实训指导66基于SNMP协议实现网络管理课件

1、计算机网络安全技术与实施学习情境6：实训任务6.6国家高等职业教育网络技术专业教学资源库基于SNMP协议实现网络管理内容介绍任务场景1任务相关工具软件介绍2任务设计、规划3任务实施及方法技巧4任务检查与评价5任务总结6任务场景任务相关工具软件介绍可以用PT实现，也可以基于真实网络环境配置实现，软件为SolarWinds任务设计、规划基于SNMP协议实现网络管理接入或汇聚交换机核心交换机DMZ服务器区内网用户网络管理工作站防火墙路由器任务实施及方法技巧基于SNMP协议实现网络管理相关知识与原理介绍任务实施及方法技巧1、网络管理协议简介 伴随着网络着基于TCP/IP协议的互联网络应用的普及，出现了

2、各种管理上的需求，如对网络性能管理、配置管理、计费管理、故障管理、安全管理等多方面的需求。有效的管理手段可以简化大量的网络管理与维护的工作量。从1969年世界上第一个计算机网络-ARPANET的产生之初，并没有考虑网络管理这项任务，更没有开发出专门的网络管理协议，只是利用了ICMP协议的echoecho-reply消息对来对网络进行测试的功能。网络应用的快速增长，使得这方面的需求逐渐增加。1988年，Internet体系结构委员会提出了简单网络管理协议的第一个版本，即SNMPvl（Simple Network Management Protocol），并由RFC1157对其进行了定义。1993

3、年正式发表的SNMP第二版-SNMPv2。但是这两个协议在应用中都明显存在着安全问题、以及功能上的不足。2002年3月SNMPv3经IESG互联网工程指导小组核准，在互联网上应用，在SNMPv3中主要对前面的版本添加了安全与远程配置的功能。这就是目前基于TCP/IP协议的管理协议。任务实施及方法技巧 同时，国际标准化组织也积极组织网络管理模型的开发，推出了基于OSI七层体系的网络管理协议，管理信息协议CMIP（Common Management Information Protocol）通用管理信息协议，是与通用管理信息服务CMIS（Common Management Information

4、Service）同时使用的一种用于监控不同网络的ISO协议。CMIS定义了一个网络管理信息服务系统。CMIP的提出目标是代替简单网络管理协议SNMP，但由于其复杂性目前只在大型网络中有所应用。因此提出了在TCP/IP上的CMIP，即CMOT（CMISCMIP over TCP/IP），CMOT是一种使用CMIP来管理IP网络的网络管理协议。CMOT 定义了一种网络管理架构，用以支持CMIS/CMIP。 网络管理是指监督、组织和控制网络通信服务和信息处理所必需的各种活动的总称，也指利用多种应用程序、工具和设备来监控和维护网络运行的一种技术。 下面将主要对网络管理功能定义、网络管理系统的各个组成部

5、分、主要的网络管理协议为主，SNMP管理模型的组成和功能、SNMP的实现机制和过程、SNMP安全性的实现、通过RMON进行网络远程监视等进行介绍，以实现对网络管理协议及实施加以理解。任务实施及方法技巧2、网络管理的目的 网络应用的普及使得网络管理复杂性增加，手工进行网络管理有其局限性和不足。因此有必要开发基于协议的网络管理系统。网络管理系统可以使管理人员避免大量的重复性劳动；可以在网络发生故障时及时提醒，以提高设备的响应速度；还可以通过一些设置对网络进行远程控制。利用网络管理系统，可以实现对网络的实时监控，提高网络安全性。可以通过定义的阈值来及时发现超出指定阈值的网络活动，如设置对WEB服务器

6、的80端口设置一个时间阈值，在此时间内如果80端口没有响应则认为服务已经不可用，从而及时发现故障，并进行报警通知网络管理人员进行故障排除，以提高网络的可用性。 网络管理范围包括了硬件管理、软件管理、网络配置、网络维护、网络服务等。因此也要求网络管理人员具备软件方面与硬件方面的知识与技能。同时要求网络管理员应当具备自学能力、英文阅读能力、专业技能、创造和应变能力、观察能力、分析判断能力、毅力、精力和体力、沟通能力等。任务实施及方法技巧3、国际标准化组织对网络管理功能域的定义 国际标准化组织ISO对网络管理功能域定义了五方面功能：性能管理、配置管理、计费管理、故障管理、安全管理。下面分别介绍。（1

