議。直到70年代，仍然是使用ICMP協(xié)議做為網(wǎng)絡(luò)管理工具。ICMP協(xié)議：因特網(wǎng)控制報文協(xié)議。ICMP主要用于差錯信息和控制信息的構(gòu)造及某些網(wǎng)絡(luò)信息的獲取。ICMP與IP同屬IP層，但ICMP報文是經(jīng)IP封裝后，作為IP數(shù)據(jù)報發(fā)送出去的。不把ICMP作為一個獨立的協(xié)議層次，是因為ICMP不是上層協(xié)議的基礎(chǔ)，在概念上構(gòu)不成一個獨立的層次。ICMP消息包括以下類型：目的不可達、超時、參數(shù)問題、源端抑制、重定向、回聲請求、回聲應(yīng)答、時間標(biāo)記請求、時間標(biāo)記應(yīng)答。1SNMP概述在早期的網(wǎng)絡(luò)應(yīng)用中，網(wǎng)絡(luò)管理問題并未得到重視21.1SNMP的發(fā)展歷史OSI的CMIP遲遲不出，Internet體系結(jié)構(gòu)委員會提出了SNMP，本想作為一個短期的網(wǎng)管框架，作為臨時解決方法，等到CMIP成熟再換掉SNMP但SNMP發(fā)展很快，并吸引了大量的用戶，許多機構(gòu)、廠家、用戶將其應(yīng)用，成為了事實標(biāo)準(zhǔn)。而SNMP向CMIP的遷移并未發(fā)生，從現(xiàn)在來看，已被業(yè)界廣泛接受。1.1SNMP的發(fā)展歷史OSI的CMIP遲遲不出，Inte31.2SNMPv1的優(yōu)點SGMP基礎(chǔ)上開發(fā)而來SNMPv1最大的特點是簡單性，容易實現(xiàn)且成本低?？缮炜s性——SNMP可管理絕大部分符合Internet標(biāo)準(zhǔn)的設(shè)備；擴展性——通過定義新的“被管理對象”，可以非常方便地擴展管理能力；“健壯性”（Robust）——即使在被管理設(shè)備發(fā)生嚴(yán)重錯誤時，也不會影響管理者的正常工作。1.2SNMPv1的優(yōu)點SGMP基礎(chǔ)上開發(fā)而來41.2SNMPv1的缺點功能簡單、安全性差。使用UDP，不能保證可靠傳輸網(wǎng)管信息。SNMPv1是基于一種主動輪詢的監(jiān)視機制，輪詢間隔短時對網(wǎng)絡(luò)性能影響很大，不適合大規(guī)模的網(wǎng)絡(luò)管理;

SNMPv1不支持管理站-管理站之間的通信，這樣，它不允許一個管理系統(tǒng)去了解由另一個管理系統(tǒng)管理的設(shè)備和網(wǎng)絡(luò)的狀況1.2SNMPv1的缺點功能簡單、安全性差。51.3SNMPv2IETF在1992年雄心勃勃地開始SNMPv2的開發(fā)工作。它當(dāng)時宣布計劃中的第二版將在提高安全性和更有效地傳遞管理信息方面加以改進，具體包括提供驗證、加密和時間同步機制以及GETBULK操作提供一次取回大量數(shù)據(jù)的能力等。然而不幸的是，涉及的方面依然無法取得一致，從而只形成了現(xiàn)在的SNMPv2草案標(biāo)準(zhǔn)。1.3SNMPv2IETF在1992年雄心勃勃地開始SNM61.3SNMPv2的特點SNMPv2支持分布式/分層式的網(wǎng)絡(luò)管理結(jié)構(gòu)，在SNMPv2管理模型中有些系統(tǒng)可以同時具有管理器和代理的功能SNMPv2定義了兩個MIB庫支持分布式網(wǎng)絡(luò)管理擴展了數(shù)據(jù)類型可以實現(xiàn)大量數(shù)據(jù)的同時傳輸，提高了效率和性能豐富了故障處理能力增加了集合處理功能加強了數(shù)據(jù)定義語言1.3SNMPv2的特點SNMPv2支持分布式/分層式的網(wǎng)71.4SNMPv31997年4月，IETF成立了SNMPv3工作組。SNMPv3的重點是安全、可管理的體系結(jié)構(gòu)和遠(yuǎn)程配置。98年協(xié)議RFC文檔說明出臺。1.4SNMPv31997年4月，IETF成立了SNMPv81.4.1SNMPv3的內(nèi)容SNMPv3主要有三個模塊：信息處理和控制模塊、本地處理模塊和用戶安全模塊。

