计算机网络管理技术复习总结

1、p3-p5 网络管理的结构模式 p18 图2-1、图2-2及描述性文字 p19-p29 所有的图及描述性文字 p31 2.5.5轮询和中断 p46 图3-7及描述性文字 p48 smonp133-p135看看会更好理解组策略 p163补丁管理系统系统的组成示意图及描述性文字 第1章 网络管理技术概述现代网络管理的内容通常可以包括运行（operation）、控制（administrator）、维护（maintaince） 和提供（provision）（oam&p）四个方面。 为了便于描述网络管理的不同功能，将网络管理服务分为以下4个层次。 网元管理层（network element manage

2、ment layer） 网络管理层（network management layer） 服务管理层（service management layer） 事务管理层（business management layer） 集中式网络管理系统可以统管全部网络。采用这类管理模式的主要有hp公司的“open view nms”、cabletron systems公司的“spectrum”、ibm公司的“net view”和sun microsystems公司的“net manager”等网络管理系统。集中式的网络管理主要适合于规模较小的网络。网络管理的五个功能域分别为： 故障管理（fault manag

3、ement） 配置管理（configuration management） 性能管理（performance management） 计费管理（accounting management） 安全管理（security management）目前有影响的网络管理技术有snmp（simple network management protocol，简单网络管理协议）、cmis/cmip（the common management information service/protocol，公共管理信息服务和协议）、rmon（远程监控）和基于web的网络管理技术。snmp是目前tcp/ip网络中应用最

4、广泛的网络管理协议，是网络管理事实上的标准。它不仅包括网络管理协议本身，而且代表采用snmp协议的网络管理框架。snmp经历了从v1到v3的发展历程：snmpv1管理模型包括四个关键元素：管理点、管理代理、管理信息库（mib）、管理协议。管理点实际上是一台运行特殊管理软件的计算机，运行一个或多个管理进程，它通过snmp协议在网络上与管理代理通信，发送命令并接收管理代理的应答。管理点通过获取mib对象的值来实现网络资源监视，也可以通过修改特殊变量的值来使代理执行一个动作或修改资源的配置。管理代理运行在网络中的主机、路由器和交换机中，每个代理负责维护本地mib来存放被管理资源的状态、运行情况等，对

5、来自管理点的信息查询和动作执行的请求作出响应，同时还可以向管理点提供一些重要的非请求信息。mib是一个信息数据库，它包含了被管理设备中有关配置和性能的数据，是网络管理的基础。管理点和管理代理之间通过snmp网络管理协议连接，通过snmp报文的形式来交换信息。协议主要支持get、set和trap三种功能。与snmpv1单纯的集中式管理模式不同，snmpv2支持分布式/分层式的网络管理结构，在snmpv2管理模型中有些系统可以同时具有管理点和管理代理的功能，snmpv2定义了两个mib库，一个相当于snmpv1的mib-ii,另一个是manager-to-manager(m2m) mib，提供对分

6、布式管理结构的支持。snmpv3可运用于多种操作环境，具有多种安全处理模块，有极好的安全性和管理功能，弥补了前两个版本在安全方面的不足。cmip（common management information protocol）即公共管理信息协议，是由国际标准化组织（iso）制定的着重于普适性（generality）的网络管理协议。作为国际标准，cmip主要针对osi七层协议模型的传输环境而设计，采用报告机制，具有许多特殊的设施和能力，需要能力强的处理机和大容量的存储器，因此目前支持cmip的产品较少。cmip是与公共管理信息服务（common management information ser

7、vices，cmis）同时使用的一种 iso 协议，支持网络管理应用程序和管理代理之间的信息交换服务。cmip中采用可靠iso（iso-reliable）内置安全机制，其功能包括访问控制、认证和安全日志（security log）。 与 snmp 相比，cmip的主要优势在于： cmip变量不仅用于传发信息还可以完成各种作业，而snmp不具备这种功能； cmip更加安全，它内置了安全机制； cmip功能强大，在单个请求下可以实现多种功能； cmip在异常网络条件下具有更好的报告功能。 由于snmp是internet组织用来管理tcp/ip互联网和以太网的协议，实现、理解和排错很简单，因此受到很