7、）配置管理 配置管理（configuration management）是最基本的网络管理功能，主要负责监测和控制网络的配置状态，就是在网络建立、扩充、改造和运行的过程中，对网络的拓扑结构、资源配备、使用状态等配置信息进行定义、监测和修改。配置管理应包括以下几部分功能：定义配置信息、设置并修改属性值、定义和修改关系、初始化和关闭网络、软件分发、网络规划和资源管理等功能。（2）性能管理 性能管理（Performance management）涉及到网络通信信息（流量、用户、访问的资源等）的收集、加工和处理等一系列活动。其目的是保证有效运营网络和提供连续可靠通信能力，在保证各种业务的服务质量的同时

8、，尽量提高网络资源的利用率，并使网络资源的使用达到最优化的程度。性能管理包括以下三个主要内容：性能测量、性能分析、性能管理控制。性能指标：面向服务的指标：可用性、响应时间、精确度。面向效率的指标：吞吐量、利用率。任务实施及方法技巧（3）安全管理 安全管理（Security management）的作用是提供信息的保密、认证和完整性保护机制，使网络中的服务数据和系统免受侵扰和破坏。计算机和网络安全的要求：保密性(secrecy）、整体性（integrity）、可用性（availability）。计算机和网络安全威胁的类型：中断(interruption)、侦听(interception)、修改(

9、modification)、伪造（fabrication）。对计算机系统资源的威胁：对硬件的威胁、对软件的威胁、对数据的威胁、对通信线路和网络的威胁（被动威胁：泄露消息内容、流量分析；主动威胁：消息流修改、拒绝服务、欺骗）、对网络管理系统的威胁（用户欺骗、网络管理站欺骗、管理站代理交换干扰）。安全管理功能包括：信息安全维护、服务与资源访问控制、加密过程控制。 信息安全维护包括：事件日志、监视安全审核记录、监视安全相关资源的用户和使用情况、报告安全破坏、接收安全破坏报告、维护并检查安全日志、维护安全相关文件的所有或部分备份、维护一般网络用户配置文件和特定资源的使用配置文件，作为指定安全配置文件限

10、制的参考。 服务与资源访问控制包括：代码安全、源路由和路由记录信息、警告极限级别、计费表。加密过程控制包括：管理站和代理之间的信息交换进行加密、通过其他网络实体来实现加密、指定加密算法并提供密钥分发等。 任务实施及方法技巧（4）故障管理 故障管理（fault management）的作用是迅速发现、定位和排除网络故障，动态维护网络的有效性 故障管理的主要功能：检测和报告故障、故障的诊断和定位、故障的隔离、故障的修复。通常进行的故障诊断测试：连接性测试、数据完整性测试、协议完整性测试、数据饱和性测试、连接饱和性测试、响应时间测试、功能测试。（5）计费管理 计费管理（accounting mana

11、gement）的作用是正确地计算和收取用户使用网络服务的费用，进行网络资源利用率的统计：计费管理是商业化计算机网络的重要管理功能、在非商业化的网络上，计费管理可以通过测量不同网络资源的利用率，适当调整网络资源的利用。计费管理可以分为以下三个子过程：计费数据收集过程、计费处理过程、帐单管理过程。任务实施及方法技巧4、网络管理系统组成 网络管理系统主要由以下几部分要素组成：被管设备（Managed Devices）网络管理器（Network Manager）或网络管理工作站（Network Management Station）管理代理（Managed Agents）网络管理协议（Network

12、Management Protocol）管理信息库（MIB,Management Information Base）任务实施及方法技巧其中各部分网络管理组成要素的功能如下： 被管理设备：是指所管理的网络中所要被管理的设备，可能是主机服务器、路由器、交换机等运行网络管理代理程序和网络管理协议的全部网络设备，管理端设备本身也可以是被管理设备。因此下面的被管理设备是指全部管理端与被管理设备。 网络管理工作站：一般是指安装有网络管理软件，管理软件通过管理协议与网络中管理代理进行通信，负责对管理信息的收集，根据管理指令读取被管理设备上由管理代理提供的信息，或设定相关的设备参数等。 管理代理：管理代理是运

