（计算机软件与理论专业论文）基于snmp的安全分析子系统.pdf

基于$ n m p 的安全分析子系统 计算机软件与理论专业 研究生；王枫指导老师：张洪伟 摘要：近年来，网络技术和信息安全技术是两个计算机及通信中的 重要研究课题之一。这两个技术带来和形成的基本规范和理念已经深 入到社会的各个领域，给人们的f 1 常生活带来全新的感受。人们对网 络技术和信息安全技术的依赖越来越大。 大型的网络不能单独依靠人们的努力来连接和管理，需要使用自动 的网络管理工具，为了满足这些需求，人们已经制定了网络管理的标 准，包括服务、协议和管理信息库。到目前为l f ：，应用最为广泛的标 准就是s n m p ( 简单网络管理协议) 。它帮助网络管理员找出并纠正 t c p i p 互联网中的故障。管理员在本地计算机上( 通常是一个工作站) 调用s n m p 客户机，利用客户机与一个或者多个运行在远程机器( 通常 为网关) 上的s n m p 服务器取得联系。s n m p 使用“取一存”( f e t c h s t o f e ) 模式，其中每个服务器上都有一组概念性变量和统计变量，例如a r p 高速缓存和i p 路由表。s n m p 使用定义了的有限的、容易实现的数量 变量和两维表的管理信息库( m i b ) ，并且在s n m p 的不同版本中加入了 一些安全控制的能力。如共同体的概念和u s m 的概念。本文就试图对 网络技术中的基于t c p i p 协议族的s n m p ( 简单网络管理协议) 和s n m p 中的信息安全性问题作出分析和破解，采用了存储一转发技术来获取 网管设备和被管设备之间的通信信息进行解密，获取的信息存储入数 据库，并进一步进行分析( 性能分析等等) 。文中所进行的描述与探讨 都是在计算机网络规划管理c a d 系统项目的基础上进行的，研究 开发基于s n m p 的网络安全管理分析子系统的目的f 是为了保证当 今信息化社会中计算机网络稳定而可靠地运行。 关键词：s n m pm i b 存储一转发u s m 共同体v a c mw i n s o c k a b s tr a c t ：i nr e c e n ty e a r s ，t h et e c h n o l o g yo fc o m m u n i c a t i o nn e t w o r k a n d c o m m u n i c a t i o n s e c u r i t y i s b e c o m i n gv e r yi m p a r t m e n t t h e s e t w o t e c h n o l o g i e sh a v eas t r o n gi n f l u e n c eo no u rs o c i e t y i no r d e rt oh e l pu sm a n a g i n gt h en e t w o r ks y s t e ma n di n s u r eo u r c o m m u n i c a t i o n ss e c u r i t y ，w eh a v ea l s oc o n s t i t u t e dm a n yc r i t e r i o no f n e t w o r km a n a g e m e n t i n c l u d i n gs e r v i c e ，p r o t o c o la n d s oo n a tp r e s e n t ， s i m p l en e t w o r km a n a g e m e n tp r o t o c o l ( s n m p ) i st h em o s ti m p o r t a n t p r o t o c o lw eh a v eu s i n g s n m ph e l pt h en e t w o r km a n a g e rt of i n do u tt h e f a u l ta n dc o r r e c ti t n e t w o r km a n a g e ru s ep r o c e s st om a n a g et h es n m p c ll e n ta n dt h r o u g ht h es n m pc l i e n tt h en e t w o r km a n a g e rc a nc o n t a c tt h e o n eo rm a n yo t h e rs n m ps e r v e r s n m pu s e “f e t c h s t o r e ”m o d et o c o m m u n i c a t et h ei n f o r m a t i o na n de v e r ys e r v e rs t o r e ss o m ec o n c e p t v a r i a b l ea n ds o m es t a t i s t i c a lv a r i a b l e ，f o re x a