（计算机应用技术专业论文）snmpv3的安全性分析及其在网管应用中的改进.pdf

摘 随着计算机网络的迅速普及和发展， 要 计算机网络的规模越来越大，对它的管 理也越来越复杂，所以需要一个完善的功能强大的网络管理协议。s n m p 协议以 其简单、实用而被广泛接受，并成为事实上的网络管理标准，同时其安全性也成 为众人关注的焦点。s n m p 由其最初的第一版本到现在已经是第三版了，其中经 历了很大的改善和提高，尤其是在安全性方面。本文就是围绕s n m p v 3 的安全特 性展开研究的。 首先，本文简单描述s n m p 的基本工作原理、结构特性、发展过程；接下来 介绍了s n m p v l 和s n m p v 2 的安全特性和其安全缺陷，以此凸显出制定s n m p v 3 的必要性；然后，详细阐述了s n m p v 3 的体系结构、s n m p v 3 中所使用的加密算 法并在此基础上对s n m p v 3 的安全性进行了深入分析。作为一个在1 9 9 8 年制定的 网络管理协议，s n m p v 3 的安全措施足以让当时的网络管理员对其充满信心，这 也正是s n m p 成为事实上网络管理标准的原因之一。但是，随着计算机技术的飞 速发展，特别是计算速度的迅猛提高，s n m p v 3 并非象其当年那样能给人以足够 的安全感了。在本文的最后，作者对s n m p v 3 提出了两点改进。其一、作者对 s n m p v 3 的重播保护做了深入细致的剖析，并提出了在当前情况下，加强s n m p v 3 重播保护的措施；其二、由于v p n 对管理信息有更高的安全要求，作者结合v p n 的一些具体要求以及m i b 的组织结构，提出了对s n m p v 3 所使用的m i bi i 的补充 内容，以使其适合v p n 的要求。 关键词：简单网络管理协议第三版、安全特性、网络管理、加密算法、重 播保护、虚拟专用网 s n m p v 3s e c u r i t ya n a l y s i sa n dt h e i m p r o v i n go ni ti nn e t w o r km a n a g e m e n ta p p l i c a t i o n a b s t r a c t w i t ht h e r a p i dp o p u l a r i z a t i o n a n dd e v e l o p m e n to ft h e c o m p u t e r n e t w o r k ，c o m p u t e rn e t w o r kb e c o m i n gl a r g e ra n dl a r g e r , a n dt h ec o n t r o l o v e ri t b e c o m i n gm o r e a n dm o r e c o m p l i c a t e dt o o ，s on e t w o r k a d m i n i s t r a t o rn e e dap e r f e c ta n d p o w e r f u l n e t w o r km a n a g e m e n t p r o t o c 0 1 s n m pw a sa c c e p t e de x t e n s i v e l yw i t hi t ss i m p l ea n dp r a c t i c a l ， a n db e c a m en e t w o r km a n a g e m e n ts t a n d a r di nf a c t ，a tt h es a l r l et i m e ，i t s s e c u r i t yb e c o m e st h ef o c u st h a te v e r y b o d yp a y sc l o s ea t t e n t i o nt o o s n m pi st h et h i r de d i t i o nt i l ln o wf r o mi t sf i r s ti n i t i a le d i t i o n ，i nt h i s p e r i o di th a sg o n et h r o u g hv e r yg r e a ti m p r o v i n g ，e s p e c i a l l yi ns e c u r i t y a s p e c t t h i sp a p e rl a u n c h e dr e s e a r c h a r o u n dt h es e c u r i t yf e a t u r eo f s n 田v 3 f i r s t l y , t h i sp a p e rd e s c r i b e st h eb a s i co p e r a t i o np r i n c i p l e ，s t r u c t u r e c h a r a c t e r i s t i c ，e v o l u t i o no fs n m