13、行于被管理设备上的一个进程或称之为程序。一般由设备或系统的生产商将提供，用来跟踪被管理设备状态的特殊软件或固件，可能是软件程序也可以是在芯片中的代码。在被管理设备上开启此代理后，由此代理通过管理协议向网络管理工作站进行信息交换。如向管理工作站报告设备的当前状态等。 网络管理协议：用于在网络管理工作站上的管理程序和管理代理之间进行信息交换的协议。通过在被管理设备上开启管理协议，实现管理端与被管理端的通信。如SNMP就是网络管理协议的一种。 MIB管理信息库：MIB是被管网络设备的信息和变量集合的数据库，MIB位于管理和被管理设备中。代理程序就是通过读取这些信息并发送给管理工作站，使管理端可以实现

14、对信息的收集。任务实施及方法技巧5、SNMP网络管理组成 基于SNMP协议的网络管理同样是由五部分组成的，即由被管理设备、网络管理工作站、管理代理、网络管理协议、管理信息库组成。其实可以进行分类，一类是网络中物理设备如网络管理工作站和被管理设备，另一类是进行管理信息存储、维护和交换的实体，即管理信息库、管理代理和网络管理协议。 网络管理工作站一般安装有网络管理软件，管理员可以利用管理软件进行信息的获取与控制，如管理员可以发出读取设备状态的信息，管理软件进行协议封装，封装成SNMP协议数据单元，发送给被管理设备，由被管理设备中运行的代理进程读取MIB中的相应信息后进行响应。也可能是被管理设备中的

15、管理代理根据设定的阈值主动发送Trap（也称自陷）消息给管理工作站，例如当设备断电重启后，管理代理要主动向管理工作站发一个Trap消息，这也是管理代理主动向管理工作站发送信息的唯一的方式。网络管理工作站网络管理协议管理代理Agent管理信息库MIB被管理设备任务实施及方法技巧6、SNMP网络管理要素的作用 管理工作站具有网络管理应用软件，它的作用是能够进行数据分析、故障发现功能，并能提供网络管理员监视和控制网络界面，还能够将网络管理员的命令转换成对本地网络或远程网络元素的监视和控制、能通过网络管理协议和管理代理进程从所有被管实体的MIB中提取出信息数据库。 网络管理代理作用是对来自管理站对被管

16、理设备的信息查询请求(Get Request)和设置请求(Set Request)动作作出响应。网络管理代理也可以异步地向管理工作站提供一些重要的非请求信息，即Trap自陷消息，用于主动报告被管理设备的运行状态等信息。 网络管理协议的作用是，在管理工作站和管理代理之间交换信息、提供了管理工作站收集网络管理信息的方法、也为设备向网络管理工作站报告问题和错误提供了一种方法，它规定了进行信息交换的协议格式或说语法。 网络管理信息库的作用是用于存储被管理设备内部对象、性属和对应值。通过SNMP访问的管理信息保存在每个管理站和代理节点的MIB中。管理信息包含有简单层次的对象结构，每一个对象都代表一个被管

17、理资源的一些属性。任务实施及方法技巧7、SNMP协议工作原理与协议结构 在网络管理过程中，网络管理工作站与被管理设备之间通过SNMP协议进行信息的交互。下图是SNMP协议数据的几种操作类型，也是管理工作站与被管理设备相互间的协议数据操作方式。 网络管理工作站管理代理Agent管理信息库MIB被管理设备Get RequestGet Next RequestSet RequestGet ResponseTrap任务实施及方法技巧（1）Get Request操作：网络管理工作站向被管理设备发出读取请求。如可以是读取被管理设备的接口状态，UP或DOWN等。（2）Get Next Request操作：网