8、多产品的支持。 网络管理的技术趋势是使用rmon（远程监视）。rmon的目标是为了扩展snmp的mib（管理信息库），使snmp更为有效、更为积极主动地监控远程设备。rmon包括两个组成部分：rmon代理或探头（probe）收集网络通信数据，管理软件对多个探头的数据进行分析。 根据网络故障的性质，将网络故障分为物理故障与逻辑故障两大类。其中物理故障与网络中所使用的pc、交换机、路由器、防火墙等硬件设备有关，而逻辑故障则与网络的规划和布局有关。另外，根据网络故障的对象不同，将网络故障分为线路故障、路由器故障和主机故障三类。第2章 snmp网络管理架构在internet发展的早起，人们为了能够测试

9、不同设备之间的联通性就开发了一个简单的网络管理协议icmp（internet control message protocol，internet控制报文协议），在利用icmp测试网络的连通性时，管理员利用ping命令向被测试的设备发送一个icmp报文，根据返回的icmp报文的头部信息来确定被测试设备的连通性。从管理设备获取数据的方式1 本地终端方式 2 远程telnet命令方式 3基于网络管理协议的方式snmp运行在tcp/ip网络上，使用面向非连接的udp数据报进行数据的传输，snmp系统由smi（structure of management information，管理信息结构）、mib

10、（management information base，管理信息库）和协议（snmp）组成。管理信息库（mib）是网络管理协议访问的管理对象数据库，它包括snmp可以通过网路设备上的代理进行设置的变量。管理信息结构（smi）用于定义存储在mib中的管理信息的语法和语义，对mib进行定义和构造。在snmp系统中为什么要使用udp而没有使用tcp，这主要是考虑到tcp对系统的开销较大，不利于网络管理环境的要求，虽然udp数据报的传输不安全，但upd非常高效，在网络繁忙时照样能够正常工作。snmp是一种面向非连接的网络管理协议。通过使用请求报文和返回响应的方式，snmp在管理代理和管理进程之间传送

11、信息，提供了一种独有的机制来处理可靠性和故障检测方面的问题。snmp的体系结构主要由管理站（manager）、管理代理（agent）、管理对象（managed object）以及描述管理对象状态的管理信息库（mib）组成。snmp的管理信息库采用和域名系统（dns）相似的树形结构，它的根在最上面，跟没有名字。mib的定义与具体的网路管理协议无关，这对于设备制造商和用户来说都是有利的。snmp的操作很简单，仅仅是对变量的修改和检查，共定义了以下5类管理操作。getrequest：读对象操作，是管理进程向代理发起读的操作读取管理对象的值，以获取设备或网络的运行数据以及配置信息等。getnextre

12、quest：读取当前对象的下一个可读取的对象实例值。setrequest：管理进程更新代理中对象的值。getresponse：代理对getrequest/getnextrequest/setrequest这3种操作的应答。trap：代理向管理进程发送事件值。在这5中操作中，前面的3种操作是由管理站中的管理进程向代理中代理进程发出的，后面的2种操作是代理进程发给管理进程的。在代理进程端使用了161端口接收get或set报文，而在管理进程端使用了162端口来接收trap报文，另外trap没有响应报文。snmp代理从被管理设备中收集数据有3种方法：轮询、中断和面向自陷的轮询。在snmp的个版本中，s

13、nmp v1和snmp v2 都具有基本的读、写mib的功能，snmpsnmp v2 增加了事件报警、批量数据获取、管理站和管理站之间的通信能力，snmp v3 在snmp v2 的基础上增加了基于用户的安全模型（user-based security model，usm）功能，使用加密的数据和用户验证技术提高了安全性。1991年，针对snmp v1的扩展rmon（remote monitoring，远程监视）发布。rmon扩展了snmp v1的功能，主要加强了对局域网及设备的管理。作为snmp的一个重要扩展，rmon增加了子网流量、统计分析能力，其中rmon提供了osi 7层模型中网络层和数