pb r i e f l y ；a n dt h e ni n t r o d u c e dt h e s e c u r i t yf e a t u r eo fs n m p v la n ds n m p v 2a n di t ss a f ed e f e c t ，s oa st o d i m p l et h en e c e s s i t y o fm a k i n gs n m p v 3 ；t h e n ，h a v ee x p l a i n e dt h e a r c h i t e c t u r eo fs n m p v 3 、e n c r y p t i o na l g o r i t h mu s e di ns n m p v 3a n d c a r r y i n go ni n - d e p t ha n a l y s i st ot h es e c u r i t yo fs n m p v 3o nt h e s eb a s i s a san e t w o r km a n a g e m e n tp r o t o c o lm a d ei n1 9 9 8 ，t h es a f e t ym e a s u r e so f s n m p v 3w a se n o u g ht ol e tt h en e t w o r ka d m i n i s t r a t o ra tt h a tt i m eh a v e c o n f i d e n c ei ni t ，t h i si so n eo ft h er e a s o n sw h ys n m pb e c o m e st h e s t a n d a r d v i r t u a l l y i nn e t w o r k m a n a g e m e n t h o w e v e r ，w i t h t h e d e v e l o p m e n to ft e c h n o l o g yi nt h ec o m p u t e ra r e aa tf u l ls p e e d ，e s p e c i a l l y t h ev i o l e n ti m p r o v e m e n to ft h e c o m p u t a t i o n a ls p e e d ，s n m p v 3c a n n t g i v en e t w o r ka d m i n i s t r a t o re n o u g hs e n s eo fs a f e t ya st h ep a s ty e a r s f i n a l l y , t h e a u t h o rh a s p r o p o s e di m p r o v i n g a tt w o a s p e c t s o f s n m p v 3 f i r s t l y , t h ea u t h o rp a i n s t a k i n ga n a l y s i st ot h er e p l a yp r o t e c t i o n o f s n m p v 3 ，h a sp r o p o s e dm e a s u r et os t r e n g t h e nt h er e p l yp r o t e c t i o ni n s n m p v 3a tp r e s e n tt i m e ；s e c o n d l y , i nv p nt h e r ea r eh i 曲s e c u r i t y d e m a n dt om a n a g ei n f o r m a t i o n ，a u t h o rc o m b i n es o m ec o n c r e t ed e m a n d o fv p na n di n s t i t u t i o n a lf r a m e w o r ko fm i b h a s p r o p o s e d t h e s u p p l e m e n t a r yc o n t e n to fm i bi iu s e db ys n m p v 3i no r d e rt om a k ei t s u i t a b l ef o rd e m a n do f v p n d i n gy u nz h e n g ( a p p l i c a t i o nt e c h n o l o g yo f t h ec o m p u t e r ) k e y w o r d s ：s n m p v 3 ，s e c u r i t yf e a t u r e ，n e t w o r km a n a g e m e n t ，e n c r y p t a l g o r i t h m ，r e p l a yp r o t e c t i o n 、v p n 独创性声明 y 7 8 0 7 0 7 本人声明所呈交的学位论文是本人在导师指导下进行的研究工作及取得的 研究成果。