安全网管技术-网络管理系统及SNMP协议.ppt

1 安全网管技术 网络管理系统及SNMP协议 本章主要内容网络管理概述TCP IP网络管理体系结构SNMP网络管理协议管理信息库 MIB 2 参考资料 计算机网络管理系统设计与应用 白英彩等 清华大学出版社CiscoNetworkers2003文档http 210 45 224 8 james cw2003 index xmlhttp 210 45 224 8 james cw2003 NMS 1001 pdf 3 ServiceDesign ManagementSolutions Configuration ChangeManagementSolutions Resource PerformanceManagementSolutions Systems ApplicationsManagementSolutions NetworkManagementSolutions Backup StorageManagementSolutions Desktop SoftwareManagementSolutions ServiceLevelPlanning Management Desktop SoftwareManagement Operations AvailabilityManagement ConfigurationManagement ChangManagement ITServiceManagement 4 3 1网络管理概述 网络管理历史网络管理与电信网络的历史一样长 接线员能进行有限的管理随着程控交换机的引入 越来越多计算机网络的管理伴随ARPANET产生早期的ARPANET SNA DNA AppleTalk等的管理系统专用 不开放80年代提出了多种网络管理方案 5 网络管理历史 1988年IAB InternetActivitiesBoard 制定了Internet管理的发展策略 SGMP作为短期方案 最终采用CMIS CMIP推出了SNMP SimpleNetworkManagementProtocol 和CMOT CMIP CMISonTCP IP 1990年正式发布SNMP 1993年发布SNMPv2SNMP已经成为网络管理事实上的工业标准 6 网络管理系统的功能特点 一个网络管理工具 应具备以下特点发现网络拓扑结构和网络配置自动发现和手工修改智能监控理解网络结构的内在依赖管理 报告出现的问题控制程度设置设备重要等级 对不同等级的告警信息采取不同处理灵活性可定制 7 网络管理系统的功能特点 2 多厂商集成管理不同厂商的设备 包含不遵循SNMP协议的存取控制不同的用户访问权限可以区分用户友好方便管理员使用编程接口可以灵活扩展功能报告生成按照管理员的要求 生成各种报表 8 常见网络管理系统 HPOpenView第一个网络管理系统 最初是一个平台 现在是可以给最终用户的产品 得到第三方的广泛支持HPOpenviewNodeManagement特点 自动发现网络拓扑性能分析故障告警多厂商支持 9 常见网络管理系统 2 CiscoWorksCisco公司开发的网络管理应用 可以集成在网络管理平台上运行针对Cisco产品设计 管理这些设备更方便功能 配置管理保存配置文件历史 可以比较 分析配置文件内容 10 网络管理的意义和发展 随着网络的不断推广和应用 人们对网络的依赖越来越大 网络越来越重要 当前计算机网络发展特点 规模不断扩大复杂性不断增加网络异构性 多厂商设备 越来越高网络管理系统能给网络管理员提供良好的信息来源 减少网络故障 缩短网络失效时间 最大程度发挥网络的作用 11 网络管理定义和模型 网络管理主要是关于规划 监督 设计和控制网络资源的使用和网络的各种活动 网络管理模型 功能模型体系结构模型信息模型组织模型 12 功能模型 ISO在ISO IEC7498 4中定义了网络管理的五大功能 故障管理包括故障检测 隔离和纠正三方面计费管理记录网络资源的使用 控制和检测网络操作的费用和代价 对商用网络尤为重要配置管理配置网络 13 功能模型 性能管理估计系统资源的运行状况及通信效率 安全管理包括对授权机制 访问控制 加密和密钥的管理 14 体系结构模型 体系结构模型描述了实体的一般结构 实体间接口及其通信方法 主要涉及远程通信网的管理 15 信息模型 实现被管虚拟资源 软件及物理设备的逻辑表示 多采用面向对象的方法定义网络管理信息 SNMP中 网络管理信息是面向属性的 更注重简单性和可扩展性 采用ISO的抽象语法表示语言 ASN 1 表示 16 组织模型 包括管理者 代理者的概念 管理实体间的通信方法 17 网络管理系统 管理者 典型网络管理体系结构组织模型 被管设备 18 单个设备结构 管理方式 CLI命令行CommandLine最直接 原始的管理方式 能控制设备的基本状态各个厂商的格式不同有的产品 CLI实现了管理的所有功能专有GUI管理程序设备专用的管理程序WEBwww方式管理简单 往往只有部分管理功能SNMP基于网络管理系统往往只有部分管理功能 19 单个设备结构 2 In band带内管理管理信息流跟普通网络数据一起传输受普通网络数据的影响Out band带外管理独立的管理信息流 20 单个设备结构 3 入口 控制口 串口 只能使用CLI 所有情况下可用多数提供MODEM接口重要设备需要提供远程控制口管理单独的管理网络接口Out band管理普通网络接口In band管理telnet ssh SSL 21 单个设备结构 4 远程控制口拨号反向telnet Cisco专用 AccessRouter 设备 设备 设备 设备 管理专用网络 RS232 22 单个设备结构 5 CLI WEB CLI命令行CommandLineWEBwww方式管理 23 网络管理资源的表示 用 被管理对象 ManagedObject 表示网络中的资源CMIP定义封装了被管理对象被管理对象的属性数据类型 是否可写被管理对象的行为可能的操作被管理对象的通知特定事件发生时所发出的通知 24 MIB管理信息库 被管理对象概念上的集合称为管理信息库 MIB ManagementInformationBase SNMP的MIB1988年MIB RFC1156 