企业网管与安全中心.doc

1 企业网管与安全中心1.1 网络管理基础网络管理就是指监控、组织和控制网络通信服务以及信息处理所必需的各种活动的总称。其目标是确保计算机网络的持续正常运行，并在计算机网络运行出现异常时能及时响应和排除故障。实训目的了解网络管理相关知识熟悉SNMP协议掌握网络设备的SNMP配置1.1.1 基本理论 网络管理的功能1配置管理对设备和系统进行各类网络参数的定义和设置。2性能管理使用特定的管理软件和设备对系统运行效率进行监测，通过监测数据的统计分析作为网络系统改进和升级的依据。3故障管理查找并解决因硬件和软件问题而引起的网络故障。4安全管理数据私有性管理:设备配置表、口令，数据库管理授权管理:设备和文件系统的管理权限访问控制: 对系统资源访问的控制，如路由和交换的ACL，上网限制加密管理:口令加密，加密证书，SSL（安全套接层)安全日志管理：对网络设备和服务器每天产生的日志进行分析，找出异常的记录，进而对安全漏洞进行修补、防范、清除5计费管理记录用户对网络资源的使用情况(流量，时间，空间等)，计算用户占有网络系统资源的各项费用和总计费用。 网络管理的协议1.SNMP(简单网络管理协议）简单网络管理协议（SNMP：Simple Network Management Protocol）是由互联网工程任务组（IETF）定义的一套网络管理协议。该协议基于简单网关监视协议（SGMP：Simple Gateway Monitor Protocol）。利用SNMP，一个管理工作站可以远程管理所有支持这种协议的网络设备，包括监视网络状态、修改网络设备配置、接收网络事件警告等。虽然SNMP开始是面向基于IP的网络管理，但作为一个工业标准也被成功用于电话网络管理。2.CMIS/CMIP协议公共管理信息服务/公共管理信息协议(CMIS/CMIP)是OSI提供的网络管理协议簇。CMIS定义了每个网络组成部分提供的网络管理服务，这些服务在本质上是很普通的，CMIP则是实现CMIS服务的协议。3RMON协议RMON是远程监控的简称，是用于分布式监视网络通信的工业标准，RMON和RMON2是互为补充的关系。RMONMIB由一组统计数据、分析数据和诊断数据构成。利用许多供应商开发的标准工具可显示出这些数据，因而它具有远程网络分析功能。RMON探测器和RMON客户机软件结合在一起，就可以在网络环境中实施RMON。这样就不需要管理程序不停地轮询，才能生成一个有关网络运行状况的趋势图。当一个探测器发现一个网段处于一种不正常状态时，它会主动与在中心网络控制台的RMON客户应用程序联系，并将描述不正常状况的信息转发。4AgentX（扩展代理）协议AgentX协议是由因特网工程任务组（IETF）在1998年提出的标准。AgentX协议允许多个子代理来负责处理MIB信息，该过程对于SNMP管理应用程序是透明的。AgentX协议为代理的扩展提供了一个标准的解决方法，使得各子代理将它们的职责信息通告给主代理。每个符合AgentX的子代理运行在各自的进程空间里，因此比采用单个完整的SNMP代理具有更好的稳定性。另外，通过AgentX协议能够访问它们的内部状态，进而管理站随后也能通过SNMP访问到它们。 SNMP1. SNMP基本原理SNMP采用了Client/Server模型的特殊形式：代理/管理站模型。对网络的管理与维护是通过管理工作站与SNMP代理间的交互工作完成的。每个SNMP从代理负责回答SNMP管理工作站（主代理）关于MIB定义信息的各种查询。2. 管理信息库MIBIETF规定的管理信息库MIB（由中定义了可访问的网络设备及其属性，由对象识别符（OID：Object Identifier）唯一指定。MIB是一个树形结构，SNMP协议消息通过遍历MIB树形目录中的节点来访问网络中的设备。3.3. SNMP的五种消息类型SNMP中定义了五种消息类型：Get-Request、Get- Response、Get-Next-Request、Set-Request、Trap。?SNMP管理站用Get-Request消息从拥有SNMP代理的网络设备中检索信息，而SNMP代理则用Get-Response消息响应。Get- Next-Request用于和Get-Request组合起来查询特定的表对象中的列元素。 