m p l es o m ea r p h i g h s p e e d c a t c ha n di pr o u t et a b l e s n m pd e f i n es o m ef i n i t ef u n e r a r yv a r i a b l ea n d t w o d i m e n s i o n a lt a b l e ( m i b ) t os t o r ed a t a ，s n m pa d ds o m ef a c t i o nt o b u i l du ps e c u r i t y ，s u c ha sc o m m u n i t y ，u s ma n dv a c m t h i sd i s s e r t a t i o n i st oa n a l y z et h es n i p ss e c u r i t ya n du s et h es t o r e s e n dc o n c e p tt oc r a c k t h es n m p p r o t o c 0 1 t h ed a t aw h i c h c r a c k e ds t o r ei n t ot h ed a t a b a s e ，a n d w ec a nu s et h ed a t at oa n a l y z et h ei n f o r m a t i o n ，a l lt h ed e s c r i p t i o na n d d i s c u s si sb a s e do n t h ec a d s y s t e mo fs n m p ) ) p r o j e c t k e y m o r d s ：s n m pm i bs t o r e s e n du s mc o m m u n i t yv a c mw i n s o c k 1 序言 简要介绍本文的结构和本文的工作。 1 1 论文的结构 本论文分为四部分： 1 ) 序言：简要介绍论文的结构和内容； 2 ) s n m p 的协议模型和数据分析：介绍s n m p 的西议模型和数据分析模 型； 3 ) s n m p 的安全模型：介绍s n m p 协议中从s n m p v l 到s n m p v 3 中安 全模型的设计； 4 ) 基于s n m p 的网络安全管理分析子系统的设计和实现：系统的设计思 想和实现原理； 1 2 本文的工作 本文的工作主要是在s n m p 网络管理系统的安全分析方面。即分析了 基于s n m p 的网络管理系统的安全模型和漏洞，并提出了一个利用存储 转发机制破译并且分析数据的子系统，然后利用数据库系统对这些数据进 行存储和维护，以便与进行更加深入的分析。本文的研究目的在于s n m p 后续版本的完善和可靠。本文的部分工作已经发表在参考文献 4 4 i 。 本文= f = 作受到国家教育部“高等院校骨干教师资助计划”、“留学归国人员资助计划”和四川大学的资助 编q 为4 1 3 0 3 0 2 ，在此特致谢意。 第3 页 2 s n m p 的协议模型和数据分析 2 1 网络管理协议的发展状况 简单网络管理协议s n m p 由互连网活动委员会i a b ( i n t e m e ta c t i v i t i e s b o a r d ) 下属的互连网工程任务组i e t f ( i n t e m e t e n g i n e e r i n gt a s kf o r c e ) 制定 并实现。s n m p 建立在简单网关监视协议s g m p ( s i m p l eg a t e w a ym o n i t o r i n g p r o t o c 0 1 ) 的基础上。s n m p 最初只是作为一种临时解决方案而提出，但如今它 已经成为了事实标准。s n m p 使用的管理信息结构s m i ( s t r u c t u r eo f m a n a g e m e n t i n f o r m a t i o n ) 、管理信息库m i b ( m a n a g e m e n ti n f o r m a t i o nb a s e ) 提供了监控网 络信息的一组原子性的、功能强大的操作指令。s n m p 是顺应t c p i p 通信的需 要产生的，它被i n t e m e t 组织用来管理互联网和以太网。 公共管理信息服务公共管理信息协议c m i s c m i p ( c o m m o nm a n a g e m e n t i n f o r m a t i o ns e r v i c e s ，c o m m o nm a n a g e m e mi n f o r m a t i o np r o t o c 0 1 ) 由国际标准化 组织i s o ( i n t e r n a t i o n a ls t a n d a r d i z i n go r g a n i z a t i o n ) 开发的，主要针对o s i 七层 m 改模型的传输环境而设计。