据我所知，除了文中特别加以标注和致谢的地方外。论文中不包含其 他人已经发表或撰写过的研究成果，也不包含为获得南昌文学或其他教育机 构的学位或证书而使用过的材料。与我一同工作的同志对本研究所做的任何贡献 均己在论文中作了明确的说明并表示谢意。 学位论文作者签名：签字日期：埘趔本二月p 日 学位论文版权使用授权书 本学位论文作者完全了解南昌大学 有关保留、使用学位论文的规定， 有权保留并向国家有关部门或机构送交论文的复印件和磁盘，允许论文被查阅和 借阅。本人授权南昌大学可以将学位论文的全部或部分内容编入有关数据库进 行检索，可以采用影印、缩印或扫描等复制手段保存、汇编学位论文。 ( 保密的学位论文在解密后适用本授权书) 学位论文作者签名：叮谚导师签名： 泓善蔓， 签字日期：m t r 年j 月，p 日签字日期：歹卯f 年占月f 日 学位论文作者毕业后去向 工作单位： 通讯地址： 电话： 邮编： s n m p v 3 的安全性分析及其在网管应用中的改进 第一章绪论 s n m p ( s i m p l e n e t w o r k m a n a g e m e n t p r o t o c o l ，简单网络管理协议) 事实上 指一系列网络管理规范的集合，包括协议本身、数据结构的定义和一些相关概念。 在正式研究s n m p 之前，我们有必要了解一下s n m p 的历史背景。s n m p 的发 展与整个t c p i p 协议组的历史模式类似，但s n m p 是t c p i p 协议组的一部分。 1 1 、t c p i p 的起源 t c p i p 的起源可以追溯到1 9 6 9 年，当d o d ( d e p a r t m e n to f d e f e n s e ，美国 国防部) 成立时，通过美国国防部远景研究规划局建立了第一个包交换网络： a r p a n e t 。a r p a n e t 的目的是为了研究共享计算机资源的相关技术，并把这 种技术用到数据网络来满足d o d 的日常需要。a r p a n e t 在规模上迅速扩展， 从刚开始的几十台到后来的几百台主机直至数千台的终端。但人们很快就发现互 操作性成了主要问题。由于终端和主机都来自不同的供应商，需要开发特殊的软 件来支持从文件传输到终端主机交互作用的一切问题。当a r p a n e t 发展为 i n t e m e t ，并成为一系列局域网和广域网的核心时，问题就变得更明显了。 为解决互操作性问题，a r p a n e t 的研究人员开发了一系列的标准协议集， 在7 0 年代末期便形成了现在的t c p i p 协议组。这些标准化协议以r f c ( r e q u e s t f o r c o m m e n t ，请求注释) 的发行形式作为l a b ( i n t e m e t a r c h i t e c t u r e b o a r d ，i n t e m e t 体系结构委员会) 的标准。最后，该协议组的核心部分以军事标准的形式发行。 t c p i p 满足了d o d 的需要，并成为了d o d 的实现标准。一个有趣但不是 所期望的发展就是t c p 】沪被广泛应用于非军事领域。这种应用的增长始于8 0 年 代中期，也就是刚开始努力围绕o s i 达成国际性的一致意见时。尽管有o s i 的 存在，t c p i p 还是发展迅速，并成为现在主流的标准通信结构。尽管许多( 或 许是大多数) 观察家继续预测o s i 将最终成为协同计算机通信的基础，t c p i p 的预期寿命却逐年上升。 人们自然会问为什么这些军事协议能受到商业市场的青睐? 从表面上看， 似乎市场更应该倾向于国际标准。商业动机和d o d 很相似：t c p f l p 协议组是成 熟的、具有指导意义的协议集，能提供高性能和协同工作的能力。国际标准发展 缓慢，事实上也仍在发展，但仅在近年才有商业上的可实现性。更进一步说，尽 s n m p v 3 的安全性分析及其在网管应用中的改进 管o s i 比t c p i p 提供了更丰富的功能，但这种丰富性正好暗示了其复杂性，使 得要实现一致性、能协同工作的软件要比使用t c p i p 困难得多。 l i2 、t c p i p 网络管理的起源m 1 在t c p i p 的发展过程中，很少考虑到网络管理。刚开始时，几乎所有依附 于眦的主机和子网都基于同一个环境，该环境包括系统程序员和研究 a r p a n e t 某些方面的协议设计者。因此，管理问题就留给了使用基本工具来管 理网络的协议专家了。 7 0 年代后期还没有这样的管理协议。一种有效的管理工具就是i c m p ( i n t e m e tc o n t r o lm e s s a g ep r o t o c o l ，i n t e m e t 控制信息协议) 。i c m p 提供了一种 从路由器或其他主机到主机的传输控制消息的方法。i c m p 在所有支持i p 的设 备上都可用。从网络管理的角度来看，i c m p 最有用的特征是回复回复一应答消 息对。