网络管理系统的构成1网络管理基站2网络管理协议3管理代理4管理信息数据库5代理设备 网络管理员的任务1网络基础设施管理2网络操作系统管理3网络应用系统管理4网络用户管理5网络安全保密管理6信息存储备份管理7网络机房管理 网络管理规划1.准备工作了解网络结构网络系统建成后,作为网络管理员,必须对网络的特性详细了解,并做成详细的结构图和参数表。主要包括以下部分:勾画整体网络结构和组成部分勾画核心设备的网络结构描述以上两部分的网络参数2.启用SNMP启用交换机SNMP启用路由器SNMP启用服务器SNMP3.网络管理软件网管软件分类 厂商网管软件:专用于该设备系列的配置和管理，不能用于其他厂商产品。例如：CiscoWorks ,Nortel DeviceManager, 各防火墙配置软件。 第三方网管软件:能实现对多数厂商产品的性能管理或部分配置管理。如HP OpenView，IBM Tivoli NetView, Solarwinds。 网管软件结构 C/S网管软件:传统的网管配置模式，需要安装专门的管理软件才能管理和配置相应的设备。如： Nortel DM设备管理软件,HP OpenView ,IBM Tivoli NetView。 B/S网管软件:现代的网管配置模式，无须安装管理软件,直接使用浏览器管理和配置设备。如：Netscreen防火墙,交换机,宽带路由器等。1.1.2 实训内容 实训环境 实训要求1、理解SNMP协议的作用 2、配置交换机的SNMP3、配置服务器的SNMP 实训步骤一、安装前准备1根据实训环境和拓扑图，连接交换机和路由器。二、SNMP的主要配置步骤 1.启用交换机SNMP： Switch(config)#interface vlan 1 Switch(config-if)#ip address Switch(config-if)#no shut Switch(config)#snmp-server community ro(rw) (一般口令串设置为public,只读权限) 2启用路由器SNMP Router(config)#snmp-server community ro(rw) 3. 启用服务器SNMP Windows SNMP服务是作为系统的一个组件添加 在Service管理中可以对SNMP的安全进行设置 五、验证SNMP在网络设备或服务器启用了SNMP后，使用网络管理或监测软件使用设定的团体名称能成功连接网络设备并进行管理。1.2 网络管理软件网络管理软件是协助网络管理人员进行内外网管理、设备监测维护、人员网络监控等的工具，其中包括综合管理软件，也有运行维护、监控、流量分析等有针对性的各类细分软件。1.2.1 HP OPENVIEW NNM 理论基础HP OpenView最初为网络管理设计的，其最基础的产品是OpenViewNetworkNodeManager(NNM)，NNM是网络和系统管理的基础和平台，NNM与第三方的管理应用集成在一起，可以形成强大的综合的管理环境。NNM具有如下特征：自动发现和监控网络节点可自动发现网络节点、自动产生网络拓扑图，并对网络事件进行处理。分布式和可伸缩分布式及可伸缩结构可为用户指定域分配采集器，采集器可向分布在广域网上的一个或多个管理器报告发现设备的情况与设备变化的情况，只有重要的数据才被传往管理器，这样减少了全网的信息流量，从而最大限度地节约网络带宽。NNM支持分层管理，并且没有层次的限制。可以集成数百个HP OpenView解决方案合作伙伴开发的应用程序，以满足用户特定的网络，系统，应用及数据库管理之需求。NNM的发现过滤，拓扑过滤，图象过滤功能使用户可以根据自己的需要，选择要发现监控的对象，定制MAP，按一定的共同特征将被管对象进行分组易于使用的GUI作界面，能动态反映网络的拓扑结构，包括网络各种资源变化的自动监测，方便操作人员的网络运行状况监控。 实训内容.1 实训环境.2 实训要求1、安装HP NNM 2、使用HP NNM 发现和查看校园网网络设备.3 实训步骤一、安装前准备1根据实训环境和拓扑图，配置需要进行管理的网络设备的SNMP（见SNMP实训步骤）。2要运用NNM 进行网络管理，需要在管理机器上安装IIS、SNMP 服务。 二、HP OpenView NNM 的安装NNM 的安装比较简单，一路“下一步”就可以了。唯一需要注意的是安装过程中会提示你输入网关地址的密码名（即共同体名），这里一定要输入正确，可以为你网络拓扑的发现带来事半功倍的效果。