c m i s 定义了每个网络组成部分可提供的相应的 网络管理服务，这些服务在本质上是通用的。c m i p 是实现c m i s 服务的协议。 c m l s c m i p 意图提供一个用手所有网络设备的网络管理协议簇。与s n m p 的 简单和易实现的原则不同，c m i s c m i p 提供了支持一个完整的网络管理方案所 需的功能。在o s i 七层协议模型的应用层，公共管理信息服务元素c m i s e ( c o m m o nm a n a g e m e n ti n f o r m a t i o ns e r v i c e se l e m e n t ) 提供了应用程序使用 c m i p 的手段。应用层中还包括两个应用协议：联系控制服务元素a c s e ( a s s o c i a t i o nc o n t r o ls e r v i c ee l e m e n t ) 和远程操作服务元素r o s e ( r e m o t e o p e r a t i o n ss e r v i c ee l e m e n t ) 。a c s e 用于在应用程序间建立和关闭连接，r o s e 用于处理应用程序间的交互式请求应答。 基于t c p w 的公共管理信息协议c m o t ( c m i p o v e r t c p i p ) 是一种过渡 方案，它提出在t c p i p 协议簇上实现c m i s 服务。c m o t 依赖于c m i s e 、a c s e 和r o s e 。 局域网个人管理协议l m m p ( l a nm a n m a n a g e m e n tp r o t o c 0 1 ) 由3 c o m 和 第4 页 i b m 公司开发，在i e e e8 0 2 1 b 中描述。l m m p 面向局域网的网络管理，其前 身是i e e e 8 0 2 逻辑链路控制上的公共管理信息服务域协议c m o l ( c m i po v e r l i n k c o n t r 0 1 ) 。l m m p 直接用于i e e e 的逻辑链路层之上，不依赖于任何特定的 网络协议，它比c m i s c m i p 或c m o t 易于实现，但由于没有网络层提供路由 信息它的消息不能跨越路由器。 在上述几种网络管理协议中，真正取得实际效用的目前只有s n m p 。而 s n m p 的发展到现在又经历了s n m p v l 、s n m p v 2 ( 包括s n m p v 2 p 、s n m p v 2 c 、 s n m p v 2 u 和s n m p v 2 * ) 和s n m p v 3 三个版本。 2 2 网络管理的一般模型结构 从系统组成的角度来看，现代网络管理系统由四部分组成：一个或多个网 络管理系统n m s ( n e t w o r km a n a g e m e n ts y s t e m ) 、多个被管代理( m a n a g e d a g e n t ) 、与被管代理对应的管理信息库m i b ( m a n a g e m e n ti n f o r m a t i o nb a s e ) 和个共用的网络管理协议。其中被管代理和m i b 一起驻留在被称为被管设备 的网络设备上。说明如下： 网络管理系统：网络管理的实体( e n t i t y ) ，处于网络中一个主机节点( 管 理工作站) 上，是整个网络系统的核心，实施各项网络管理功能，如配 置网络、监视网络性能、排除网络故障等。 被管代理：是一种软件，驻留在被管理的网络设备( 如路由器和寻径服 务器、交换机和网桥、集线器、计算机主机、或网络打印机等) 上，负 责向管理系统提供各种该网络设备的信息和根据管理系统的请求设置 相应的信息。 管理信息库：是一种动态刷新的数据库，存储被管理设备的各种信息， 如配置信息、通信统计信息、安全信息及该设备生产厂商的特有信息等， 负责向被管代理提供数据和存储被管代理设置的数据。 网络管理协议：描述网络管理系统和被管代理之间的数据通信机制，既 定义了网络管理的通信报文格式和管理信息库的数据库格式。它的定义 决定了网络管理系统的主要功能。 它们的关系图如下： 第5 页 图21 网络管理基本组成部分之间的关系 一般来讲。一个现代网络管理的体系结构模型应该包括下面四个方面的子 模型： 信息模型( i n f o r m a t i o nm o d e l ) ：描述被管理对象，与管理信息库m i b 有着直接的关联。 组织模型( o r g a n i z a t i o nm o d e l ) ：描述处理和支持组织方面。 通信模型( c o m m u n i c a t i o n m o d e l ) ；描述为实藏管理目的所需的通信方 式和过程。 功能模型( f u n c t i o n m o d e l ) ：描述网络管理任务的组成结构。 结构图如下： 第6 页 管理域a 厂1 西孺甄厂 一 簟粤燕b r 怔霉芦f 茵团! ： ；i ”a “il 4 a 1 i i 系统a 管理系统 系统b 管理系统 被管 。