这些消息提供了一种检测两个实体之间能否通信的机制。回复消息的接收 者被动地在回复一应答消息中返回该消息的内容。另外一种有用的消息对时间标 志和时间标志应答，它提供了一种对网络延迟特征取样的机制。 这些i c m p 消息可以和各种i p 报头选项( 例如源地址路由和记录路由) 一 起使用来开发简单而且功能强大的管理工具。最著名的例子就是广泛使用p i n g ( p a c k e ti n t e m e tg r o p e r ，数据包i _ n t e m e t 探索者) 程序。在使用i c m p 时加上一 些附加选项( 诸如请求的时间间隔和发送请求的次数等) ，p i n g 能够实现许多功 能，例如确定能否对物理网络设备寻址、验证网络能否寻址和验证主机上的服务 器操作。p i n g 可用来观测往返时间的变化和数据包丢失率，从而帮助隔离阻塞 区域和故障点。 p i n g 多年来一直和其他辅助工具一起作为网络管理需求的满意解决方案。 直到8 0 年代末期，当i n t e m e t 的发展呈幂指数增长时，工作重点才放到更强大的 网络管理工具的开发上来。 与i n t e r n e t 相连的主机爆炸性地增长，这种纯粹规模上的增长也伴随者复杂性 的增长。作为i n t e m e t 一部分的子网数目和不同管理域的数目也同样呈幂指数迅 速地增加。后一参数反映了对一部分i n t e r n e t 具有“管理”责任的不同实体。 网络上主机数目成百上千，私有网络数以千计，这样，仅依赖于一小部分 s n m p v 3 的安全性分析及其在网管应用中的改进 网络专家来解决网络管理问题再也不可能了。人们需要的是比p n g 功能更多的 标准化协议，而且要容易掌握，并能被大多数负责网络管理的人所使用。 具体网络管理工具始于1 9 8 7 年1 1 月发行的s g m p ( s i m p l eg a g e w a y m o n i t o r i n gp r o t o c o l ，简单网关监视协议) 。s g m p 提供了监视网关的简单方法。 随着对更具一般用途网络管理工具的需求的增长，出现了三种有前途的方法： h e m s ( h i g h l e v e le n t i t ym a n a g e m e n ts y s t e m ，高级实体管理系统) ：这 可能是网络上最早使用的网络管理协议即h m p ( h o s tm o n i t o r i n gp r o t o c o l ，主机 监视协议) 。 s n m p ( s i m p l en e t w o r km a n a g e m e n tp r o t o c o l ，简单网络管理协议) ：这 是简单网络管理协议的增强版本。 c m o t ( c m i po v e rt c p i p ，t c p i p 上的c m i p ) ：这是为网络管理最大 限度地将由o s i 标准化的协议( 公用管理信息协议) 、服务和数据库结构合并起 来的一种尝试。 1 9 8 8 年初，i a b 回顾了这些建议，并批准进一步发展s n m p 作为短期解决 方案和c m o t 作为广泛范围的解决方案( c e r f , 1 9 8 8 ) 。当时认为在合理时间内， 就能完成从t c p i p 装置到基于o s i 协议的过渡，因此很不情愿在可能很快被淘 汰的基于t c p i p 应用程序级别的协议和服务上付出真正的努力。为了满足短期 的需要，s n m p 很快发展起来，提供了一些基本的管理工具，并支持开发经验库 来进行网络管理。h e m s 比s n m p 功能更强，但对工作终端的额外努力是必不 可少的。同时，如果c m i p 能增强到在t c p 上层运行，很可能在向o s i 过渡之 前使用c m o t 。然后，如果向o s i 过渡的时机成熟，网络管理方面的过渡也只 需要很少的努力。 为进一步巩固这种策略，l a b 规定s n m p 和c m o t 使用同样的管理对象数 据库。也就是说，两个协议在任何主机、路由器、网桥和其他被管理的设备中都 使用同样的监视集合控制变量和同样的格式。因此，只需要为两个协议定义一种 s m i ( s t r u c t u r eo f m a n a g e m e n ti n f o r m a t i o n ，管理信息结构) ( 对象格式的基本协 议) 和一种m i b ( m a n a g e m e n t i n f o r m a t i o n b a s e ，管理信息库) ( 数据库的真正结 构、模式等) 。这种数据库的一致性大大简化了过渡：这样只需要改变协议和支 3 s n m p v 3 盼安全性分析及其在网管应用中的改进 持软件，而且在过渡期内，实际的数据库在格式和内容上都是一样的。 但人们很快就发现要在对象级别上把这两种协议绑在一起是不切实际的。在 o s i 网络管理中，被管理的对象被看成是具有属性、相关程序、通告能力以及其 他与面向对象技术相关的复杂特征的实体。为了保持s n m p 的简单性，s n m p 没有设计成与这些复杂概念进行合作。