计算机网络原理PPT课件.ppt

第一章网络管理概论 1 1网络管理的基本概念1 2网络管理系统体系结构1 3网络监控系统1 4网络监视1 5网络控制1 6网络管理标准习题 1 1 1网络管理的基本概念 TCP IP网络中的管理工具Ping程序 确定通信目标的连通性及传输时延标准 简单网络管理协议SNMP国际标准化组织推出了OSI系统管理标准CMIS CMIP 2 商用网络管理系统通用网络管理系统开发主机厂家开发例如IBMNetView HPOpenView网管工具网络产品制造商推出 与硬件结合如CiscoWorks2000 CabletronSpectrum等网络管理平台 3 1 2网络管理系统体系结构 1 2 1网络管理系统的层次结构 4 各种网络管理框架的共同特点管理功能分为管理站 Manager 和代理 Agent 两部分为存储管理信息提供数据库支持 例如关系数据库或面向对象的数据库l提供用户接口和用户视图 View 功能 如管理信息浏览器l提供基本的管理操作 例如获取管理信息 配置设备参数等操作过程 5 被管理资源可能与管理站处于不同的系统中包括监视和控制网络中的各种硬件 固件和软件元素网卡 集线器 中继器 处理机 外围设备通信软件 应用软件和实现网络互连的软件资源的管理信息由代理进程控制 代理进程通过网络管理协议与管理站对话 6 1 2 2网络管理系统的配置 7 网络管理系统中每一个网络结点都包含一组与管理有关的软件 叫做网络管理实体 NetworkManagementEntity NME 网络管理实体完成下面的任务 l收集有关网络通信的统计信息 l对本地设备进行测试 记录设备状态信息 l在本地存储有关信息 l响应网络控制中心的请求 发送管理信息 l根据网络控制中心的指令 设置或改变设备参数 8 管理站网络中至少有一个结点 主机或路由器 担当管理站的角色 Manager 除NME之外 管理站中还有一组软件 叫做网络管理应用 NetworkManagementApplication NMA NMA提供用户接口 根据用户的命令显示管理信息 通过网络向NME发出请求或指令 以便获取有关设备的管理信息 或者改变设备配置 9 代理模块网络中的其他结点在NME的控制下与管理站通信 交换管理信息这些结点中的NME模块叫做代理模块网络中任何被管理的设备 主机 网桥 路由器或集线器等 都必需实现代理模块所有代理在管理站监视和控制下协同工作 实现集成的网络管理 10 图1 3分布式网络管理系统 11 委托代理存在非标准设备不支持当前网络管理标准的老设备无法完整实现NME全部功能的小系统不能运行附加软件的设备 例如Modem等 用委托代理 Proxy 来管理一个或多个非标准设备委托代理和非标准设备之间运行制造商专用的协议 而委托代理和管理站之间运行标准的网络管理协议委托代理起到了协议转换的作用 12 图1 4委托代理 13 1 2 3网络管理软件的结构 网络管理软件包括用户接口软件 管理专用软件和管理支持软件 网络管理接口 需要统一的用户接口对异构型网络进行监控 一定的信息处理能力 对大量的管理信息要进行过滤 统计 汇总和化简管理专用软件 支持多种网络管理应用 提供网络管理数据传输服务管理支持软件 包括MIB访问模块和通信协议栈 14 图1 5网络管理软件的结构 15 1 3网络监控系统 网络管理功能可分为网络监视和网络控制两大部分网络监视是指收集系统和子网的状态信息 分析被管理设备的行为 以便发现网络运行中存在的问题网络控制是指修改设备参数或重新配置网络资源 以便改善网络的运行状态 具体地说网络监控要解决的问题是 l管理信息的定义 监视哪些管理信息 从哪些被管理资源获得管理信息l监控机制的设计 如何从被管理资源得到需要的信息l管理信息的应用 根据收集到的管理信息实现什么管理功能 16 1 3 1管理信息库 对网络监控有用的管理信息可以分为3类 l静态信息 包括系统和网络的配置信息 例如路由器的端口数和端口编号 工作站的标识和CPU类型等l动态信息 与网络中出现的事件和设备的工作状态有关 例如网络中传送的分组数 网络连接的状态等l统计信息 即从动态信息推导出的信息 例如平均每分钟发送的分组数 传输失败的概率等 17 图1 6管理信息库的组成 18 静态信息是由网络元素直接产生的 通常由驻留在这些网络元素 例如路由器 中的代理进程收集和存储 必要时传送给监视器 