NNM 安装三、网络节点的发现安装完NNM 后，首要任务就是要发现新的网络节点。因为我们在安装过程中只对网关设置了共同体名“public”，因此NNM 对除了网关的网络节点会用默认的“Public ”进行轮询发现。可以在“选项/SNMP 配置中”修改全局默认设置。或者可以将设置的共同体名加入到“特定节点”当中。这样NNM 可以用默认的设置对设备进行轮询。更改SNMP 配置打开NNM，NNM 已经对发现的节点自动绘制了拓扑图。这里可以看到校园网的核心交换机是北电的8003，点击菜单上的“帮助/显示图例”。可以看到对图标不同颜色的解释。绿色代表正常，黄色代表非严重警报。全局拓扑图 双击每个图标可以进入下一级视图。因为当前是交换机，下一级子图可以看到当前该交换机上端口的利用情况。默认情况下，NNM 仅发现与管理工作站存在于相同子网的机器。当需要发现更多子网时，可以通过在NNM 发现范围的配置文件中进行定义。通俗地说，就是建立一个种子文件，该文件中包含需要发现的节点的IP 地址。当NNM 启动的时候，他通过查询配置文件了解需要发现的节点的信息，然后发现该节点所在子网上的节点。因此在种子文件中最好能够包含核心交换机或路由器的地址，同时文件中包含的节点必须支持SNMP 。添加了种子文件以后，可以看到网络拓扑发生了变化，网络中的主要节点都已经呈现出来了。四、查询节点状态网络节点发现完毕后，主要的节点设备是我们关注的重点对象。点击“性能/网络活动”，可以看到NNM已经定义的一些状态检查。接口状态查询察看交换机接口的数据包速率，示例如下：实时图形化数据点击“视图/统计数据”可以查看统计信息统计信息可以看到，NNM可以对当前交换机的所有端口的数据包速率进行实时的检测，由统计信息可以看到速率最高的是4号端口的流出数据。七、报告功能点击“选项/报告配置”打开对话框选择报告模版首先要选择报告的模版，NNM 提供了4 种模版可供选择。分别是“可用性、异常、资产、性能”。可以根据需要来选择。然后点击“下一步”，给将要生成的报告命名。还可以填写邮件地址，让NNM 将报告发送到指定的邮箱。给报告命名再下一步，选择报告的生成所依据的时间段。可以是每天生成一份，也可以是从本月到现在为止生成一份报告。选择时间再下一步，就可以点击“完成”，已完成报告的配置。完成报告配置浏览一下报告的结果。可以看出单个的报告结果并不让人很满意，因此要想得到更为详尽的报告，就需要选择多个模版进行整合。查看报告1.2.2 SolarWinds Engineer 理论基础“SolarWinds Engineers Edition是一种非常出色的网络工具箱，它的用途十分广泛，涵盖了从简单、变化的ping监控器及子网计算器（Subnet calculators）到更为复杂的性能监控器何地址管理功能。”SolarWinds Engineers Edition Toolset专门为Cisco路由器管理设计了一个简单的图形界面。通过Config Downloader、Config Uploader和Config Editor/Viewer，简化了路由器的配置管理工作，还可以在远程Cisco路由器上对运行和启动配置进行比较。高级CPU负载监控器允许您浏览路由器的实时负载。其他工具还有：路由器CPU负载、Proxy Ping、路由器密码解译和CPU核查。1.故障和性能监控网络监控器是完全的交互式管理程序，允许您监控选择的设备，并发送中断警告。Watch It是另一个便利的工具，可以控制网络波动，带宽测量器实时监控流量，除此，还含有系统日志服务器（Syslog Server）。PING和诊断工具Solarwinds Engineers Edition Toolset含有许多工具可以用来管理您网络的日常操作，它们并非是基本的标准工具，例如其多线程工具就品质卓越，得到业界好评。包括工具有：Ping，Ping Sweep，高级Ping，跟踪路由，Proxy Ping，TFTP服务器，密码解译和Wake-On- LAN（可以远程开关服务器）。IP地址管理工具管理您的IP地址空间。不再需要Excel 表，SolarWinds的自动发现功能可以证实您的IP地址空间。包含工具：IP地址管理，DHCP 范围监控，高级子网计算器，DNS/WhoIs解析器， DNS核查。2.其他工具：TFTP服务器是唯一的多线程TFTP服务器，更新系统MIB的应用可以快速简便的浏览、更新和发布用户域描述的变动，适用于任何SNMP设备。