事实上，从面向对象技术的角度来看， s n m p 中的对象并不是真正意义上的对象，而是一些具有基本特征的简单变量， 例如数据类型、只读或读写属性。因此，l a b 放松了对公用s m i m i b 的要求而 允许s n m p 和c m o t 各自并行发展。 1 3 、s n m p 的进化过程 在s n m p 的开发者们从o s i 兼容性的约束中解放出来后进步很快，这也反 映了t c p i p 的发展过程。很快，s n m p 在供应商的设备中被广泛应用，并在 i n t e m e t 中显得非常活跃。除此之外，s n m p 很快成为普通用户管理协议标准化 的选择。正如t c p i p 要比它的预期寿命长一样，s n m p 看起来要用得更为长久， 而o s i 网络管理的广泛应用却一再被推迟。同时，c m o t 的发展目趋衰落。 基本的s n m p 现在正被广泛使用。事实上所有主要的主机、工作站、网桥、 路由器和集线器厂商都提供基本的s n m p 。基于o s i 和其他非t c p i p 组的s n m p 的使用仍在发展。另外，人们也在不同方向对s n m p 进行改进。 1 4 、研究的背景、目标和意义 背景：s n m p 管理协议由于其简单、实用以及易于实现的缘故，它已经成 为网络管理界事实上的工业标准，各公司的网络设备都内嵌s n m p 代理。近一 两年各软件公司所开发的网络管理系统也都是基于这一协议的。网管设备的巨头 c i s c o 公司在其i o s l 2 0 以后的操作系统中都内嵌了s n m p v 3 代理，并且在其p i x 系列的防火墙操作系统中对标准的m i bi i 进行了扩充。 目标：s n m p v 3 同s n m p v l 及s n m p v 2 相比，其最大的特点就是安全性能 的增强。本文通过对s n m p v 3 的安全性作深入细致的分析研究，提出了两点改 进措施以使其安全性能得到进一步增强。 意义：随着硬件速度的飞速提高，特别是网络速度的增加，1 9 9 8 年制定的 4 s n m p v 3 的安全性分析及其在网管应用中的改进 s n m p v 3 已经不向刚开始那样能给人以足够的安全感了。本文就是针对近年来网 络的发展，提出一些对s n m p v 3 的改进措施，以使其能适应新形式的需要。 1 5 、本文的主要工作 本文首先介绍了s n m p 的基础知识，随后对s n m p v l 、s n m p v 2 的安全缺 陷进行了分析，以引出对s n m p v 3 的安全性研究。本文重点分析s n m p v 3 的安 全缺陷，最后，作者对s n m p v 3 提出了两点改进。其一、作者对s n m p v 3 的重 播保护做了深入细致的剖析，并提出了在当前情况下，加强s n m p v 3 重播保护 的措施：其二、由于v p n 对管理信息有更高的安全要求，作者结合v p n 的一些 具体要求以及m i b 的组织结构，提出了对s n m p v 3 所使用的m i b i i 的补充内容， 以使其适合v p n 的要求。 s n m p v 3 的安全性分析及其在网管应用中的改进 第二章s n m p 概述 s n m p 管理也叫i n t e r n e t 管理。之所以被称为s n m p 管理，是因为它不仅可 以管理i n t e m e t 而且还可以管理内联网( i n t r a n e t ) 和电信网络等。s n m p 会很好 地管理那些基于t c p f l p 的协议的网络。s n m p 管理系统甚至可以通过p r o x y 来 管理那些非t c p i p 的网络元素。 s n m p 管理是目前应用得最广泛的网络管理系统( n m s ) 。大多数应用于企 业网络系统的网络组件都具有内置的网络代理，他们可以响应s n m p 网络管理 系统。因此，如果一个具有内置s n m p 代理的网络组件( 例如一台主机、一个 网桥或者一个路由器) 加入到被管理的网络，n m s 就能够自动开始检测这个新 加入的组件。我们之所以能够方便的增加和配置这些网络组件，都要归功于 s n m p 管理系统的普及。援引一位s n m p 的早期设计者m a r s h a l lr o s e r o s e m t 酐j 话说，基本的定理是：“网络管理的引入对于被管节点来说，它的影响必 须是最小的，亦即必须反映出一个最小公分母”。 2 1 、s n m p 参考模型 基于s n m p 的网络管理系统遵循i s o 的网络管理模型，它由管理节点和代 理节点构成，在每个代理节点上保存一个管理信息库，运行在被管设备上的代理 负责收集信息，并通过鼢m 但协议提供给网络管理系统。s n m p 的最大特点是 简单性，它的设计原则是尽量减少网络管理所带来的对系统资源的需求，它的整 个管理策略和体系结构的设计都体现了这一原则，图2 1 f l 】给出了s n m p 的管理 模型： 6 s n m p v 3 的安全性分析及其在网管应用中的改进 被管设备2被管设备“ 图2 1s n m p 管理模型 管理节点一般是面向工程应用的工作站级计算机，拥有很强的处理能力，在它上 面运行s n m p 管理软件。