18、络管理工作站向被管理设备发出读取多个（遍历操作）请求，例如可以用于连续读取被管理设备内的全部可管理信息等。（3）Set Request操作：网络管理工作站向被管理设备发出修改请求。如可以设置一个或多个阈值，用于对紧急状态的报告等。（4）Get Response操作：被管理设备对网络管理工作站的请求的回应。用于返回给管理工作站想要读取的信息。（5）Trap操作：被管理设备向网络管理工作站主动发出的通知，表明已经达到某个阈值。只有Trap是由被管理设备主动发给管理工作站的，用于当被管理设备发生问题或达当某个设置的值时（阈值）时主动向管理工作站报告。例如：可以设置当被管理设备的网络利用率达到60%时

19、可以让被管理设备主动发一个Trap给管理设备等。 任务实施及方法技巧 SNMP协议地设计之初考虑到这种管理上的附加不能给正常的通信带来负载，因此采用基于UDP传输层协议进行设计，在进行管理通信中所用到的端口号是161和162。管理代理端（类似提供数据的服务器端）开启UDP的161端口号响应查询，管理端（类似于管理端）开启162用于接收来自被管理设备中代理主动发来的自陷消息。 SNMP协议报文基于UDP协议通过IP数据报在网络中传的封装。其中SNMP协议报文主要包括公共SNMP首部包括：SNMP协议的版本、共同体名、PDU（协议数据单元）类型（0-3），对于PDU类型4主要是用于Trap信息。G

20、et/Set标识与PDU0-3中，包括：请求标识符、差错状态、差错索引。变量及其值域包含属性和值等。IP头部UDP头部SNMP版本共同体名PDU类型（0-3）请求标识符差错索引属性值属性值属性值差错状态（0-5）IP头部UDP头部SNMP版本共同体名PDU类型（4）实体差错索引属性值属性值属性值被管代理IP地址Trap类型（0-6）特定代码公共SNMP协议头部Get或Set标识Trap标识变量及其值任务实施及方法技巧8、利用协议分析软件捕获SNMP协议数据 为了更好地对协议的工作原理进行深入的理解，可以利用协议分析软件，如Sniffer Pro等捕获SNMP协议，可以在高级设置里设置，仅捕获S

21、NMP协议数据。然后分析管理工站站发出的查询、被管理设备的回应以及自陷消息等协议数据。结合前面的SNMP协议工作原理与协议结构部分内容对捕获的协议数据进行分析。设置Sniffer Pro的高级过滤，定义捕获SNMP协议数据，开始捕获。然后，开启SolarWinds软件中的IP Network Browser扫描本地网关54的设备，下图是利用Sniffer Pro捕获到的一个SNMP协议数据。这其中包含了前面介绍的SNMP协议结构中的各要素。任务实施及方法技巧9、网络管理信息库MIB 网络管理信息库MIB提供了对被管理设备内部不同对象的描述，定义了通信中的标准表述结构。管理信息包含有简单层次的对

22、象结构，每一个对象都代表一个被管理资源的一些属性。通过SNMP访问的管理信息保存在每个管理站和代理节点的MIB中。MIB的两个版本：MIB-I，提供114标准对象、对象被认为是进行故障和配置管理；MIB-II，对MIB-I进行了扩展、定义了185个对象，同时与RMON共同实现远程监控功能。SNMP的管理信息库采用树型结构对不同的对象进行定义。如下图所示如果要读取基于ISO网络管理体系下的被管理设备的厂商信息，则可以表示为：.4.1.以此来表示具体对象。下面的右图中是利用SolarWinds读取Cisco设备的MIB标识为.4.1.9等。MIB1-ISO0-CCITT2-ISO&CCITT0-S

23、tandand3-Identif1-Regist2-Member6-Dod1-Internet4-PrivateMicroSoftCisco1-Enterprises任务实施及方法技巧10、SNMP网络管理工作站收集数据的方法 SNMP网络管理工作站收集数据的方法：轮询的方法、中断的方法、面向自陷的轮询方法。（1）轮询（polling）的方法收集数据 单纯的轮询方法是通过管理工作站依次对网络中的被管理设备进行查询来收集管理数据。这种方式下是由管理工作站进行控制对数据的收集，如果网络规模很大，管理工作站轮询一遍所有的设备可能要花费较长时间，如果在此期间内有设备发生故障，如重新启动，并且重新启动时