14、据链路层的监视能力，而rmon 2 提供了osi 7层模型中网络层以上各层的监视能力。snmp v2的特点提供了一次读取大块数据的能力增加了管理进程与管理进程之间的信息交换机制，从而支持分布式管理结构。可在多种网络协议上运行，如osi 、appletalk 和ipx等，适用多协议网络环境。smi为被管理对象和mib提供了更详尽的规范和文档。snmp v2的mib定义在mib-基础上，并对mib-进行了修改和扩充。提供了安全管理规范。第3章 网络流量监控技术与方法rmon（remote monitoring，远程监视）技术是对snmpv1功能的一个扩展，主要是针对snmp中管理进程（manage

15、r）与管理代理（agent）之间的通信缺少实时性以及轮询开销太大这一缺陷而提出来的一组mib变量，这组mib变量都是通过对网络的连续、实时监视而生成的。所以，rmon是snmp的一种应用，遵循snmp的结构，同时又解决了snmp中存在的不足，扩展了snmp的功能及应用。 rmon的设计，主要为了实现以下功能。1 离线操作2 主动监视3 问题检测和报告4 提供增值数据5 多管理站操作 由于rmon mib只能存储mac层的信息，所以rmon只能用于局域网内部某一设备端口的通信流量。为了使rmon能够对mac层以上的通信进行监控，在snmpv2发布之后，推出了rmon。 rmon提供对osi数据链

16、路层以上的监控。rmon对osi的数据链路层（更确切地说是数据链路层的“mac子层”）的通信进行监控，而rmon可以对数据链路层以上的通信进行监控。 rmon仅可以分析和统计mac层的通信，监测的是从一个端口流向另一个端口的流量。而rmon可以分析mac层以上各层的通信，如传输层的tcp或udp，或应用层的e-mail、ftp、www等，很显然，rmon的范围比rmon增大了。 rmon只能监控网络的通信流量和流量占用带宽的情况，而rmon还可以提供不同层的网络应用所占用的带宽情况。例如，rmon可以在传输层分别监控tcp和udp的通信所占用网络带宽的情况。 rmon可以监控某一个节点使用何种

17、通信协议将数据发送到另一个节台，这样就能够分别统计不同节点之间以及不同应用协议的数据流量分布情况。rmon对rmon进行的补充rmon在网络设备上的应用实例1 支持嵌入式rmon的smartagent软件 当rmon嵌入到网络设施（如集线器）之中时，它的作用效率更高、经济上更划算。2 3com公司的rmon asic 3com公司通过asic（专用集成电路）将rmon的监控功能直接植入到网络基础设施之中。面向交换的smon标准 smon（switch monitoring，交换机远程监控）是运用到交换机上的一向监控标准，它是在rmon基础上发展起来的。针对三层交换机的应用，ietf提出了smo

18、n标准。它可以实现第三层及更高层交换环境的监控。mrtg（multi router traffic grapher，多路由器流量图显示器）mrtg是一个基于snmp的典型的网络流量统计分析软件，它可以从所有运行snmp协议的设备上（包括服务器、路由器、交换机等）捕获信息，每隔一段时间（具体的时间间隔由管理员确定）采样并统计其设备流量，并自动生成包含png格式的图形以html文档方式显示给用户，以非常直观的形式显示流量负载。在企业网络管理中，mrtg运行在一台网管主机（称为网管工作站）上，主要对企业网络出口连接外网（一般为internet）的路由器或防火墙设备的运行情况进行监测，也常用于对提供w