也可由委托代理收集动态信息通常也是由产生有关事件的网络元素收集和存储 也可由专用主机来收集和记录 这个主机叫做远程网络监视器 它的作用是收集整个子网的通信数据统计信息可以由任何能够访问动态信息的系统产生 也可由网络监视器产生 19 1 3 2网络监控系统的配置 20 1 3 2网络监控系统的配置监控应用程序是监控系统的用户接口 它完成性能监视 故障监视和计费监视等功能管理功能负责与其他网络元素中的代理进程通信 把需要的监控信息提供给监控应用程序管理对象表示被监控的网络资源中的管理信息 管理对象中的信息通过代理功能提供给管理站监控代理的作用是专门对管理信息进行计算和统计分析 并且把计算的结果提供给管理站 监控代理管理着多个代理系统 21 1 3 3网络监控系统的通信机制代理和监视器之间的通信技术轮询 Polling 由监视器向代理发出请求 询问它所需要的信息值 代理响应监视器的请求事件报告 EventReporting 由代理主动发送给管理站的消息 代理可以根据管理站的要求 周期 内容等 定时地发送状态报告 也可能在检测到某些特定事件 例如状态改变 或非正常事件 例如出现故障 时生成事件报告 发送给管理站 22 影响通信方式选择的主要因素如下 l传送监控信息引起的通信量l对危急情况的处理能力l对网络管理站的通信时延l被管理设备的处理工作量l消息传输的可靠性l网络管理应用的特殊性l在发送消息之前通信设备失效的可能性 23 1 4网络监视 1 4 1性能监视两类性能指标面向服务的性能指标 具有较高的优先级面向效率的性能指标 24 1 可用性可用性是指网络系统 网络元素或网络应用对用户可利用的时间的百分比 实际上 可用性是网络元素可靠性的表现 而可靠性是指网络元素在具体条件下完成特定功能的概率 如果用平均无故障时间MTBF MeanTimeBetweenFailure 来度量网络元素的故障率 MTTR MeanTimeToRepair 为发生失效后的平均维修时间 则可用性A可表示为MTBF的函数 25 2 响应时间响应时间是指从用户输入请求到系统在终端上返回计算结果的时间间隔 从用户角度看 这个时间要和人们的思考时间 等于两次输入之间的最小间隔时间 配合 越是简单的工作要求响应时间越短 从实现角度看 响应时间越短 实现的代价越大 26 图1 9系统响应时间与生产率的关系 27 响应时间由系统各个部分的处理延迟时间组成入口终端延迟 指从终端把查询命令送到通信线路上的延迟入口排队时间 即网络接口设备的处理时间入口服务时间 指从网络接口设备通过传输网络到达主机前端的时间CPU处理延迟 前端处理机 主机和磁盘等设备处理用户命令 做出回答需要的时间出口排队时间 在前端处理机端口等待发送到网络上去的排队时间出口服务时间 通过网络把响应报文传送到网络接口设备的处理时间出口终端延迟 终端接收响应报文的时间 主要是由通信延迟引起的 28 1 10系统响应时间的组成 29 3 正确性指网络传输的正确性 由于网络中有内置的纠错机制 所以通常用户不必考虑数据传输是否正确 但是监视传输误码率可以发现瞬时的线路故障 以及是否存在噪声源和通信干扰 以便及时采取维护措施 30 4 吞吐率吞吐率是面向效率的性能指标 具体表现为一段时间内完成的数据处理的数量 或接受用户会话的数量 或处理的呼叫的数量等 跟踪这些指标可以为提高网络传输效率提供依椐 31 5 利用率利用率是指网络资源利用的百分率 它也是面向效率的指标 这个参数与网络负载有关 当负载增加时 资源利用率增大 因而分组排队时间和网络响应时间变长 甚至会引起吞吐率降低 当相对负载 负载 容量 增加到一定程度时 响应时间迅速增长 从而引发传输瓶颈和网络拥挤 32 图1 11网络响应时间与负载的关系 33 1 4 2故障监视故障管理的功能模块故障检测和报警功能故障预测功能故障诊断和定位功能有效的用户接口 34 1 4 3计费监视计费数据组成计费日志 其记录格式应包括下列信息 用户标识符 连接目标的标识符 传送的分组 字节数 安全级别 时间戳 指示网络出错情况的状态码 使用的网络资源 35 1 5网络控制 1 5 1配置控制配置管理是指初始化 维护和关闭网络设备或子系统被管理的网络资源包括物理设备 例如服务器 路由器 和底层的逻辑对象 例如传输层定时器 36 配置管理应包含下列功能模块 定义配置信息 设置和修改设备属性 定义和修改网络元素间的互联关系 启动和终止网络运行 发行软件 