SolarWinds还包含一系列免费工具可以下载。Trap接收器可以接收、存录和浏览SNMP trap。SolarWinds Engineers Edition是一套非常全面的网络工具库，包括了网络恢复、错误监控、性能监控和管理工具等等。除了包含Professional PLUS Edition中所有的工具外，Engineers Edition还增加了新的Swich Port Mapper工具，它可以在您的switch上自动执行Layer 2和Layer 3恢复。此工程师版包含了Solarwinds MIB浏览器和网络性能监控器（Network Performance Monitor），以及其他附加网络管理工具。SolarWinds Engineers Edition包括以下工具：1 网络性能监控（Network Performance Monitoring）：带宽测量（Bandwidth Gauges ）、路由CPU负荷（Router CPU Load）、带宽监控（Bandwidth Monitor）、CPU测量（CPU Gauge）、网络性能监控器（Network Performance Monitor）、SNMP图象和高级CPU上传（Advanced CPU Load ）。2 网络发现（Network Discovery）：子网列表（Subnet List）、Ping Sweep、和IP网络浏览器（IP Network Browser）、DNS核查（DNS Audit）、IP地址管理（IP Address Management）、MAC地址发现（MAC Address Discovery）、SNMP Sweep、网络定位（Network Sonar）。3 用于Cisco网络的工具：IP网络浏览器（IP Network Browser）、路由CPU负荷（Router CPU Load）、配置下载（Config Downloader）、配置上传（Config Uploader）、配置编辑器/浏览器（Config Editor/Viewer）、Proxy Ping、对比运行VS启动配置（Compare Running vs. Startup Configs.）、路由器密码加密术（Router Password Decryption）、CPU测量（CPU Gauge）、路由器安全检查（Router Security Check）和高级CPU上传（Advanced CPU Load ）。4 网络监控（Network Monitoring）：Watch It!、网络监控器（Network Monitor）、Syslog 服务器、路由CPU负荷（Router CPU Load）、高级ping和网络性能监控器（Network Performance Monitor）。5 IP地址管理（IP Address Management ）：先进的子网计算器（Advanced Subnet Calculator）、DNS / Who Is Resolver、DHCP Scope Monitor、DNS核查（DNS Audit）、IP地址管理（IP Address Management）、Ping Sweep。6 安全性（Security）：路由安全性检查（Router Security Check）、TCP Reset、字典编辑器（Dictionary Editor）、SNMP Brute Force 攻击、SNMP词典攻击（Dictionary Attack）、路由器密码加密术（Router Password Decryption）。7 Ping & Diagnostic ：ping、高级ping、Trace Route、Proxy Ping、Ping Sweep。8 MIB浏览器：MIB Walk、更新系统MIBs（Update System MIBs）、MIB浏览器（MIB Viewer ）、MIB浏览器和SNMP图象。9 其它：TFTP服务器、WAN Killer、Wake-On-Line。 