1.4.1SNMPv3的內(nèi)容SNMPv3主要有三個模塊：91.4.2信息處理和控制模塊信息處理和控制模塊在RFC2272中定義，它負(fù)責(zé)信息的產(chǎn)生和分析，并判斷信息在傳輸過程中是否要經(jīng)過代理服務(wù)器等。在信息產(chǎn)生過程中，該模塊接收來自調(diào)度器（Dispatcher）的PDU，然后由用戶安全模塊在信息頭中加入安全參數(shù)。在分析接收的信息時，先由用戶安全模塊處理信息頭中的安全參數(shù)，然后將解包后的PDU送給調(diào)度器處理。1.4.2信息處理和控制模塊信息處理和控制模塊在RFC2101.4.3本地處理模塊本地處理模塊的功能主要是進行訪問控制，處理打包的數(shù)據(jù)和中斷。訪問控制是指通過設(shè)置代理的有關(guān)信息使不同的管理站的管理進程在訪問代理時具有不同的權(quán)限，它在PDU這一級完成。常用的控制策略有兩種：限定管理站可以向代理發(fā)出的命令或確定管理站可以訪問代理的MIB的具體部分。訪問控制的策略必須預(yù)先設(shè)定。SNMPv3通過使用帶有不同參數(shù)的原語使用來靈活地確定訪問控制方式。1.4.3本地處理模塊本地處理模塊的功能主要是進行訪問控制111.4.4用戶安全模塊與SNMPv1和SNMPv2相比，SNMPv3增加了三個新的安全機制：身份驗證，加密和訪問控制。其中，本地處理模塊完成訪問控制功能，而用戶安全模塊（UserSecurityModel）則提供身份驗證和數(shù)據(jù)保密服務(wù)。身份驗證是指代理（管理站）接到信息時首先必須確認(rèn)信息是否來自有權(quán)的管理站（代理）并且信息在傳輸過程中未被改變的過程。1.4.4用戶安全模塊與SNMPv1和SNMPv2相比，122基本體系結(jié)構(gòu)1、SNMP管理模型在OSI管理體系結(jié)構(gòu)中，開放系統(tǒng)存在對等的管理關(guān)系。在SNMP中則是非對稱的。管理站和代理均為應(yīng)用層實體2基本體系結(jié)構(gòu)1、SNMP管理模型132.2SNMP中的元素管理站：由專用設(shè)備構(gòu)成，通過配置管理實體和一組應(yīng)用程序，提供五大管理代理：配備了Agent實體的各類設(shè)備，如主機、Hub等。在Agent實體的支持下響應(yīng)管理站的操作請求，對系統(tǒng)中各類資源的被管對象進行訪問MIB：給出管理站和代理之間共享的管理信息，位于代理系統(tǒng)中。各個代理系統(tǒng)中被管對象的集合則構(gòu)成了該系統(tǒng)的MIB，2.2SNMP中的元素管理站：由專用設(shè)備構(gòu)成，通過配置管理142.2.1管理應(yīng)用程序的MIB在運行了管理應(yīng)用程序的管理站要配置一個管理數(shù)據(jù)庫，用來存儲從各個代理處獲取的管理信息的值，以便于管理應(yīng)用程序的使用這個管理數(shù)據(jù)庫和MIB是有區(qū)別的，MIB是被管對象名的集合，是虛擬的數(shù)據(jù)庫管理站的數(shù)據(jù)庫則是被管對象值的集合，是實際存在的數(shù)據(jù)庫2.2.1管理應(yīng)用程序的MIB在運行了管理應(yīng)用程序的管理站要152.3SNMP的操作共五個操作GetRequest：161端口用來提取一個或多個MIB對象的參數(shù)值GetNextRequest：161用來提取一個或多個MIB對象的參數(shù)的下一個參數(shù)值SetRequest：161設(shè)置代理進程的一個或多個MIB對象的參數(shù)值GetResponse：161端口通過代理進程返回一個或多個MIB對象的參數(shù)值，是前三個的響應(yīng)操作Trap：162端口代理進程主動向管理進程發(fā)出報文，標(biāo)記一個可能需要特殊注意的事件2.3SNMP的操作共五個操作162.4SNMP的工作機制基于中斷的事件驅(qū)動輪詢驅(qū)動2.4SNMP的工作機制基于中斷的事件驅(qū)動172.4.1基于中斷由于網(wǎng)絡(luò)中的各個設(shè)備監(jiān)測設(shè)施在發(fā)現(xiàn)被監(jiān)測設(shè)備或設(shè)施的狀態(tài)和參數(shù)發(fā)生變化后，及時以中斷的方式向管理進程報告。