操作 被管 对象 管 1 事件7 管 对象 ( 二) 理理 ( 二) i m i j 功 通信 i l j l l 功 l 、 能 l 能 i j i 功能模型 p 搿馘l 通信模型瞳括：m 1 b 访问管i 理协议等i信息模型p ：毁掌构帮l 图2 2 网络管理体系结构的子模型和关系 2 3 网络管理信息模型 管理信息是指那些所有允许或便于网络操作和使用的信息和数据，它在逻 辑概念上的管理和存储表现为管理信息库m i b 。管理信息库及描述管理信息的 信息模型构成了网络管理体系结构的核心，是网络管理系统的基础。 网络资源以对象的形式存放在管理信息库中，它们记录了可管理的网络设 备的各种配置、统计、状态等重要的数据和信息，对应于被管设备( m a n a g e d d e v i c e ) 这个名称，这些对象也被称为被管对象( m a n a g e d0 b j e c t ) 。 被管对象在管理信息库中的存放形式被称作管理信息结构s m i ( s t r u c t u r e o f m a n a g e m e n ti n f o r m a t i o n ) 。目前有两个管理信息结构标准：i n t e m e ts m i 和o s i 第7 页 s m i 。对于i n t e r n e ts m i ，网络管理信息是面向属性的，因此它没有对象的概念， 它更注重简单性和可扩展性。而o s is m i 采用完全的面向对象方法，其被管对 象由与对象相关的属性、方法、事件封装而成，对象之间有继承或派生等对象 关系。这两种s m i 都用i s o 的抽象语法表示语言a s n 1 ( a b s t r a c ts y n t a x n o t a t i o no n e ) 描述。由于s n m p 采用的是i n t e r n e ts m i ，所以后本文提到s m i 时都特指i n t e m e ts m i 。 2 4 网络管理组织模型 虽然在前面提到网络管理体系结构中有四个基本要素，既网络管理系统、 被管对象代理、网络管理信息库和网络管理怫议，但是，在网络管理标准中并 没有明确规定这些部件在网络所处的位置。网络管理的组织模型的建立就是为 了描述了网络管理体系结构中各要素的角色及其作用。 网络管理组织模型的建立形式主要取决于网络管理部件的分散程度和网络 管理结构的自适应能力。前者指数据收集、数据处理、网络监视和网络控制等 功能的分布程度。后者指灵活地配置网络管理部件以及灵活地指定某个管理功 能域应该包含的被管对象等。 从面向网络管理系统的角度出发，目前有三种使用最广的组织结构：集中 式、分层式和分布式。 集中式组织结构的网络管理系统位于一台计算机上，该计算机负责所有的 网络管理任务。 被管设备被管设备 第8 页 图23 ：集中式管理结构 在这种集中式方案中，网络管理管理人员在一个位置就可以查看到所有的 网络情况，这有助于发现并排除故障、确定问题的关联性以及提供相对的安全 性。 在分层式的组织结构中，有一个网络管理系统作为中央服务器系统，其他 的网络管理系统作为客户系统。 本 图24 ：分层式管理结构 这种分层的网络管理结构可以使用基于客户服务器模型的网络数据库技 术。客户端没有单独的数据库，必须通过网络来访问中央服务器的数据库。分 层结构的主要特点是：不依赖单一的管理系统、网络管理任务的分布、网络监 控的分布和对收集到的信息的集中存储和统一管理。 分布式的结构是集中式和分层式的结合。在这种结构中使用了多个对等网 络管理系统，其中有一个系统是这一组对等系统的管理者。 第9 页 图2 5 ：分布式管理结构 分布式结构的每个对等网络管理系统都带有完整的数据库，使其可以执行 多种任务并向管理者系统报告结果。这种结构的特点是：不依赖单的系统， 网络管理任务的分布，网络管理监控的分布，任何网络地点都能够获得所有的 网络信息、警报和事件，任何网络地点都能够访问所有的网络应用。 另外，如果面向被管代理，组织模型还有一般代理模型、中间代理模型和 外部监视代理模型等结构。通常使用最多的还是般代理模型结构，既整个管 理结构中的各个代理只是驻留在相应的被管设备中。 2 5 网络管理通信模型 网络管理涉及对地理上分散的资源的控制和监视。因此，为了在网络管理 过程中实现管理信息的交换，必须定义网络管理的通信模型。 网络管理体系结构的通信模型定义了在多个网络管理系统和被管设备之间 交换管理信息的方案和机制，涉及控制信息的交换用以影响、改变被管对 象的行为；被管设备状态的查询；异步事件消息的通报等。因此，通信模型必 须覆盖以下内容： 通信对象的描述； 通信机制( 服务和协议) 的描述： 通信中数据格式的描述： 网络管理协议嵌入服务结构的机制和网络管理协议层嵌入底层通信结 第l o 页 构的机制的描述。 不同的网络管理功能要求不同的通信和信息交换的能力，既不同的网络管 理功能要求不同的网络管理协议。虽然s n m p 协议在功能上弱于c m i s c m i p ， 但考虑到实际的应用情况，一般网络管理系统还是多采用之。 