实训内容.1 实训环境.2 实训要求1、安装SolarWinds Engineer2、使用SolarWinds Engineer查看和管理校园网网络设备及端口流量.3 实训步骤一、安装前的准备工作网管服务器的硬件要求： CPU：Pentium II 500 MHz或更高 内存：64 MB RAM (128 MB或更高) 硬盘空间：至少100MB网管服务器的软件要求： Windows 98 / NT / 2000 / ME / XP二、网管服务器端的安装1、双击SolarWinds2002_CATV.exe，安装程序自动运行，出现如下界面。2、点击“NEXT”,进行安装。三、网络设备SNMP和log server配置在网络设备（路由器或交换机）上启用SNMP,配置community string，供SolarWinds读取网络设备信息：HQ-R-7507-F7-1(config)#snmp-server community xxxxxx RO配置log server（IP为SolarWinds安装主机IP） HQ-R-7507-F7-1(config)#logging HQ-R-7507-F7-1(config)#logging trap 6四、线路性能监控1.开始程序SolarWinds 2002 CATV Engineers Edition, 启动SolarWinds Toolbar.2. 在SolarWinds Toolbar中选择perf Mgmt菜单,启动network performance3. 选择Add Node选项, 输入网络设备IP或名字,并输入在网络设备上设置的community string4. 选择要监控的接口，点击“OK”5.下图所示为SolarWinds监控的路由器一个广域网子接口的流量图6. 在network performance monitor面板上点击events选项,可以查看事件五、网络设备日志察看在网络设备上配置好log server后，在SolarWinds Toolbar中选择Monitoring菜单, 点击syslog server选项,可以查看网络设备日志。六、网络设备CPU察看在SolarWinds Toolbar中选择Monitoring菜单, 点击Router Cpu Load选项, 选择add new cpu load bar, 可以查看CPU利用率.七、网络设备端口流量实时察看选择SolarWinds Toolbar中的Perf Mgmt选项,点击Bandwidth Gauges, 选择 New Gauges,可以查看端口实时流量1.3 网络监测软件1.3.1 IPSENTRY 理论基础 实训内容IPSENTRY是一种实时检测网络节点通讯和服务的网管工具, 按设定的周期（缺省5分钟）检测预设通讯和业务并及时记录成html文件和.log文件；当某项通讯或服务故障发生时, 该软件会通过EMAIL、声音、拨打电话、执行程序等方式通知管理员,安装配置后的界面如下图所示：软件设置和使用比较容易，安装完成后打开“Edit”栏的“options”选项，分为系统设置、Modem设置、服务器/机器监控三个界面。1系统设置（systemsetting）设置检测周期，如下图所示：在logging选项可以设定输出文本格式的日志（log）文件，如下图所示：在Statistics选项可以设置把每次检测的结果自动输出成html格式，如下图所示：2Modem设置（Modem setting）Modem设置是需要Modem发出报警信号，将modem接在IPsenrty服务器的串口，在Modem setting启用Modem，如下图所示：3. 服务器/机器监控(Server/Machine Monitoring)此配置栏添加需要进行监控的设备和服务器，在Server/Machine Monitoring配置栏增加需要检测的各个节点和检测业务类型，如下图所示：点击“Add”,增加需要监测的设备，选择设备（服务器）的监控类型和对应的设备IP地址、名称、服务名等需要监控的内容，如下图所示：对于监控的设备确定报警的方式，包括EMAIL、声音、拨打电话、执行程序等方式。（1） 声音报警： 选取“Audible”栏，选中“Enabled”的“Yes”打开声音报警，“Down WAV”和“Up WAV”对应监控设备故障和正常的声音文件，如下图所示： （2） Pager报警：Pager报警通过Modem拨打电话号码或传呼，及时通知管理员。