這種報告稱為事件報告事件報告的原因有多樣，如：流量到達閥值、設(shè)備重啟等管理進程中一般都對事件分類，可分成致命事件、嚴(yán)重事件、輕微事件、一般告警等。存在一定不足：如斷電、報告事件的渠道發(fā)生故障時管理進程無法得到此類事件的報告。2.4.1基于中斷由于網(wǎng)絡(luò)中的各個設(shè)備監(jiān)測設(shè)施在發(fā)現(xiàn)被監(jiān)測設(shè)182.4.2基于輪詢管理進程主動輪流查詢各個網(wǎng)絡(luò)設(shè)備或設(shè)施的工作狀態(tài)和參數(shù)。如果返回的結(jié)果說明有錯誤，甚至沒有任何結(jié)果返回，則說明設(shè)備存在嚴(yán)重故障，需要管理進程采取措施才能恢復(fù)。輪詢檢測到故障的時延是較長的。但掌握了網(wǎng)絡(luò)狀態(tài)和參數(shù)全面而事件反映的網(wǎng)絡(luò)狀態(tài)變化不完全，但比較及時（在網(wǎng)絡(luò)線路是連通的情況下）2.4.2基于輪詢管理進程主動輪流查詢各個網(wǎng)絡(luò)設(shè)備或設(shè)施的192.5SNMP的對象訪問策略管理站和代理之間可以是一對多、多對一、多對多的關(guān)系。由于一個代理可以收到不同管理站對被管對象的操作命令，因此需要進行被管對象的訪問控制。以實現(xiàn)對MIB的訪問限定在授權(quán)的管理站范圍（認(rèn)證服務(wù)）、對不同的管理站給予不同的訪問權(quán)限（訪問策略）及在委托代理系統(tǒng)中實現(xiàn)托管站的認(rèn)證服務(wù)（委托代理服務(wù)）等訪問控制要求2.5SNMP的對象訪問策略管理站和代理之間可以是一對多、203RMON遠(yuǎn)程網(wǎng)絡(luò)監(jiān)視RMON將一些專用設(shè)備配置在各個節(jié)點上，并將這些設(shè)備稱為網(wǎng)絡(luò)監(jiān)測器監(jiān)測器對網(wǎng)絡(luò)中各種類型的分組進行觀察，從而得到網(wǎng)絡(luò)的總體信息，還可將一些分組存儲下來，以備事后分析一般每個子網(wǎng)都需要配置一個監(jiān)測器，且是獨立的。3RMON遠(yuǎn)程網(wǎng)絡(luò)監(jiān)視RMON將一些專用設(shè)備配置在各個節(jié)點213.1RMON的先進性對本地網(wǎng)段進行監(jiān)測和分析，即可被動也可主動向網(wǎng)絡(luò)管理系統(tǒng)傳遞信息由于是在本地進行的，分析結(jié)果是非?？煽康拇蟠蠼档土薙NMP的流量3.1RMON的先進性對本地網(wǎng)段進行監(jiān)測和分析，即可被動也223.2RMON的目標(biāo)離線操作即使監(jiān)視器沒有被網(wǎng)管站查詢，也時刻準(zhǔn)備著主動監(jiān)視若有資源，通信負(fù)載也允許問題監(jiān)測和報告也可被動的監(jiān)視網(wǎng)絡(luò)的某些錯誤及其他情況提供增值數(shù)據(jù)提供分析功能，從而減輕管理站的計算任務(wù)多管理站操作可以同時和多個管理站并發(fā)工作，為不同的管理站提供不同的信息。3.2RMON的目標(biāo)離線操作23簡單網(wǎng)絡(luò)管理協(xié)議簡單網(wǎng)絡(luò)管理協(xié)議241SNMP概述在早期的網(wǎng)絡(luò)應(yīng)用中，網(wǎng)絡(luò)管理問題并未得到重視，也無網(wǎng)絡(luò)管理協(xié)議。直到70年代，仍然是使用ICMP協(xié)議做為網(wǎng)絡(luò)管理工具。ICMP協(xié)議：因特網(wǎng)控制報文協(xié)議。ICMP主要用于差錯信息和控制信息的構(gòu)造及某些網(wǎng)絡(luò)信息的獲取。ICMP與IP同屬IP層，但ICMP報文是經(jīng)IP封裝后，作為IP數(shù)據(jù)報發(fā)送出去的。不把ICMP作為一個獨立的協(xié)議層次，是因為ICMP不是上層協(xié)議的基礎(chǔ)，在概念上構(gòu)不成一個獨立的層次。