目f i 所有的网络管理协议都没有阐述网络管理目标是如何完成的，它们只 给出了监视、控制和配置被管网络设备的方法。对于如何更有效地分析通过网 络管理协议通信得到的信息，则是在设计具体的网络管理系统时所必须考虑的 问题。 2 6 网络管理功能模型 网络管理体系结构的功能模型将所有的网络管理任务分成几个不同的功能 域，并且为每个功能域定义通用的管理功能以及在一个功能域的范围内生成所 要求的有帮助的功能、服务和模型。 图2 ，6 ：网络管理的功能模型 功能：创建和删除对象的功能，管理状态的功能等。 服务：读取对象值、改变对象值以及对象值变化时的提示等。 模型：具有管理状态( 如u n l o c k e d ，s h u t t i n g d o w n ，l o c k e d ) 和操作状 态( 如d i s a b l e d ，e n a b l e d ，a c t i v e ，b u s y ) 的状态模型。 因此，都必须对每个功能域的下述内容进行描述：该功能域预期的功能、 第1 1 页 为提供这些功能所必须的服务、该功能域中有关的被管对象和该功能域中可能 的子功能等。 在o s i 的网络管理框架标准中，定义了五个基本的功能域：故障管理( f a u l t m a n a g e m e n t ) 、配置管理( c o n f i g u r a t i o nm a n a g e m e n t ) 、性能管理( p e r f o r m a n c e m a n a g e m e n t ) 、计费管理( a c c o u n t i n gm a n a g e m e n t ) 和安全管理( s e c u r i t y m a n a g e m e n t ) 。其中故障管理是整个网络管理的核心，配置管理是基础。这五 个功能域是一个网络管理系统应该实现的基本功能，其他的诸如网络规划、网 络设计和网络管理系统操作人员的管理等功能则由具体的网络管理系统自行实 现。 2 7 基于t c p i p 的网络管理体系结构 基于t c p i p 的互联网络使用i a b 制定的网络管理体系结构，它由三部分组 成：基于t c p i p 互联网络的管理信息结构s m i ，基于t c p i p 互联网络的管理 信息库m i b 和简单网络管理协议s n m p 。 s n m p 的网络管理模型包括四个关键元素： 网络管理系统：处于网络中一个或多个主机节点( 管理工作站) 上，是 整个网络系统的核心。 管理代理a g e n t ：在网络管理活动中除了管理系统外的其他活动元素， 如主机、路由器、网桥和交换机等，只要配置了s n m p ，就可以进行基 于s n m p 的网络管理。它除了对来自网络管理系统的信息查询和动作 作出响应以外，同时还可以异步地自动地向管理系统提供一些称之为陷 阱( t r a p ) 的重要信息。 管理信息库m i b ：网络管理资源的表示方法是将这些资源以对象的形 式表现出来。每个对象，从本质上讲，就是一个代表被管理对象的特性 的数据。而这些对象的集合就称之为管理信息库m i b 。管理系统通过 获取或设置m i b 对象的值来实现管理功能。 简单网络管理协议s n m p ：管理系统和代理之间的通讯是通过s n m p 协议来实现的，详细的内容后面还要介绍。 第1 2 页 2 7 1 管理信息结构s m 图27s n m p 的管理模型 从管理信息结构出发，可以确定m i b 中管理对象的定义和s n m p 报文的描 述规则。管理信息结构是构成整个s n m p 的基础。 s n m p v l 的管理信息结构在r f c l l 5 5 中作了规定，s n m p v 2 的管理信息结 构在r f c l 4 4 2 中作了规定。无论是哪个版本的管理信息结构，都包括以下三个 方面：对象标识符o l d ( o b j e c t i d e n t i f i e r ) 、对象信息的描述和对象信息的编码。 2 7 1 1 对象标识符 对象标识符也就是对象的命名。i s o 与c c i t t 提供了一个全局命名树，为 第1 3 页 需要命名的对象分配命名树下的一个节点。对象可以是各种类型的，如组织、 管理设备甚至标准文档等。s n m p 的s m i 也采用这种层次型的对象命名规则。 所有对象构成一棵命名树，称之为m i b 树。连接从树根节点路径上所有节点标 识便构成该对象的对象标识符。层次型的命名对应于层次型的管理，有利于对 象名的分配和管理。 如下图所示，m i b 树的根节点是一个虚拟节点，没有实际对应的名字或编 号。顶层的对象标识符属于不同的标准化组织，而较低层的对象i d 则由相应 的组织来决定。 各厂家可以自行为他们的产品定义包含可管理对象的p r i v a t e 分支。在m i b 树型结构中还没有明确标准化的可管理对象，一般可定位在e x p e r i m e n t a l 分支 中。 