启用Pager报警需设置打开Modem（见Modem设置），选取“Pager“栏，选中“Enabled”的“Yes”打开Pager报警，输入电话号码和设置号Modem拨号的端口，如下图所示：对于每个呼叫的号码可以具体定义内容，例如COM口、传呼代码等内容，如下图所示：经过上述的快速配置，一个基于网络通讯和业务的监测报警系统就完成了，该系统在前台可以通过声音、Mail、电话向管理员报警等，在后台也记录下了log文件（可导入到数据库作进一步的分析）和每次HTML格式的监测结果。1.3.2 MRTG 理论基础 实训内容1.3.3 IPTOOLS 理论基础 实训内容1.3.4 Sniffer实训目的掌握SNIFFER工具的安装及使用，理解TCP/IP 协议中TCP、IP、ICMP数据包的结构，了解网络中各种协议的运行状况。 理论基础Sniffer（嗅探器）是一种常用的收集有用数据方法，这些数据可以是用户的帐号和密码，可以是一些商用机密数据等等。Snifffer可以作为能够捕获网络报文的设备,Sniffer是利用计算机的网络接口截获目的地为其他计算机的数据报文的一种工具。1.sniffer原理 Sniffer程序是一种利用以太网的特性把网络适配卡置为杂乱（promiscuous）模式状态的工具，一旦网卡设置为这种模式，它就能接收传输在网络上的每一个信息包。 基于Sniffer这样的模式，可以分析各种信息包并描述出网络的结构和使用的机 器，由于它接收任何一个在同一网段上传输的数据包，所以也就存在着捕获密码、各种信息、秘密文档等一些没有加密的信息的可能性。2.Sniffer软件功能捕获网络流量进行详细分析利用专家分析系统诊断问题实时监控网络活动收集网络利用率和错误3.Sniffer应用环境下的Sniffer(2)交换下的Sniffer 实训内容.1 实训环境.2 实训要求1、安装Sniffer2、使用Snifferr捕捉和分析观察TCPIP、ICMP数据包.3 实训步骤使用SNIFFER 工具进行TCP/IP、ICMP数据包分析 1.将SNIFFER安装在本机上： 2.安装完成 3.启动SNIFFER PRO软件 4.定义过滤器来捕捉0上的IP数据包 5.从SNIFFER软件中MONITOR菜单中点击MATRIX命令，显示0的通信情况，并通过右键点击该地址，在快捷菜单中点击CAPTURE命令开始捕捉 6.一会儿停止捕捉后，选择DECODE选项，查看捕捉到的IP包 7.从下图可以看出有三个窗口，最上的窗口是捕捉的数据，中间的窗口是数据分析，最下面的窗口是原始数据包，用16进制表示，例如，TCP SOURCE PORT=1282对应下面的05 02 8.从窗口中可以看出：IP数据包封装在TCP数据包的前面 DLC首部 IP TCP DLC尾部 IP头 TCP头 TCP数据 9.IP数据包头的结构示意图 IP版本号 头部长度 TOS 类型 16位部长度 16位标识 13位片偏移 TTL 协议 16首部校验和 IP源地址：0 IP目标地址：0 选项（没有） 数据 10.TCP的结构示意 源端口号：1282 目标端口号：53 32位序号：1611929767 32位确认序号：1611929768 偏移 16位窗口大小：16384 16位校验和 16位紧急指针 选项 数据 11.定义过滤器来捕捉0的ICMP数据包 12.从本机 45 PING 0 13.停止捕捉后从DECODE 窗口中找出ECHO 及ECHO REPLY 数据包 14.分析ICMP 数据包头号信息 DLC头部 IP头部 ICMP头部 ICMP 类型：8 代码：0 校验和395C(正确) 确认号：1024 序号：4096 数据长度：32字节 实训总结： 1.SNIFFER 是一个强大的捉包工具，数据包分析功能强大，如果正确使用，对于分析、定位网络故障十分有用； 2.同时SNIFFER工具由于功能强大，甚至可以充当HCAKER工具，因为很多协议是明文传输，如FTP、TELNET等，通过SNIFFER 工具可以查看用户名和密码。 3.从OSI 结构上看，IP包属于三层网络层，TCP包是属于四层传输层，在数据包中IP头在TCP头的前面。 从实验中可以清晰看出TCP 的三次握手过程。 1.4 远程管理软件1.4.1 PcAnywhere1.4.2 RemotelyAnywhere1.4.3 Windows远程桌面 1.5 常用网络命令1.5.1 理论基础Ping: 用于测试ip网络的连通性。(目的允许的情况下)Tracert:路由跟踪实用程序，用于确定ip数据包访问目的主机,