检查参数值和互联关系 报告配置现状 37 1 定义配置信息配置信息描述网络资源的特征和属性设备的属性包括名称 标识符 地址 状态 操作特点和软件版本配置信息可以有多种组织方式 由标量组成的表 SNMP 每一个标量值表示一种属性值面向对象的数据库 OSI系统 对象的值表示被管理设备的特性 对象的行为 例如通知 代表了管理操作 对象之间的包含关系和继承关系则规范了它们之间的互相作用 38 2 设置和修改属性配置管理允许管理站远程设置和修改代理中的管理信息值 但是修改操作要受到两种限制 只有授权的管理站才可以施行修改操作 这是网络安全所要求的 有些属性值反映了硬件配置的实际情况 是不可改变的 例如主机CPU类型 路由器的端口数等 39 对配置信息的修改可以分为以下3种类型 只修改数据库 管理站向代理发送修改命令 代理修改配置数据库中的一个或多个数据值 修改数据库 也改变设备的状态 除了修改数据值之外 还改变了设备的运行状态 修改数据库 同时引起设备的动作 变量被设置成不同的值时 设备随即执行对应的操作过程 40 3 定义和修改关系关系是指网络资源之间的联系 连接以及网络资源之间相互依存的条件 例如拓扑结构 物理连接 逻辑连接 继承层次和管理域等 配置管理应该提供联机修改关系的操作 即用户在不关闭网络的情况下可以增加 删除或修改网络资源之间的关系 41 4 启动和终止网络运行配置管理给用户提供启动 关闭网络和子网的操作 启动操作包括验证所有可设置的资源属性是否已正确设置 如果有设置不当的资源 则要通知用户 如果所有的设置都正确无误 则向用户发回肯定应答 同时 关闭操作完成之前应允许用户检索设备的统计信息或状态信息 42 5 发行软件配置管理还提供向端系统 主机 服务器和工作站等 和中间系统 网桥 路由器和应用网关等 发行软件的功能 即给系统装载指定的软件 更新软件版本和配置软件参数等功能 43 1 5 2安全控制 1 安全威胁的类型计算机和网络需要以下3方面的安全性 保密性 Secrecy 计算机网络中的信息只能由授予访问权限的用户读取 包括显示 打印等 也包含暴露 信息存在 这样的事实 数据完整性 Integrity 计算机网络中的信息资源只能被授予权限的用户修改 可用性 Availability 具有访问权限的用户在需要时可以利用计算机网络资源 44 A正常B中断C窃取D篡改E假冒图1 13对网络通信的安全威胁 45 2 对计算机网络的安全威胁 对硬件的威胁 主要是破坏系统硬件的可用性 例如有意或无意地损坏甚至盗窃网络器材等 对软件的威胁 操作系统 实用程序和应用软件可能被改变 损坏甚至被恶意删除 从而不能工作 失去可用性 对数据的威胁 数据可能被非法访问 破坏了保密性 数据可能被恶意修改或者假冒 破坏了完整性 数据文件可能被恶意删除 从而破坏了可用性 对网络通信的威胁 窃取破坏了保密性 数据加密是防止这种威胁的主要手段 伪造的信息流破坏数据的完整性和可用性 46 图1 14对计算机网络资源的安全威胁 47 图1 15计算机网络的被动威胁和主动威胁 48 3 对网络管理的安全威胁各种威胁都可能影响网络管理系统 造成管理系统失灵 甚至发出错误的管理指令 破坏计算机网络的正常运行 对于网络管理 特别有以下3方面的安全威胁值得提出 伪装的用户 没有得到授权的一般用户企图访问网络管理应用和管理信息 假冒的管理程序 无关的计算机系统可能伪装成网络管理站实施管理功能 侵入管理站和代理间的信息交换过程 网络入侵者通过观察网络活动窃取了敏感的管理信息 更严重的危害是可能窜改管理信息 或中断管理站和代理之间的通信 49 4 安全设施的管理1 安全信息维护 记录系统中出现的各类事件 追踪安全审计试验 自动记录有关安全的重要事件 报告和接收侵犯安全的警示信号 在怀疑出现威胁安全的活动时采取防范措施 例如封锁被入侵的用户账号或强行停止恶意程序的执行等 经常维护和检查安全记录 进行安全风险分析 编制安全评价报告 备份和保护敏感的文件 研究每个正常用户的活动形象 预先设定敏感资源的使用形象 以便检测授权用户的异常活动和对敏感资源的滥用行为 50 2 资源访问控制一种重要的安全服务就是访问控制服务 这包括认证服务和授权服务 以及对敏感资源访问授权的决策过程 访问控制服务的目的是保护各种网络资源 这些资源中与网络管理有关的是 安全编码 源路由和路由记录信息 路由表 目录表 报警门限 计费信息 51 3 加密过程控制