例如，a t l n p u t 对象可由下列两种方法之一唯一标识： 对象名称：i s o i d e n t i f i e d - o r g a n i z a t i o n d o d i n t e r n e t p r i v a t e e n t e r p r i s e c i s c o t e m p o r a r y v a r i a b l e s a p p l e t a l k a t l n p u t 对象描述符( 等价于对象名) ：1 3 6 1 4 1 9 3 3 1 s n m p 定义的管理对象全部在节点i n t e r n e t 下，i n t e m e t 的对象标识符的定 义是：i n t e m e to b j e c ti d e n t i f i e r ：= i s oo r g ( 3 ) d o d ( 6 ) 1 ) ，也就是 i s o 脚2 d o d i n t e r n e t 或1 3 6 1 。因此s n m p 管理对象标识符都以1 3 6 1 为前缀， 而在定义m 1 b 的r f c 文档中通常都省略了此前缀，以i n t e m e t 作为默认的公共 前缀。如下列对象标识符的定义都是简写为父节点的名字标识和本节点的数字 标识： m g m t o b j e c t i d e n t i f i e r ：= i n t e m e t2 m i b 一2o b j e c t i d e n t i f i e r ：= m g m tl ， s y s t e m o b j e c t i d e n t i f i e r ：5 m i b 2l ， s y s d e s c r o b j e c t i d e n t i f i e r ：= s y s t e ml 第1 4 页 一”， _ j ”。” r 、。、_ 1 。 m 0 i s o ，s c c 、什馏 一一一j 一7 气o 、 $ a n d h 时柏f g 培i r a 帅n - m e m b g r +i d g n l i f l e r l a u t h o r i t yc 1 )口州y 例口r 蚋n i z 删a n 渤 _ ，j 、 ，。 d o d ( 8 1 。、 i n l e r r b e t 一一一一一：= ；歹矿甏弋；= = = = = = 芝泛 蛹c j 。叶 】m g m rf 固e x p e r i m e m a f 3 1p r i v a t e 科 t + e c u n t yf j 。m p v 2 ( b ) l ，r 、 州b 2e ) e + t e + p t i t ef t ) f 。丁、 一一一一：；：多雩歹弋_ 毪= 乏： 。t e m l p4 h a r y 。 111 v m i a b 她f 卦 一一一一一乒5 歹尹弋：瓮：，、 d c 啪t 1 ) x 粕s 2 a p p t et 耐kf 3 ，n o v a l l 3 v i n e 5 抖 e b 酩彤sl 锄 三： = ：l 。，岬匕：e ： e ： l a t l o c a l ( 2 ) l 一一a t g c a s t i nf3 ； k a t f o r w r dh f 。 图28 ：由不同的组织结构决定不同的屡次的m i b 树 对于s n m p 网络管理来说，树状结构的命名方式带来的最大的好处是便于 加入新的网络管理对象，具有良好的扩充性。不同的网络管理对象按照它们各 自所属的层次提供不同的功能，或者将不同的产品供应商连接到不同的子树。 新对象的加入只是所连接的父节点子树的延伸，对其他的节点不会产生影响。 同时，层次型结构管理对象的命名便于对对象的管理。我们可以将不同的子树 授权给不同的管理实体进行管理。管理代理在实现上可以根据不同的需要很方 便地进行裁剪，实现那些对自身设备真正有用的子树，以及从实际出发自定义 所需的子树。 第1 5 页 2 7 ，1 2 对象信息描述 s n m p 必须能够解释和调整被管设备之闯的不兼容性。不同的计算机使用 不同的数据表示技术，这使得s n m p 在被管设备间进行信息交换受到影响。 s n m p 使用抽象语法表示a s n 1 的子集来协调不同系统之间的通讯，同时也针 对s n m p 的需要作了一些扩充。表示管理对象必须至少包括四个方面的属性： 对象类型、存取方式、状态和对象标识。 s m i 特定数据类型有两类：简单数据类型和泛用数据类型( a p p l i c a t i o n w i d e d a t a t y p e ) 。 s n m p v ls m i 定义了三种简单数据类型，它们都是具有唯一值的。这三种 数据类型是：整型( t e g e r ) 、字符串型( o c t e ts t r i n g ) 和对象标识符 型( o b j e c ti d e n t i f i e r ) 。整型是在一2 ，1 4 7 ，4 8 3 ，6 4 8 和2 ，1 4 7 ，4 8 3 ，6 4 7 之间的带 符号整数。字符串型是由八比特位一个字符组成的，长度从0 到6 5 5 3 5 的字符 序列。对象i d 型的数据来自于所有对象i d 的集合，那些对象i d 根据a n s 1 指定的规则进行分配。 