在网络中可以存在多个网络管理节点，每个网络管理 节点可以同时和多个s n m p 代理节点通讯，s n m p 管理软件一般采用图形用户 界面来显示网络的状况，并接受管理员的操作指示不断地调整网络的运行。 代理节点可以是网络上任何类型的节点，如主机、服务器、路由器、交换机 等，这些设备上运行s n m p 代理进程，用于接收和发送s n m p 数据包，代理节 点只需与管理节点通讯，它们占用很少的处理器和内存资源。管理信息库是网络 被管设备的各种状态信息的集合，这些信息被称为s n m p 的管理对象，管理信 息库就是保存所有网络管理对象的数据库。 2 2 、s n m p 协议 s n m p 网络管理协议是应用层协议，通过该协议网络管理站能够对代理进 程中的m i b 管理对象进行读或写操作。s n m p 还定义了陷阱机制使代理进程能 够根据某些预设的条件主动发送告警报文。s n m p 定义了其命令和响应的报文格 式，描述了高层管理框架所需的授权和鉴别机制。 网络管理站通过协议交换s n m p 报文来实现通信。为了确保s n m p 协议的 简单性目标，u d p 被选定为传输协议。代理进程在明确定义的u d p1 6 1 端口接 收报文，而陷阱报文则由网络管理站在明确定义的u d p1 6 2 端口上接收。 7 s n m p v 3 的安全性分析及其在网管应用中的改进 2 2 1 、s n k i p 协议数据单元 在s n m p 中，可以对对象进行3 种操作： g e t ：管理站从代理获取管理对象的值； s e t ：管理站更新代理中管理对象的值； t r a p ：代理发送非请求的对象值到管理站。 s n m p 不可能通过增加或删除对象实例来改变管理信息库( m i b ) 的结构，它 提供的访问仅仅是针对对象标识树中的叶子对象。这一方面大大地简化了s n m p 的实现；而另一方面，也限制了网络管理系统的能力。管理信息的交换是通过 s n m p 的协议数据单元( p d u ) 完成的，在s n m p v l 协议中，定义了五种基本的 p d u ，它们是：g e t - r e q u e s t ，g e t - n e x t r e q u e s t 、g e t r e s p o n s e 、s e t - r e q u e s t 和t r a p a s n m p 管理站使用g e t - r e q u e s t 从s n m p 代理设备中检索信息，s n m p 代理以 g e t r e s p o n s e 消息响应g e t r e q u e s t 消息。可以交换的信息很多，如系统的名字， 系统自启动后正常运行的时间，系统中的网络接口等。g e t r e q u e s t 和 g e t - n e x t r e q u e t 结合起来使用可以获得一个表中的所有对象，g e t r e q u e s t 取回 一个特定的对象，而使用g e t - n e x t r e q u e s t 则是请求表中的下一个对象，使用 s e t r e q u e s t 可以对一个设备中的参数进行配置。s n m p 陷阱是s n m p 代理发送 给工作站的非请求消息，它通知服务器发生了一个特定的事件。例如，s n m p 陷 阱消息可以被用来通知网络管理系统某个线路刚刚失败了。图2 2 j 给出了s n m p 数据报的报文格式： s n m p v 3 的安全性分析及其在网管应用中的改进 厂1 _ _ _ 。i _ _ _ _ r 一_ _ _ 1 | v e r s i o n la 卿蛳琏瓣is 蠢珥王 s n m pm e s s a g e p d u 啪e r e q u e s t , i ! o | | v a i l 捌g - b i n d i n g s g g l 趾q u e s t p d u ，g e t n e x t r e q u e s t p d u ，s e t r e q u e s t p d u p d u 舡i 醺赫确p 藏蓠溺玉i i j 蠢褊毒黼番? i 一慧囊裴l g e t r e s p o n s ep d u t r a p p d u v a r i a b l e - b i n d i n g s 图2 - 2s n m p 协议数据单元格式 下面我们给出s n i v 四数据报报文中各个字段域的描述信息： v e r s i o n ：s n m p 版本。 c o m m u n i t y ：共同体称可以用于认证s n m p 消息的口令。 r e q u e s t i d ：为每一请求提供唯一的i d ，区分未完成的请求。 e r r o r s t a t u s ：说明在处理请求时发生了意外情况，值包括：n o e r r o r ( 0 ) 、 t o o b i g ( 1 ) 、n o s u c h n a m e ( 2 ) 、b a d v a l u e ( 3 ) 、r e a d o n l y ( 4 ) 和g e t e r r o r ( 5 ) 。 