24、间很短的话，管理工作站可能收集不到这种事件。即这种方式的缺点是无法提供实时的数据收集。网络管理工作站轮询的方法任务实施及方法技巧（2）中断（Interrupt）的方法收集数据 基于中断方式的数据收集适合用于对短时间内的异常事件。当出现异常事件时，由被管理代理主动通知网络管理工作站，多是通过错误报告或自陷方式向网络管理工作站发出trap消息，这种方式实时性很高。但所有的管理信息通过此方式收集，会由于产生错误或自陷需要占用被管理设备的系统资源，如下图所示。（3）面向自陷的轮询方法（trap-directed polling）的方法收集数据 面向自陷的轮询方法结合了轮询与中断两种方式，在轮询的同时由

25、被管理设备主动发出事件的自陷。 网络管理工作站轮询在被管理设备中的代理来收集数据，并且在控制台上用数字或图形的表示方式来显示这些数据。网络管理工作站网络管理工作站中断的方法面向自陷的轮询方法任务实施及方法技巧11、SNMP网络管理的安全性 在利用SNMP协议对网络设备进行管理和信息收集时，由于管理工作站与被管理工作站之间是通过共同体名来进行权限验证的。但SNMPv1和SNMPv2的共同体名在设备生产时默认是Public和Private，其中Public是只读权限，Private是读写权限，由于很多设备都已经默认开启SNMP并采用这Public作为权限和身份认证，如果是攻击者也利用管理软件对网络

26、中的被管理设备进行信息获取则网络设备的配置信息可能会被攻击者获取，如思科的路由器就可以利用管理软件通过Public这个共同体名来读取或下载路由器的配置文件，从而获取路由器的访问口令等。 任务实施及方法技巧 当然这可以通过修改路由器中SNMP默认共同体名或关闭SNMP网络管理功能来避免。但是这也说明了SNMP前两个版本协议的安全性较差，也是SNMPv3出现的主要原因。SNMPv3提供了设备安全访问机制，是由认证和网络传输中数据包加密的组合方式实现的。在加密上采用了DES来提供机密性保护，特别是SNMPv3协议报头的安全防护。在完整性保护上采用了散列算法与安全散列功能，即MD5或SHA-1，通过这

27、种方式提供了对数据是否被修改的验证方法。SNMPv3的USM（用户安全模式）还允许基于用户的认证和接入控制。前两个版本的SNMP协议采用读写两级权限的共同体名（community string）。但SNMPv3允许管理员为每一个SNMP用户建立特别帐号，并根据这些用户帐号授予权限。 当前应用中的很多网络设备还不支持SNMPv3，可以对支持SNMPv3的软件或固件进行升级。在版本之间SNMPv3通过对前两个版本的封装，可以提供保护措施。任务实施及方法技巧基于SNMP协议实现网络管理SolarWinds的配置与实现任务实施及方法技巧1、特定网络环境下的网络管理技术 在如下图所示的企业园区网络环境中

28、利用网络管理技术，设计基于SNMP协议的网络管理。在核心交换机处连接网络管理工站，在关键网络设备及服务器中开启SNMP协议。通过网络管理工站来监视网络运行状态，并能对出现的网络故障进行报告。接入或汇聚交换机核心交换机DMZ服务器区内网用户网络管理工作站防火墙路由器任务实施及方法技巧2、网络管理软件的选择 专业的网络管理软件有很多如：HP公司、SUN公司、IBM公司等大型的网络管理系统或称网络管理平台等。如IBM的Tivoli NetView为网络管理人员提供一种功能强大的解决方案。它可在短时间内对大量信息进行分类，捕获解决网络问题的数据，确保问题迅速解决，并保证关键业务系统的可用性。还有思科针

29、对其自有网络设备的网络管理软件Cisco Works2000，它可以对思科的网络设备进行管理与配置，特别是基于GUI的配置功能。 一般的网络管理平台具有如下特性：运行在一个开放的系统环境下、提供一个GUI图形用户界面 、能够管理来自不同厂商的网络资源和设备、不局限于某一个特定功能域的管理、具有一种模块化的结构、大多基于面向对象的数据模型、提供基于国际标准定义良好的接口、应用程序可以通过这些接口访问资源等特点。 从应用角度来说网络管理具有如下功能：网络资源状态监视、阈值监测、事件管理、配置应用、拓扑管理、性能监视。网络管理平台的体系结构一般分为：集中式体系结构、分层式体系结构、分布式体系结构。任