19、ww、ftp、e-mail等服务的主要应用服务器进行监测。第4章磁盘管理fat（file allocation table，文件分配表）是用来在一些操作系统的磁盘中维护的表格或者列表，用来跟踪存储在磁盘中的各种文件的位置、大小等信息。与早期的fat文件系统相比，fat32文件系统提供了一下增强功能fat32文件系统支持最大为2tb的驱动器（硬盘）。fat32文件系统可以更高效地使用空间。fat32文件系统更稳定可靠。fat32文件系统更灵活。ntfs文件系统所提供的新特性包括容错性和增强安全性的方面ntfs 1兼容性2卷容量（ntfs文件系统的分区的最大容量为16eb）3容错性4安全性5文件压

20、缩fat16、fat32与ntfs之间的比较内容fat16fat32ntfs最小分区容量无512mb20mb最大分区容量2gb2tb推荐最大2tbfat与ntfs文件系统之间不存在逆操作，即可以将fat文件系统转换为ntfs文件系统，但不能够将ntfs文件系统转换为fat文件系统。独立冗余磁盘阵列（redundant array of independent disks，raid）磁盘管理程序是用于管理系统中的硬盘、卷或分区的系统程序。raid0也称之为“带区集”，它是一种无冗余、无校验的磁盘阵列。raid1即通常说讲的磁盘镜像，所以也称为“镜像磁盘阵列”，它需要在一个硬盘控制卡上安装两块硬盘

21、。其中一个设置为主盘（master），另一个设置为镜像盘或从盘（slaver）。raid3是一种带奇校验或偶校验的磁盘阵列。raid5是一种带奇、偶校验的带区集。它是在raid0的基础上增加了对写入数据的安全恢复功能。数据块分散存放在带区集的所有硬盘中，同时每个硬盘都有一个固定区域（约占所使用硬盘分区的1/3）来存放一个奇、偶校验数据。raid0不具有错误校验功能，所以有用户说它不能算是raid，其实这也是raid0为什么被称为0级raid的原因。另外，从应用的广泛性来看，最常见的是raid0、raid1、raid0+1、和raid5这四种，其中在磁盘阵列中主要以raid5为主。在window

22、s2000/2003操作系统中，利用ntfs文件系统在磁盘分区中存储数据是极其有效的。第5章 用户管理 目录服务就是按照树状信息组织模式，实现信息管理和服务接口的一种方法。 windows 2000/2003中活动目录的名称空间是以域为单位进行划分，并采用了dns结构。 windows 2000/2003中的活动目录采用了dns的结构，不但易于理解，而且便于管理。同时，活动目录以域为基本的数据存储和管理单位，域与域之间存在信任关系。域目录树 由于活动目录的域名与dns一样也是连续的，所以子域的域名中包含着其父域的域名，如中就包含着的域名。域目录树内的所有域共享同一个活动目录，即在这个目录树下仅

23、有一个活动目录。域的信任关系 当一个域被加入到域目录树时，这个域会自动信任上层的父域，同时父域也会自动信任这个新域，而且这种信任关系具有双向性。当两个域之间建立了信任关系后，才可以相互访问对方域内的资源。windows 2000/2003域间的信任关系是通过kerberos安全协议建立的。域目录林 在大型网络中有时需要同时创建多个域来对网络进行管理。当一个网络被设置为包含多个域目录树的结构时，为便于管理可以将这些目录树合并在一起形成一个具有多个域目录树的结构，这个由多个域目录树组成的结构称为域目录林，或域森林。 在安装好windows 2000/2003系统后，会自动创建一些内置的账户，最常用

24、到的是系统管理员账户administrator和客户临时登录账户guest。 administrator（系统管理员账户）：administrator拥有对本机和网络管理的最高权限，可以用administrator来管理本机或域内的设置，如创建、更改、删除用户与组账户，设置安全策略，设置用户的权限等。出于安全考虑，当直接使用administrator账户时，需要设置较为复杂的密码，或对administrator进行更名。administrator账户无法被删除。guest（客户）：guest是供用户临时使用的账户，主要供偶尔登录系统的用户使用。guest账户仅具有很少部分的权限。管理员可以更改