s n m p v ls m i 还定义了七种泛用数据类型：网络地址型( i p a d d r e s s ) 、 计量器型( g a u g e ) 、累加器型( c o u n t e r ) 、记时器型( t i m e t i c k s ) 、任 意型( o p a q u e ) 、带符号整型( i n t e g e r ) 和无符号整型( u n s i g n e d i n t e g e r ) 。网络地址型表示一个特定协议簇中的网络地址，s n m p v l 只支持 3 2 位的i p 地址。累加器型是非负整型，它只增不减，若它达到最大值时，就 又初始化为0 。s n m p v l 中定义的是3 2 位的累加器。计量器型也是非负整型， 不过它可增可减，还要保留所达到的最大值。记时器型记录从某一事件开始到 现在的时间，它以百分之一秒为单位。任意型可以表示任意的编码，它用于传 送那些没有严格遵从s m i 数据类型定义的信息字符串。带符号整型表示带符号 的整型值信息。该类型重定义了整型数据，它可以是a s n 1 中的任意精度的带 符号整型。无符号整型是非负整数类型，当信息值总是大于0 时可以用它。它 可以是a s n 1 中的任意精度的无符号整型。 s n m p v 2s m i 新增了些特定数据类型，如位串型( b i ts t r i n g ) ，并增强 了s n m p v ls m i 中原有的数据类型，如网络地址型和累加器型。位串型是由0 或多个含值具名位( b i t ) 组成。对于网络地址型，s n m p v 2 除继续支持3 2 位 第1 6 页 i p 地址外，还支持其他类型的地址。对于累加器型，s n m p v 2 除了支持3 2 位 外，还支持6 4 位。 存取方式为下列四种方式之一：只读( r e a d o n l y ) 、读写( r e a d w r i t e ) 、只 写( w r i t e o n l y ) 和不可访问( n o t a c c e s s i b l e ) 。 状态为下列三种状态之一：强制( m a n d a t o r y ) 、可选( o p t i c a l ) 和过期 ( o b s o l e t e ) 。 例如，i f n u m b e r 是表示网络设备中接口数目的m i b 对象，它的定义如下： i f n u m b e ro b j e c t - t y p e s y n t a x1 n t e g e r a c c e s s r e a d o n l y s t a t u s m a n d a t o r y d e s c r i p t i o n “t h en u m b e ro fn e t w o r k i n t e r f a c e s ( r e g a r d l e s so f t h e i rc u r r e n ts t a t e ) p r e s e n to n t h i ss y s t e m ” ：= i n t e r f a c e s1 ， 2 7 1 3 对象信息编码 对象信息的编码：管理代理和管理系统之间的通信必须对对象信息统一编 码，为此，s m i 规定了对象信息的编码采用基本编码规则b e r ( b a s i ce n c o d i n g r u l e s ) 。 b e r 编码有三个字段： 标签( t a g ) ：存储关于标签和编码格式的信息； 长度( l e n g t h ) ：记录内容字段的长度； 内容( v a l u e ) ：实际的数据。 可以说b e r 编码实际上就是一个t i 三元组( 标签，长度，内容) 。 标签字段长度为一个字节( 八位) 对标签类别、标签号和编码格式进行编 码。其格式如下： 第1 7 页 1 标签类别ip ci 标签号 l 圄29 标签八位位组结构 标签类型位编码说明如下： o o ：通用类型 0 l ：应用类型 1 0 ：相关类型 1 1 ：专用类型 p c 位指编码格式，0 是基本型( p r i m i t i v e ) 。1 是构造型( c o n s t r u c t ) 。构 造型是一种嵌套的编码结构。图示如下： 基本型： j 二工 二 二互 构造型： e 工i 二 e 工豆 j 二 工互 j 圈 如果标签号在0 到3 0 之间，则标签号可以直接用标签字段的后5 位比特来 表示。当标签号大于3 0 时，标签字段就需要用附加的字节来表示。这时首先需 要将标签字段的后5 位比特全部置位，然后将最后一个附加字节的最高位清零， 其余附加字节的最高位置位。如此将所有附加字节的低7 位连在一起就可以得 到标签号了。 氏度字段用来表示内容字段的长度。根据编码是否可用，也就是内容字段 的长度在编码时是否可以知道，可以将长度字段的编码分为确定格式和非确定 格式。确定格式又可分为长格式和短格式两种。根据下面的规定来决定格式的 使用： 如果编码是基本型，则使用确定格式； 如果编码是构造型，并且知道内容字段的长度，则既可以使用确定格式， 又可以使用非确定格式： 如果编码是构造型，且不知道内容字段的长度，则使用非确定格式。 