ICMP消息包括以下類型：目的不可達、超時、參數(shù)問題、源端抑制、重定向、回聲請求、回聲應(yīng)答、時間標(biāo)記請求、時間標(biāo)記應(yīng)答。1SNMP概述在早期的網(wǎng)絡(luò)應(yīng)用中，網(wǎng)絡(luò)管理問題并未得到重視251.1SNMP的發(fā)展歷史OSI的CMIP遲遲不出，Internet體系結(jié)構(gòu)委員會提出了SNMP，本想作為一個短期的網(wǎng)管框架，作為臨時解決方法，等到CMIP成熟再換掉SNMP但SNMP發(fā)展很快，并吸引了大量的用戶，許多機構(gòu)、廠家、用戶將其應(yīng)用，成為了事實標(biāo)準(zhǔn)。而SNMP向CMIP的遷移并未發(fā)生，從現(xiàn)在來看，已被業(yè)界廣泛接受。1.1SNMP的發(fā)展歷史OSI的CMIP遲遲不出，Inte261.2SNMPv1的優(yōu)點SGMP基礎(chǔ)上開發(fā)而來SNMPv1最大的特點是簡單性，容易實現(xiàn)且成本低?？缮炜s性——SNMP可管理絕大部分符合Internet標(biāo)準(zhǔn)的設(shè)備；擴展性——通過定義新的“被管理對象”，可以非常方便地擴展管理能力；“健壯性”（Robust）——即使在被管理設(shè)備發(fā)生嚴(yán)重錯誤時，也不會影響管理者的正常工作。1.2SNMPv1的優(yōu)點SGMP基礎(chǔ)上開發(fā)而來271.2SNMPv1的缺點功能簡單、安全性差。使用UDP，不能保證可靠傳輸網(wǎng)管信息。SNMPv1是基于一種主動輪詢的監(jiān)視機制，輪詢間隔短時對網(wǎng)絡(luò)性能影響很大，不適合大規(guī)模的網(wǎng)絡(luò)管理;

SNMPv1不支持管理站-管理站之間的通信，這樣，它不允許一個管理系統(tǒng)去了解由另一個管理系統(tǒng)管理的設(shè)備和網(wǎng)絡(luò)的狀況1.2SNMPv1的缺點功能簡單、安全性差。281.3SNMPv2IETF在1992年雄心勃勃地開始SNMPv2的開發(fā)工作。它當(dāng)時宣布計劃中的第二版將在提高安全性和更有效地傳遞管理信息方面加以改進，具體包括提供驗證、加密和時間同步機制以及GETBULK操作提供一次取回大量數(shù)據(jù)的能力等。然而不幸的是，涉及的方面依然無法取得一致，從而只形成了現(xiàn)在的SNMPv2草案標(biāo)準(zhǔn)。1.3SNMPv2IETF在1992年雄心勃勃地開始SNM291.3SNMPv2的特點SNMPv2支持分布式/分層式的網(wǎng)絡(luò)管理結(jié)構(gòu)，在SNMPv2管理模型中有些系統(tǒng)可以同時具有管理器和代理的功能SNMPv2定義了兩個MIB庫支持分布式網(wǎng)絡(luò)管理擴展了數(shù)據(jù)類型可以實現(xiàn)大量數(shù)據(jù)的同時傳輸，提高了效率和性能豐富了故障處理能力增加了集合處理功能加強了數(shù)據(jù)定義語言1.3SNMPv2的特點SNMPv2支持分布式/分層式的網(wǎng)301.4SNMPv31997年4月，IETF成立了SNMPv3工作組。SNMPv3的重點是安全、可管理的體系結(jié)構(gòu)和遠(yuǎn)程配置。98年協(xié)議RFC文檔說明出臺。1.4SNMPv31997年4月，IETF成立了SNMPv311.4.1SNMPv3的內(nèi)容SNMPv3主要有三個模塊：信息處理和控制模塊、本地處理模塊和用戶安全模塊。

1.4.1SNMPv3的內(nèi)容SNMPv3主要有三個模塊：321.4.2信息處理和控制模塊信息處理和控制模塊在RFC2272中定義，它負(fù)責(zé)信息的產(chǎn)生和分析，并判斷信息在傳輸過程中是否要經(jīng)過代理服務(wù)器等。在信息產(chǎn)生過程中，該模塊接收來自調(diào)度器（Dispatcher）的PDU，然后由用戶安全模塊在信息頭中加入安全參數(shù)。在分析接收的信息時，先由用戶安全模塊處理信息頭中的安全參數(shù)，然后將解包后的PDU送給調(diào)度器處理。