第六章-远程网络监视-RMON-6.1-RMON产生的背景

第六章远程网络监视RMON6.1RMON产生的背景6.2RMON16.3RMON2

SNMP的MIB-2能够提供单个主机的管理信息，为了提供整个网络的通信情况，需要加大轮询的工作量。SNMP作为一个基于UDP/IP并在Internet互联网中应用最广泛的网管协议，网络管理员可以使用SNMP监视和分析网络运行情况，但是SNMP也有一些明显的不足之处：在大型的网络中，轮询会产生巨大的网络管理通信量，因而导致通信拥挤情况的发生。6.1RMON产生的背景它将收集数据的负担加在网络管理控制台上。管理站也许能轻松地收集8个网段的信息，当它们监控几十个网段时，恐怕就应付不下来。所以网管工作站的处理能力可能成为瓶颈。

6.1.1RMON的定义和特点

RMON(RemotenetworkMONitoring)是一个进程，RMON驻留的设备叫RMONProbe,可以是独立的主机，也可以是工作站、服务器、路由器兼任。它的功能就是统计和分析子网的通信性能指标。1）离线操作当Manager停止对Probe轮询时，RMON也能够不间断地采集子网的信息，备Manager查用。2）主动监视RMON能够连续的进行故障诊断和记录网络性能。同时在发现网络故障时，可以主动向管理站报告。3）提供增值数据RMON分析它收集到的子网数据，可以计算出网络性能的多种数据，识别并记录故障的阈值，同时通知Manager．分担了Manager的任务。6.1.2RMON的控制RMON可以由专用设备来实现，也可以由其他系统兼任。1）配置RMON为数据采集进行配置，配置数据类型和格式。RMONMIB分为若干功能组，每个组都是由控制表和数据表组成。对于Manager,控制表是可以读写的，Manager可以设置控制表中的控制参数，如需要采集的数据源，数据类型，采集时间。数据表是只读的。2）调用操作SNMPManager使用SetRequest对RMONMIB进行赋值，完成对RMON的操作。RMON(mib-216)statistics(1)以态网的统计信息

history(2)子网周期性的统计信息matrix(6)对地址之间的通信统计数据filter(7)对分组进行过滤的信息alarm(3)取样间隔和报警门限host(4)一个主机的通信统计数据hostTopN(5)某种参数最大的N台主机统计数据capture(8)捕获特殊分组的信息event(9)定义网络事件的信息。tokenRing(10)关于令牌环网的配置统计信息。6.2RMON信息库6.2.1statistics(rmon1)statistics(rmon1)etherStatsTable(1)etherStatsDataSource(2)监视器接收数据的以态网接口。etherStatsEntry(1)etherStatsIndex(1)索引号，对应一个子网。etherStatsDropEvent(3)因资源不足而丢弃的分组数。etherStatsOctets(4)接收的字节总数。etherStatsBroadcastPkts(6)接收到的广播分组数。etherStatsPkts(5)接收的分组数。etherStatsMulticastPkts(7)接收到的组播分组数。etherStatsCRCAlignErrors(8)接收的CRC错误或有对准错误的分组数。etherStatsOverSizePkts(10)大于1518字节的分组数