对于确定格式，长度字段由一个或多个字节组成。当内容字段长度小于1 2 8 时，称为短格式，用一个字节表示即可，该字节的最高位需清零。当内容字段 的长度大于等于1 2 8 时，称为长格式。长格式将长度字段的第一个字节的最高 第1 8 页 位置位，再用后7 位表示后续的表示长度的字节数。这里有个限制，就是不允 许后7 位全部为1 。也就是说可以用1 2 6 个无符号二进制整数来表示内容字段 的长度。当然，短格式也可以用长格式来表示。 如果内容字段的长度无法确定，则需要用非确定格式。这时将长度字段的 最高位置位，后7 位全部清零，在内容结束后，用两个连续的全零字节表示结 束。 内容字段由0 个或多个字节组成，并根据各种数据类型的规定进行相应的 编码。 2 7 2 管理信息库m i b 管理信息库m i b 是基于t c p i p 的网络管理系统的基础。网络管理活动中 使用的每个被管资源用一个对象来表示。m i b 就是这些对象经结构化后的集 合，反映被管资源的状态。通过读取或设置这些对象的值可以监视或控制网络 资源。 s n m p 的管理信息结构s m i 给出了定义m i b 结构的总体框架。在这个框架 之下，可以进行m i b 的定义和构造。s m i 定义了m i b 中使用的数据类型和m i b 资源的描述和命名。 m i b 中有两种类型的对象：标量对象和表对象。每种对象有唯一的对象标 识符o i d 。当对一个m i b 对象进行访问时，目标是特定的对象实例而非对象类 型。 s n m p 规定标量对象类型只有一个对象实例，其生成规则是：标量对象的 对象标识符加上0 就构成对象实例。 表对象类型由行对象和列对象构成，但实际上表对象和行对象没有叶子节 点，是不可访问的，我们只能对列对象进行访问。由于一张表有若干行，故对 象标识符本身不足以标识一个实例，需要一个约定来识别对象实例。m i b 中没 有明确定义指定对象实例的方法。指定对象实例是通过特定协议的机制来实现 的。在s n m p 协议中定义了两种标识特定对象实例的方法，既顺序访问对象和 随机访问对象。 对象的标识符是一个点分整数序列，反映了m i b 中对象的层次型和树状结 第1 9 页 构。一个特定对象的对象标识符可以沿着从根到该对象的路径获得。由于对象 标识符是整数序列，因此可以将它们按字典顺序进行排列。同时，对象实例标 识也是按字典排序的。这样，按照字典排序的特征，网络管理系统就可以有效 地遍历一个m i b 了。 表中每一行都有相同的列对象，每个列对象的对象标识犄是唯一的。为了 将一行同其他行区别开来，s n m p 采用将列对象的标识符与索引列对象的值相 结合的方法，即对象的标识符后加上索引对象的值，来指定一个特定行中的特 定对象。索引对象按其在表中的定义顺序排列。 一般在s n m p 中使用m i b 2 节点下的组进行网络管理： s y s t e m 组：提供被管系统的总体信息。 i n t e r f a c e s 组：提供网络实体的物理层接口信息。 i p 组：提供网络实体中有关i p 的实现和操作信息。 i c m p 组：提供网络实体中有关i c m p 的实现和操作信息。 t c p 组：用于连接、流量控制、数据重传和网络拥塞等问题的解决。 u d p 组：与t c 口组相似，但是不提供有关网络连接的信息。 e g p 组：提供网络自治系统中路由器之间信息交换的信息。 s n m p 组：提供网络实体中有关s n m p 的实现和操作信息。 节点定义如下： i n t e m e to b j e c t i d e n t i f i e r ：= i s oo r g ( 3 ) d o d ( 6 ) 1 m g m t o b j e c t i d e n t i f i e r ：= i n t e m e t2 ) m i b 一2o b j e c t i d e n t i f i e r ：；= m g m t1 ) s y s t e m o b j e c t i d e n t i f i e r ：= m i b - 211 i n t e r f a c e so b j e c t i d e n t i f i e r ：= m i b 一22 l i p o b j e c t i d e n t i f i e r ：。 m i b 一24 i c m p o b j e c t i d e n t i f i e r ：= f m i b 一25 1 t c p o b j e c t i d e n t i f i e r ：= m i b 一26 ， u d p o b j e c t i d e n t i f i e r ：= m i b - 27 e g p o b j e c t i d e n t i f i e r ：2 m i b 一28 s n m p o b j e c t i d e n t i f i e r ：= m i b 211 ， 第2 0 甄 m i b 一2 下还有其他一些组如a t