30、务实施及方法技巧3、HP OpenView 的特点 HP OpenView支持标准网络传输和网管协议，如TCPIP，SNA，SNMP，RPC，CMIP等。采用开放的、模块化体系结构，扩充性能好，异种网络管理能力强。提供丰富的图形操作界面，能动态反映网络的拓扑结构，包括网络各种资源变化的自动监测，方便操作人员的网络运行状况监控。提供用户灵活的设置功能，如阀值设定，以监测网络故障的发生。提供丰富的应用程序接口，方便用户开发自己的网络管理程序。具有分发软件和数据的功能，数据能分发至各种机器上。 OpenView Network Node Manager(NNM)，NNM是网络和系统管理的基础和平台，

31、 NNM具有如下特征：自动发现和监控网络节点；分布式和可伸缩性结构；NNM支持分层管理，并且没有层次的限制；可以集成数百个HP OpenView解决方案合作伙伴开发的应用程序，以满足用户特定的网络，系统，应用及数据库管理之需求；灵活的数据库选项可以使用NNM普通文件数据库或相关的SQL数据库；NNM的发现过滤，拓扑过滤，图象过滤功能使用户可以根据自己的需要，选择要发现监控的对象，定制MAP，按一定的共同特征将被管对象进行分组；易于使用的GUI图形化用户界面。 HP OpenView NNM是在国内有很高市场份额的网络管理软件，它凭借强大的功能，良好的开放性，分级管理的概念和众多基于此的第三方应

32、用软件，在中国的金融、移动等行业得到广泛应用。任务实施及方法技巧4、网络管理软件SolarWinds SolarWinds网管工具主要基于SNMP协议进行网络管理，对于学习SNMP网络管理协议是很有帮助的一款软件，一个专业的网络管理软件工具集，可以监控，发现网络设备。它提供了如带宽测量（Bandwidth Gauges）、路由CPU负荷（Router CPU Load）、带宽监控（Bandwidth Monitor）、CPU测量（CPU Gauge）、网络性能监控器（Network Performance Monitor）、SNMP图象和高级CPU上传（Advanced CPU Load ）等

33、网络性能监控功能。利用SolarWinds的网络发现（Network Discovery）功能可以实现IP网络浏览器（IP Network Browser）、Ping Sweep、子网列表（Subnet List）、SNMP Sweep、网络定位（Network Sonar）、DNS核查（DNS Audit）和MAC地址发现（MAC Address Discovery）等。 同时也提供了MIB的浏览功能、地址管理、安全管理及相应的网络管理工具集如TFTP、SYSLOG等。 下图是SolarWinds 2002 CATV Engineers Edition软件的安装界面与安装后的工具栏（Tool

34、bar）。任务实施及方法技巧1、在网络设备上启用SNMP 这里以思科路由器为例介绍SNMP的网络管理。在启用SNMP协议对网络进行管理之前一定要清楚一个概念，那就是SNMP协议的前两个版本是不安全的。思科的网络设备早期的SNMP协议默认是开启的，也正是这一功能为其带来了安全隐患，所以后来的网络设备在IOS系统中默认关闭了此项功能。所以这项功能要慎重使用，并建议不要使用默认的共同体名Public和Private。 （注：为了实验方便，下面的路由器可以利用模拟软件DynamipsGUI来实现） 在思科路由器中开启SNMP协议并设置共同体名为cey，权限为只读的命令如下： Router(config

35、)#snmp community cey ro /路由器内网接口IP地址为任务实施及方法技巧2、在Windows2003服务器上启用SNMP 在Windows2003服务器操作系统中，选择控制面板-添加或删除程序-添加或删除Windows组件，在Windows组件向导中选择管理和监视工具，并双击打开，选择简单网络管理协议（SNMP），确定后，在光驱内放入Windows2003安装光盘，即可以完成SNMP协议的添加任务。设置管理工具-服务-SNMP Service中的安全，添加共同体名cey，并添加管理工作站的IP地址，如下图所示。（注：为了实验方便，此处的Windows2003服务器操作系统安装于虚拟机中）任务实施及方法技巧3