1.4.2信息處理和控制模塊信息處理和控制模塊在RFC2331.4.3本地處理模塊本地處理模塊的功能主要是進行訪問控制，處理打包的數(shù)據(jù)和中斷。訪問控制是指通過設(shè)置代理的有關(guān)信息使不同的管理站的管理進程在訪問代理時具有不同的權(quán)限，它在PDU這一級完成。常用的控制策略有兩種：限定管理站可以向代理發(fā)出的命令或確定管理站可以訪問代理的MIB的具體部分。訪問控制的策略必須預(yù)先設(shè)定。SNMPv3通過使用帶有不同參數(shù)的原語使用來靈活地確定訪問控制方式。1.4.3本地處理模塊本地處理模塊的功能主要是進行訪問控制341.4.4用戶安全模塊與SNMPv1和SNMPv2相比，SNMPv3增加了三個新的安全機制：身份驗證，加密和訪問控制。其中，本地處理模塊完成訪問控制功能，而用戶安全模塊（UserSecurityModel）則提供身份驗證和數(shù)據(jù)保密服務(wù)。身份驗證是指代理（管理站）接到信息時首先必須確認(rèn)信息是否來自有權(quán)的管理站（代理）并且信息在傳輸過程中未被改變的過程。1.4.4用戶安全模塊與SNMPv1和SNMPv2相比，352基本體系結(jié)構(gòu)1、SNMP管理模型在OSI管理體系結(jié)構(gòu)中，開放系統(tǒng)存在對等的管理關(guān)系。在SNMP中則是非對稱的。管理站和代理均為應(yīng)用層實體2基本體系結(jié)構(gòu)1、SNMP管理模型362.2SNMP中的元素管理站：由專用設(shè)備構(gòu)成，通過配置管理實體和一組應(yīng)用程序，提供五大管理代理：配備了Agent實體的各類設(shè)備，如主機、Hub等。在Agent實體的支持下響應(yīng)管理站的操作請求，對系統(tǒng)中各類資源的被管對象進行訪問MIB：給出管理站和代理之間共享的管理信息，位于代理系統(tǒng)中。各個代理系統(tǒng)中被管對象的集合則構(gòu)成了該系統(tǒng)的MIB，2.2SNMP中的元素管理站：由專用設(shè)備構(gòu)成，通過配置管理372.2.1管理應(yīng)用程序的MIB在運行了管理應(yīng)用程序的管理站要配置一個管理數(shù)據(jù)庫，用來存儲從各個代理處獲取的管理信息的值，以便于管理應(yīng)用程序的使用這個管理數(shù)據(jù)庫和MIB是有區(qū)別的，MIB是被管對象名的集合，是虛擬的數(shù)據(jù)庫管理站的數(shù)據(jù)庫則是被管對象值的集合，是實際存在的數(shù)據(jù)庫2.2.1管理應(yīng)用程序的MIB在運行了管理應(yīng)用程序的管理站要382.3SNMP的操作共五個操作GetRequest：161端口用來提取一個或多個MIB對象的參數(shù)值GetNextRequest：161用來提取一個或多個MIB對象的參數(shù)的下一個參數(shù)值SetRequest：161設(shè)置代理進程的一個或多個MIB對象的參數(shù)值GetResponse：161端口通過代理進程返回一個或多個MIB對象的參數(shù)值，是前三個的響應(yīng)操作Trap：162端口代理進程主動向管理進程發(fā)出報文，標(biāo)記一個可能需要特殊注意的事件2.3SNMP的操作共五個操作392.4SNMP的工作機制基于中斷的事件驅(qū)動輪詢驅(qū)動2.4SNMP的工作機制基于中斷的事件驅(qū)動402.4.1基于中斷由于網(wǎng)絡(luò)中的各個設(shè)備監(jiān)測設(shè)施在發(fā)現(xiàn)被監(jiān)測設(shè)備或設(shè)施的狀態(tài)和參數(shù)發(fā)生變化后，及時以中斷的方式向管理進程報告。這種報告稱為事件報告事件報告的原因有多樣，如：流量到達閥值、設(shè)備重啟等管理進程中一般都對事件分類，可分成致命事件、嚴(yán)重事件、輕微事件、一般告警等。存在一定不足：如斷電、報告事件的渠道發(fā)生故障時管理進程無法得到此類事件的報告。2.4.1基于中斷由于網(wǎng)絡(luò)中的各個設(shè)備監(jiān)測設(shè)施在發(fā)現(xiàn)被監(jiān)測設(shè)412.4.2基于輪詢