25、guest账户的名称，但无法被删除。出于安全考虑，guest账户系统默认是停用的。根据使用范围的不同，可以将域内的组分为通用组、全局组和本地域组3类。1 通用组通用组可以指派所有域中的访问权限，以便访问每一个域内的资源。通用组中的成员可以是域目录林中任何一个域内的用户、通用组或全局组。但无法包含任何一个域内的本地域组。另外，通用组中的成员可以访问任何一个域内的资源。2 全局组全局组主要用来组织用户，将具有相同权限的多个用户加入到同一个全局组中进行集中管理。全局组中的成员只能是与该组位于相同域中的用户或全局组，即只能将同一个域中的用户或其他全局组加入到全局组内。但是，位于全局组中的用户可以访问域

26、目录林中任何一个域中的资源。3 本地域组本地域组主要被用来指派在其所属域内的访问权限，以便可以访问该域内的资源。本地域组内的成员能够包含域目录林中任何一个域内的用户、通用组、全局组，还能够包含同一个域内的本地域组，但不能包含其他域内的本地域组。本地域组内的用户只能访问该用户所在域内的资源，而无法访问其他不同域内的资源。第6章 组策略管理组策略是一种管理用户工作环境的技术，通过组策略可以确保用户拥有所需要的个性化工作环境，并减轻管理员的管理负担。组策略的功能一是实现“one-to-many”方式的管理。其中one是指一个组策略，而many则是多个用户或计算机。二是实现对客户端的分类管理。三是实现

27、对客户端的远程管理。四是实现对客户端的安全管理。五是实现标准的用户环境。组策略的应用1 软件分发2 软件限制3 安全设置4 基于注册表的设置5 ie维护6 脱机文件夹7 漫游配置文件和文件夹重定向8 计算机和用户脚本组策略中包含“计算机配置”和“用户配置”两部分。账户管理策略包括账户密码策略、账户锁定策略和kerberos策略。软件限制策略可以针对本地计算机、站点、域与ou来设置，其中优先级从高到低为“ou策略域策略站点策略本地计算机策略”。第7章 补丁管理 软件补丁是指一种插入到程序中并能对运行中的软件错误进行修改的软件编码，它是漏洞被发现时由软件开发商开发和发布的。安装软件补丁是保障网络安

28、全和迅速解决小范围软件错误的有效途径。根据补丁功能的不同，基本上可以分为安全补丁和非安全补丁两大类。其中，安全补丁主要针对系统软件或应用程序中存在的安全漏洞和缺陷，而非安全补丁主要针对与安全因素无关的功能，如程序运行错误等。网络管理员必须结合本单位网络的具体情况，部署补丁自动管理系统，实现对主要操作系统及应用软件的补丁自动下载、检测及安装，确保补丁更新的及时性，避免因为漏洞修补不及时造成的损失。 补丁管理应具有以下的特性：1 及时性2 严密性3 持续性从系统组成的角度来看，补丁管理系统必须提供“补丁制作与发行系统”和“补丁应用管理系统”两大部分，而“补丁应用管理”又可分为 “补丁中心服务器”和

29、“补丁管理客户端”两大部分。一个功能完善的补丁管理系统应提供以下的主要功能： 升级补丁数据库，补丁信息应该包括最新的升级。 客户端自动发现升级补丁。 自动为客户端配置补丁程序。 用户可有选择地安装或删除补丁程序。 存储不同时期补丁的跟踪报告及变更信息。补丁管理工具1 微软公司的补丁管理工具 微软提供了三种途径来修补服务器和桌面应用程序存在的漏洞：一是通过服务器管理系统（sms）控制台，向用户推送软件升级包。目前主要的产品有sus（software update services，软件更新服务）、wsus（windows server update services，windows更新服务）和s