e r r o r - i n d e x ：当e r r o r - i n d e x 非0 时，由e r r o r - i n d e x 指明列表中的哪一个变 量引起了错误，变量即管理对象实例。 v a r i a b l e b i n d i n g s ：一系列变量名和相应的值。 e n t e r p r i s e ：产生陷阱的对象的类型，基于s y s o b j e e t l d 。 a g e n t - a d d r ：产生陷阱的对象的地址。 g e n e r i c t r a p ：一般陷阱类型，包含了s n m p 定义的7 个陷阱： ( 1 ) c o l d s t a r t ( 0 1 ：表示代理进程设备重新进行了初始化，代理进程的配置或 协议实体的实现可能发生了变化； ( 2 ) w a r m s t a r t ( 1 ) ：表示代理进程设备重新进行了初始化，但代理进程的配 置或协议实体的实现没有发生改变； s n m p v 3 的安全性分析及其在网管应用中的改进 ( 3 ) l i n k d o w n ( 2 ) ：表示代理进程设备的某条通信链路失效，在t r a p 数据报 中同时绑定了该链路的接口序号； ( 4 ) l i n k u p ( 3 ) ：表示代理进程设备的某条通信链路恢复正常，在t r a p 数据 报中同时绑定了该链路的接口序号； ( 5 ) a u t h e n t i c a f i o n f a i l u r e ( 4 ) ：表示某个报文没有通过鉴别机制； ( 6 ) e g p n e i g h b o r l o s s ( 5 ) ：表示代理进程与其外部网关协议e g p 的相邻节点 的连接中断； ( 7 ) e n t e r p r i s e s p e c i f i c ( 6 ) ：表示该设备的制造厂商自定义的事件发生，其类 型在具体陷阱类型中指出。 s p e c i f i c t r a p ：更具体地指出陷阱性质的一个代码。 t i m e s t a m p ：在网络实体初始化和陷阱产生之间的时间，即s y s u p t i m e 的 值。 2 2 2 、协议的工作过程 s n m p 中网络管理工作站与代理之间的通信通过报文交换来实现。从网络 管理工作站这一端来看，发出的命令启动了s n m p 数据报的创建过程，该操作 可能是s e t ，g e t 或是g e t - n e x t 等任何一种类型。网络管理站进程将创建一个 s n m p 报文，并填入适当的报文首部，以便通过互联网向目的代理进程发送该报 文。在报文中要指定共同体称、版本号和请求d ，还要选择p d u 类型并将变量 绑定列表插入到报文中，然后将s n m p 报文传送给u d p 传输层进行发送。报文 被发出后，网络管理站必须记住请求中的r e q u e s t l d ，以便和随后接收到的响应 配对。此外，系统要启动定时器以处理响应超时。在任何时候，网络管理站都必 须准备接收并处理代理进程发送的陷阱。 初始化完成以后，代理进程就在网络设备的u d p 端口1 6 1 上等待接收s n m p 报文。当代理进程成功地接收到一个报文后，它就调用语法分析程序将a s n 1 格式解码。如果报文的格式不正确，则丢掉该报文，不做任何处理，直接返回到 等待状态。如果格式正确，就开始验证版本号和共同体，通过这两项检查后，代 理进程调用鉴别功能对报文进行验证。如果鉴别失败，则代理进程丢掉该报文并 发出鉴别失败陷阱报文。如果通过了鉴别，则代理进程对报文进行解释处理，同 s n m p v 3 的安全性分析及其在网管应用中的改进 时把响应报文需要用到的传输信息保存起来。 在代理进程对a s n 1 格式的报文进行解码的同时，它可以开始构造用于响 应的报文。在此之后产生的任何差错，都不会使接收到的报文丢弃，而是在响应 报文中指出操作失败的原因。 解码功能模块检查报文中的所有字段，确认标签、长度和值字段的顺序是否 正确，如果格式有效，就执行命令，对在变量绑定列表中的变量进行操作。代理 进程确定变量实例是否存在、网络管理站的请求是否有访问权限以及如何访问请 求中要操作的变量。 代理进程构造好g e t r e s p o n s e p d u 后，用基本编码规则b e r 将报文编码为 a s n 1 格式，交付给u d p 发送服务发送出去，然后代理进程就进入循环等待状 态。代理进程用于记录操作过程的所有变量要适当递增，以便网络管理站以后进 行检查。 2 2 3 、表格处理 在s n m p 中，表格是非常重要的存储变量结构，表格可以有零或多行，每 行由被称为列对象的变量构成。每行中都必须有一个重要的变量，用来定义列对 象的唯一索引，这样该行才能正确访问。该索引可以由一个或多个变量组成。另 外，在每一行中还有一个特殊变量，该变量表示该行的状态。 将读整个表格的操作用一个逻辑操作实现的方法称为成块表格提取，它也是 实现高效网络管理的一个重要概念。对表格进行基本操作有两种形式，即创建行 和删除行。 成块表格提取就是要得到整个表格内容的过程。