1990年MIBII RFC1158 IAB鼓励厂商针对自己的产品定义自己的MIB 然后以RFC文档的方式公布 以便该产品被网络管理系统支持 保证系统的易扩充性过多的MIB定义加大了网络设备的负担很多设备可以设定启用哪些MIB 25 网络管理系统构成 一个网络管理系统不一定包含网络管理的所有功能四个部分组成 多个被管代理 ManagedAgent 至少一个网络管理者 NetworkManager 一个通用的网络管理协议 NetworkManagementProtocol 一个或多个管理信息库 MIB 26 网络管理者 NetworkManager 实施网络管理的处理实体 驻留在管理工作站上 是整个网络系统的核心 完成复杂网络管理的各项功能 如排除网络故障 配置网络等 27 被管代理 ManagedAgent 驻留在被管设备上 网络管理的处理实体 负责跟网络管理者通信 执行网络管理者的指令 或在特定事件发生时通知网络管理者 监视所在网络设备的工作状况 收集有关网络信息 被管代理一般有多个 分别位于网络中的各个设备上 28 网络管理协议 NetworkManagementProtocol 描述了管理者和被管代理之间数据通信机制 网络管理标准主要制定的内容就是网络管理协议 定义管理者和被管代理之间的数据报文种类和格式 定义管理信息库的数据库格式 29 管理信息库 MIB 存储在被管理设备的存储器中 一个动态刷新的数据库 包括设备的配置信息 数据通信的统计信息 安全性信息和设备特有信息 30 集中与分布式的网络管理系统 集中式 简单 易于实现不适应大规模网络管理分布式 复杂多层管理者某些管理者会被高一层的管理者所管理适应大规模网络管理 31 3 2TCP IP网络管理体系结构 IAB制订了TCP IP网络管理体系结构三部分内组成基于TCP IP的管理信息结构 SMI 基于TCP IP的管理信息库 MIB SNMP网络协议 32 33 34 35 36 基于TCP IP的管理信息结构 SMI 网络管理应用通过对MIB中网络管理对象的读取和设置来实现对网络设备的管理和监控 MIB对象的定义符合ISOASN 1语言 对象类型的定义有对象名称 对象语法和对象编码 37 对象名称 标示一个对象 ASN 1按照对象的注册关系定义对象的标示符 它是一个整行数序列 在注册关系树的Internet子树下有四个节点 DirectoryOBJECTIDENTIFIER internet1 MgmtOBJECTIDENTIFIER internet2 ExperimentalOBJECTIDENTIFIER internet3 PrivateOBJECTIDENTIFIER internet4 38 39 对象名称 Directory 1 3 6 1 1 子树为Internet中的OSI体系结构保留Mgmt 1 3 6 1 2 子树用于标示正式批准的RFC中定义的对象Experimental 1 3 6 1 3 子树用于标示正在进行试验的对象Private 1 3 6 1 4 子树用于标示各个网络设备厂商定义的对象 40 对象语法 定义对象的结构ASN 1定义了四种基本对象语法类型 INTEGER整数 ASN 1不限制 但是MIB定义为0 4G OCTETSTRING字符串OBJECTIDENTIFIER对象标示符NULL 41 对象语法 2 构造语法类型SEQUENCE 序列 SEQUENCE 为4种基本类型支持应用语法类型 Application widesyntaxtype 定义IPADDRESS长度为4的OCTETSTRINGCOUNTER计数器 非负INTEGERGAUGE累加器 非负INTEGERTIMETICKS厘秒计时器 非负INTEGER 42 对象编码 采用ASN 1基本编码规则 43 TCP IP的MIB IAB定义了2个SNMPMIB MIBI RFC1156 MIBII RFC1213 44 对象定义格式 对象类的定义包括以下域 对象域文本形式的对象描述符合对象标示符组成对象语法域ASN 1定义的对象类的抽象语法对象定义对象语义的说明对象访问权限Read only read write write only not accessable状态域强制 mandatory 当前 current 过期 deprecated 45 例子 接口接收数据 ifInOctetsOBJECT TYPESYNTAXCounter32MAX ACCESSread onlySTATUScurrentDESCRIPTION Thetotalnumberofoctetsreceivedontheinterface includingframingcharacters Discontinuitiesinthevalueofthiscountercanoccuratre initializationofthemanagementsystem andatothertimesasindicatedbythevalueofifCounterDiscontinuityTime ifEntry10 46 47 对象组 System组定义网络设备系统描述和硬件 软件类型Interface组定义设备网络端口描述 运行情况和通信量AddressTranslation定义网络地址到物理地址的映射表 即ARP表 IP组描述了与设备IP层有关的信息ICMP组描述了ICMP输入输出统计信息TCP UDP EGP SNMP组分别描述了TCP UDP EGP SNMP连接有关的信息 48 3 3SNMP协议体系结构 49 SNMP网络管理信息的范围 包括Internet标准MIB和符合InternetSMI规范的MIB中所定义的对象类SNMP使用的信息编码方式是ISO定义的ASN 1语言的一个子集 50 SNMPMIB对象实例标识 对象实例标识符是对象所属对象类的对象标识符加上实例标识符构成 如SysDescr对象标识符为1 3 6 1 2 1 1 1 设备的系统描述只有一个 实例标识符为0 因此设备的系统描述对象实例标识符为1 3 6 1 2 1 1 1 0 51 SNMP认证机制和访问策略 对于SNMPv1 仅仅支持community认证Communi