30、ms（systems management server，系统管理服务器）；二是提供让用户桌面系统自动登陆微软公司网站并自动下载补丁程序的系统升级服务（system update services）；三是提供安全漏洞评估的免费在线工具，即微软基线安全分析器（microsoft baseline security analyzer)，可用于识别微软产品中错误的安全配置问题，生成并存储个人xml安全报告。2 bigfix bigfix企业管理套件是bigfix公司研发的业界领先的企业级系统安全配置管理软件。3 hfnetchkpro4 configuresoft公司的ecmconfiguresof

31、t公司的企业配置管理器（enterprise configuration manager，ecm）能够有效地完成报告、分析、标准化、执行、变化管理等工作。wsus（windows server update services，windows更新服务）是microsoft公司推出的用于局域网内计算机操作系统和office等应用软件升级的一种服务器软件，它可以快速、方便地为网络中的每台运行windows操作系统的计算机升级操作系统和应用软件的补丁。第8章 ip地址管理tcp/ip体系的应用层协议 文件传输类：如http（超文本传输协议）、ftp（文件传输协议）、tftp（简单文件传输协议） 远程登

32、陆类：如telnet 电子邮件类：如smtp（简单邮件传输协议） 网络管理类：如snmp（简单网络管理协议） 域名解析类：如dns（域名服务）全0地址和全1地址网络地址部分不能设置为全0或全1。当ip地址为时，它代表一个未知网络。当ip地址为55时，它代表面向本地网络所有主机的广播，我们称为“泛洪广播”。路由器不会转发泛洪广播。当主机地址部分全0时，它代表整个网络（网段），例如。当主机地址部分全为1时，它代表一个面向这个网络的定向广播，例如55，这个广播消息会发送给网段的所有主机。公有地址

33、（public address，也称为全局地址）由因特网地址授权委员会（iana）负责分配，使用这些公有地址可以直接访问因特网。私有地址（private address，也称为专用地址）属于非注册地址，专门为组织机构内部使用。第9章 vlan管理vlan在网络管理中的作用1 利用vlan控制广播风暴2 利用vlan提高网络整体的安全性3 利用vlan方便网络管理 vlan的实现方式有两种：静态vlan和动态vlan。 静态vlan是根据以太网交换机端口来划分的，动态划分vlan的方法是根据每个主机的mac地址来划分。接收链路是指用于连接用户计算机与交换机端口之间的链路。干道链路用于交换机的级联

34、以及交换机与路由器之间的连接，它可以承载多个vlan的信息，属于vlan通信的公共通道。为了保证在整个交换网络中对vlan的删除、添加、修改等操作的一致性，cisco开发了vlan干道协议（vtp）。在一个vtp域内，vtp通过干道链路在交换机之间传送vlan信息，从而使整个vtp域内交换机的vlan信息得到同步。vtp具有以下优点： 保持整个网络vlan配置的一致性 对vlan进行跟踪和监管 方便地添加、删除以及重命名vlan vtp通告信息使用vtp时，每台交换机每隔5分钟在其干道链路上以组播形式发送一次vtp通告，并且当vlan信息发生改变时，交换机也发出vtp通告（触发式更新）。vtp

35、通告信息中主要包含以下内容：管理域配置版本号已知vlan和它们的详细参数vtp存在三种操作模式：服务器模式：在vtp服务器模式中，我们可以创建、删除、修改vlan，也可以为整个vtp域配置其他全局参数（如：vtp版本、允许vtp修剪等）。客户机模式：vtp客户机接收来自vtp服务器的vlan配置，并且应用到自身，客户机不能创建、删除和修改vlan。透明模式：处于透明模式的交换机不参与vtp，它不通告自己的vlan配置也不接收和应用来自其他vtp服务器的配置。但是处于vtp透明模式的交换机可以在干道链路上转发自己收到的vtp通告，以保证其他交换机能够接收到vlan的更新信息。 vtp配置版本号vtp通告中最重要的就是配置版本号。每当vtp服务器修