。etherStatsUndersizePkts(9)不足64字节的分组数。etherStatsCllision(13)子网发生冲突的次数。6.2.2history(rmon2)采样周期、样品数目和項目。提供有关网段流量、错误包、广播包、利用率以及碰撞次数等其他统计信息的历史数据。history(rmon2)etherHistoryTable(2)以态网历史组数据表。historyControlTable(1)历史组的控制表historyControlEntry(1)etherHistoryEntry(1)historyControlEntry(1)historyControlIndex(1)historyControlDataSource(2)被采样接口的编号。historyControlBucketsRequested(3)请求的存储样品数目(对应着相关的一行)默认值是50。historyControlBucketsGranted(4)实际得到的存储样品数目。historyControlInterval(5)采样间隔长度。默认值是1800s。etherHistoryEntry(1)etherHistoryIndex(1)etherHistorySampleIndex(2)被采集的样品标识。etherHistoryIntervalStart(3)采样开始时sysUptime的值。etherHistoryDrapEvents(4)因资源不足而丢失的分组数目。ehterHistoryUtilization(15)子网利用率。...6.2.3主机组host组用于收集LAN上特定主机的统计信息。RMON通过观察正常分组中源和目的分组的MAC地址来发现LAN中的主机。host(rmon4)hostTable(2)用MAC地址和网络接口索引hostControlTable(1)hostControlEntry(1)hostEntry(1)hostTimeTable(3)按照创建的顺序索引hostTimeEntry(1)hostControlEntry(1)hostControlIndex(1)hostControlDataSource(2)主机组的网络接口编号。hostControlTableSize(3)主机组数据表的行数，就是子网中的主机数。hostControlDeletetime(4)hostTable删去一行的时间（sysUpTime)。1)hostControl表对象2)host表对象用主机的MAC地址来索引的表hostEntry(1)hostAddress(1)主机MAC地址hostCreatonOder(2)主机被发现的顺序hostIndex(3)hostOutPkts(5)输出的分组数。hostInPkts(4)接收的分组数。hostInOctets(6)接收的字节数。hostOutOctets(7)输出的字节数。hostOutErrors(8)输出出错的分组数。hostOutBroadcastPkts(9)输出的广播分组数。hostOutMultiCastPkts(10)输出的多播分组数。3)hostTime表对象按照创建的时间来索引的表。内容和host表一致。hostTimeEntry(1)hostTimeAddress(1)主机MAC地址hostTimeCreatonOder(2)主机被发现的顺序。hostTimeIndex(3)代理a代理b代理cRMON代理e代理f接口1接口2代理g代理d子网1子网2hostControlTable=2(子网数）对于子网1，hostControlTable中第1行hostControlTableSize=3(子网1中有3台主机）对于子网2，hostControlTable中第2行hostControlTableSize=4(子网2中有4台主机）6.2.4hostTopN(最高N台主机组）hostTopN组用于记录LAN上某种参数最大的主机信息。如，可以记录某天传输数据量最大的十台主机信息。统计信息可以从host组取得。hostTopN(rmon5)hostTopNTable(2)以态网历史组数据表。hostTopNControlTable(1)hostTopNControlEntry(1)hostTopNEntry(1)1)hostTopNControl表对象hostTopNControlEntry(1)hostTopNControlIndex(1)hostTopNHostIndex(2)与hostControlIndex和hostIndex相匹配。hostTopNRateBase(3)要采样的变量。与hostTable表中的7个变量之一对应。hostTopNTimeRemaining(4)采样剩余时间(秒)hostTopNDuration(5)采样周期hostTopNRequestedSize(6)请求统计的最大主机数NhostTopNGrantedSize(7)实际的统计的最大主机数NhostTopNStartTime(8)采样时间（sysUpTime)。2)hostTopN表对象hostTopNEntry(1)hostTopNReport(1)与hostTopNControlIndex(1)一致hostTopNIndex(2)表示唯一的主机。hostTopNAddress(3)主机的MAC地址hostTopNRate(4)采样周期内采样变量的变化量。由hostTopNRateBase指定。6.2.5matrix矩阵组matrix组用于记录子网内各对主机的信息流量。便于检测特定主机对的信息流量，比如哪个主机和服务器的通信最多。