该操作实现的一种机械方 法是：首先确定表格的起始对象，然后逐个发送g e t n e x t r e q u e s t p d u 直到整个 表格内容完全都被提取出来，这一方法的效率比较低。通常采用的方法是将多个 g e t n e x t r e q u e s t 封装在一个s n m p 数据报中传送，提高系统的效率。在s n m p v 2 版本中，引入了g e t b u l k r e q u e s t 协议数据报，用于支持大块数据报文的传输。 在管理信息库中定义了大量的表格对象，网络管理站在表格中创建行是通过 发送s e t r e q u e s t 数据报来实现的，在s e t r e q u e s t 数据报文中，在v a r b i n d l i s t 中 填入相应的列对象及其值。代理进程对网络管理站的创建行操作可能有三种反 s n m p v 3 的安全性分析及其在网管应用中的改进 应： 简单的代理进程可以拒绝s e t r e q u e s t 协议数据报，告诉网络管理站指定 的行不存在，然后再发送一个g e t r e s p o n s e 协议数据报给网络管理站，其中 e r r o r s t a t u s 字段设置为n o s u c h n a m e ，e r r o r l n d e x 字段也作相应的设置 复杂一些的代理进程实现可以识别新行的创建请求，即能够处理 s e t r e q u e s t 命令。变量绑定列表中指定的每一个变量都创建实例，并赋以相应的 值。当代理进程认为要赋的值不正确时，就发出g e t r e s p o n s e 数据报并将其 e r r o r s t a t u s 置为b a d v a l u e ，e r r o r l n d e x 则指向赋值错误的变量； 最复杂的代理进程实现允许在s e t r e q u e s t 数据报中只给出最小变量集就 可以创建新行，在变量绑定列表中没有指定的列对象被自动创建实例，并赋以默 认值。 在实际操作过程中，还必须要考虑到多个网络管理站同时对一个表进行创建 和删除操作的情况。每一行要有个当前状态记录项，试图对同一行进行多次创 建的情况就可以被发现，并返回差错指示。 修改状态列变量就可以在概念上删除表格的行。该变量通常是枚举类型，其 取值为v a l i d 或i n v a l i d 。当网络管理站提取某行时，一般要先检查该变量，如果 该变量的值为i n v a l i d ，则网络管理站就不对该行中的对象进行操作。网络管理站 将该行的状态对象设置为i n v a l i d ，就完成了对该行逻辑上的删除操作，复杂的代 理进程可以对该行的内容进行复位操作，实现真正意义上的删除行操作。 2 2 4 、s i 蛐i p 的安全机制 s n m p 高层管理所关心的是互相通信的网络管理站和代理进程双方之间的 合法性鉴别和适当的授权。鉴别就是检查、验证报文发送者身份的过程。授权就 是代理进程对收到的并经过鉴别的报文的访问权限所进行的检查。下面以 s n m p “和s n m p v 2 的安全机制来予以说明。 s n m p 采用共同体称作为鉴别的核心机制，该技术简单且易于实现。s n m p 共同体是一个在s n m p 代理和多个s n m p 管理者之间定义了认证和访问控制的 名称。共同体的概念是一个在代理上定义的局部概念。 代理为每个需要认证和访问控制的实体建立一个共同体。每个共同体有一个 s n i v i p v 3 的安全性分析及其在网管应用中的改进 唯一的共同体字，在那个共同体内的管理站必须在所有g e t 和s e t 操作中使用该 共同体的名字。一个代理可以建立许多共同体，这些共同体可以包括重叠的管理 站成员。 由于共同体定义在代理本地上，不同的代理可以用相同的名字。名字的相同 是无关紧要的，不表明在被定义的共同体之间有任何相似之处。因此，管理站必 须保持那些它所希望访问的代理的共同体字。由于s n m p 中的共同体字是以一 个字符串的形式出现的，所以该名字又被称为共同体字符串。在代理进程中实现 时通常都会设置一个默认的名称p u b l i c 。 代理进程接收到命令后，检查共同体称字段，它将保存在本地的共同体称与 接收到的字符串相比较，如果保持一致，则认为协议数据报是可信的，并进行下 一步的处理。如果二者不一致，则接收到的报文被丢弃掉。一旦s n m p 报文通 过鉴别，接下来需要确定访问权限。每个共同体的成员都知道其m i b 中的哪些 对象可以让其他成员访问。这个对象组叫做视图。每个视图有两种对象访问方式， 只读和读写方式。结合这两种方式和m i b 中给定对象定义的访问方式，就可以 创建一个访问矩阵，在矩阵中列出了允许的s n m p 操作，这个矩阵被称为共同 体定义文件。图2 3 【1 1 给出了这个访问矩阵 撕诅对象不可访 m i b 对象只读 一姆嬲霉臻 嘲对霉其写 问 ，v蠢誓o j m 蒸嗣碜莠豁i叠i 蠹i ；= 黪一薹鬟誊 鎏麓l 鬻懑誉麟萋2 鬻誉蒸i 毒的爨戆囊巷一 蠢翼壁黪蕊i i i 嚣鬟豢蒸爱 叠董i ) = l 嘲鼍鹫。蔓； ：一一 蠢藏强：撼繇矗措 1 ，。_ 。掣。”4 6 共同体访阻 g e t 蒿! 鬻蒸 i 。