matrix(rmon6)matrixSDTable(2)源主机到多台目的主机matrixControlTable(1)matrixControlEntry(1)matrixSDEntry(1)matrixDSTable(3)目的主机到多台源主机matrixDSEntry(1)1)matrixTopNControl表对象matrixControlEntry(1)matrixControlIndex(1)matrixControlDataSource(2)子网接口的标识matrixControlTableSize(3)数据表的行数matrixControlLastDeleteTime(4)在数据表删除一行的时间（sysUpTime)2)matrixSD表对象matrixSDEntry(1)matrixSDSourceAdress(1)源MAC地址matrixSDDestAdress(2)目的MAC地址matrixSDIndex(3)与matrixControlIndex(1)相同matrixSDPkts(4)源到目标的分组数matrixSDOctets(5)源到目标的字节数matrixSDErrors(6)源到目标的错误分组数3)matrixDS表对象matrixDSEntry(1)matrixDSSourceAdress(1)源MAC地址matrixDSDestAdress(2)目的MAC地址matrixDSIndex(3)与matrixControlIndex(1)相同matrixDSPkts(4)目标到源的分组数matrixDSOctets(5)目标到源的字节数matrixDSErrors(6)目标到源的错误分组数6.2.6alarm组alarm组用于定义一个网络告警类型、间隔、阈值上限、阈值下限。如果某个变量超过了设定的阈值，就会生成一个报警并发送到中央控制台。比如，在5分钟内发现超过100个CRC错误，就会生成一个报警。alarm(rmon3)alarmTable(1)alarmEntry(1)alarmIndex(1)alarmInterval(2)对报警阈值采样的周期alarmVariable(3)采样的变量alarmSampleType(4)采样的方法。absoluteValue(1),采样值直接与阈值直接比较。deltaValue(2),本次采样值与前次采样值的差，与阈值比较。alarmStartupAlarm(6)是否报警。risingAlarm(1),fallingAlarm(2),risingOrFallingAlarm(3).alarmValue(5)最近一次采样得到的统计值。alarmRisingTreshold(7)阈值上限alarmfallingTreshold(8)阈值下限alarmfallingEventIndex(10)采样值超过阈值下限时，事件组的索引。alarmRisingEventIndex(9)采样值超过阈值上限时，事件组的索引。6.2.7filter组提供了字节过滤器类型、两种过滤器，使probe能够观测到指定子网上选定的分组。数据过滤器：以位方式来匹配分组状态过滤器：以分组的状态来匹配分组filter(rmon7)channelTable(2)filterlTable(1)filterEntry(1)channelEntry(1)1)过滤逻辑定义：input:被过滤的输入分组。fiterPktData:测试的位模式。filterPktDataMast:测试的相应位。实际就是过滤所要满足条件的具体数值。filterPktDataNotMask:进行匹配或不匹配的测试。匹配测试(inputxorfilterPktData)=0,匹配。不匹配测试(inputxorfilterPktData)!=0,不匹配。2)通道（信道）通道由一组过滤器组成，分组经过该通道的每个过滤器。ChannelAcceptType={acceptMatched(1),acceptFailed(2)}当取acceptMatched(1),分组数据和状态至少与一个过滤器匹配，分组就被接收。当取acceptFailed(2)，分组不能够通过任何过滤器，才能够被接收。分组数据分组状态数据过滤器1状态过滤器1AND数据过滤器2状态过滤器2数据过滤器n状态过滤器nANDANDOR6.2.8Capture组包捕获组建立一组缓冲区，用于存储从通道中捕获的分组。捕获所有通过过滤器的数据包,简单地记下基于这些数据包的统计。

capture(rmon8)capturebufferTable(2)bufferControlTable(1)bufferControlEntry(1)capturebufferEntry(1)bufferControlEntry(1)bufferControlIndex(1)bufferControlChannelIndex(2)指向一个通道bufferControlFullStatus(3)缓冲区是否用完bufferControlFullAction(4)缓冲区是否循环使用bufferControlCaptureSliceSize(5)被捕获的分组可以存入缓冲区的最大字节。bufferControlDownloadSliceSize(6)单个SNMP报文可以从缓冲区取得的最大字节数bufferControlDownloadOffset(7)从缓冲区取得的第一个字节距分组头部的偏移量bufferControlTurnTime(11)打开缓冲区的时间bufferControlMaxOctetsRequested(8)请求的缓冲区大小。bufferControlMaxOctetsGranted(9)得到的缓冲区大小bufferControlCapturePkts(10)当前在缓冲区的分组数。captureBufferEntry(1)captureBufferControlIndex(1)与控制表索引一致captureBufferIndex(2)缓冲区中分组的索引captureBufferPacketID(3)分组被捕获的顺序captureBufferPacketData(4)存储的分组captureBufferPacketLength(5)接收的分组长度captureBufferPacketTime(6)打开缓冲区的时间captu