第四章-SNMP網絡管理模型

網絡管理

第四章SNMP網絡管理模型張崗山西安電子科技大學信息科學研究所引言SNMP：SimpleNetworkManagementProtocol，簡單網絡管理協(xié)議解決基于TCP/IP協(xié)議的網絡的管理問題作為CMOT（CMIPoverTcp/ip）的過渡方案，最終成為事實上的工業(yè)標準Simple西安電子科技大學信息科學研究所SNMP發(fā)展歷史TCP/IP網絡管理發(fā)展歷史ICMP(InternetControlMessageProtocol,RFC792)ping:echo/echo-reply（時間戳）1987年，簡單網關監(jiān)控協(xié)議（SGMP）發(fā)布，用于直接監(jiān)控網關(Gateway).西安電子科技大學信息科學研究所SNMP發(fā)展歷史1988年，IAB發(fā)布SNMPv1作為近期解決方案，未來過渡到OSI管理模型（CMOT）。初衷：采用與OSI管理模型相同的管理信息結構(SMI)和管理信息庫（MIB）結果：SNMP與OSI在對象級無法兼容，因而SNMP最終獨立于CMOT發(fā)展1993年，發(fā)布SNMPv2,擴充了管理信息結構和功能，并增強安全性。1996年，新的SNMPv2又取消安全特性.2002年，發(fā)布SNMPv3，提出新的SNMP體系結構，包括：SNMP實體、SNMP引擎、分發(fā)器、消息處理子系統(tǒng)、安全子系統(tǒng)和訪問控制子系統(tǒng)等；西安電子科技大學信息科學研究所內容SNMP體系結構（組織模型）SNMP管理信息模型（信息模型）SNMP通信模型（通信模型）西安電子科技大學信息科學研究所SNMP體系結構西安電子科技大學信息科學研究所SNMP體系結構SNMP基本模型AgentMIB被管設備或資源Manager網絡管理協(xié)議（SNMP）基于遠程監(jiān)控的管理模型西安電子科技大學信息科學研究所SNMP基本體系結構SNMP組成元素管理站（Manager）代理者（Agent）管理信息庫（MIB）簡單網絡管理協(xié)議（SNMP）西安電子科技大學信息科學研究所SNMP元素管理站（Manager）配置Manager實體和一組管理應用程序，提供網絡的配置、性能、故障、計費和安全等管理功能；提供與操作員接口的功能，將操作員的要求轉換為對網元的實際監(jiān)控的能力；配置管理數據庫(MDB)，存放從代理獲取的管理信息；西安電子科技大學信息科學研究所SNMP元素代理（Agent）配備Agent實體的各類設備(如：路由器、服務器和交換機等)；對來自管理站的信息請求或動作請求進行應答；主動向管理站報告重要的事件（Trap，陷阱），如：ColdStart、WarmStart、LinkDown、LinkUp等；西安電子科技大學信息科學研究所SNMP元素管理信息庫（MIB）被管網絡資源的抽象的、面向對象的描述（被管對象類）被管對象實例的集合網絡管理協(xié)議（SNMP）管理站與代理之間的通信協(xié)議采用UDP傳輸協(xié)議，端口161和162(Trap)西安電子科技大學信息科學研究所SNMP基本體系結構基本體系結構單個管理者、多個代理的集中式結構管理者通過輪詢（polling）代理獲取管理信息逐個查詢設備：監(jiān)測周期長、占用過多的通信資源陷阱引導輪詢（Trap-directedpolling）初始化時輪詢關鍵信息，降低輪詢頻度管理者收到Trap通知后，增加輪詢頻度西安電子科技大學信息科學研究所SNMP基本體系結構非對稱二級結構OSI系統(tǒng)管理模型中，Manager和Agent是對等的且可以相互轉換SNMP管理模型中，Manager和Agent是分別配置的且角色固定配置Manager的實體稱為管理站配置Agent的實體成為代理管理站可訪問和控制代理所在的系統(tǒng)，反之則不行西安電子科技大學信息科學研究所SNMP基本體系結構SNMP被管對象SNMPAgent（161）UDPIP鏈路層和物理層協(xié)議GetRequestGetNextRequestSetRequestGetResponseTrap被管資源InternetSNMP消息MIB視圖管理站SNMP代理SNMP基于無連接的UDP協(xié)議管理應用SNMPManager（162）UDPIP鏈路層和物理層協(xié)議GetRequestGetNextRequestSetRequestGetResponseTrapMDB西安電子科技大學信息科學研究所SNMP體系結構三級體系結構代管（Proxy）體系結構代管對管理站提供標準的SNMP代理功能；代管使用被管設備的專用協(xié)議進行管理；Proxy體系結構：管理站<-SNMP->代管<-專用協(xié)議->被管設備；TMN體系結構：OS<-Q3->QAF<-Qx->非TMN設備Agent管理站被管設備或資源代管專用通信協(xié)議SNMP西安電子科技大學信息科學研究所SNMP體系結構RMON體系結構將原始數據的信息計算分布到RMON中介代理上完成，管理者直接通過RMONMIB獲取處理后的數據。類似TMN中智能NE（OSF/MF/NEF）的層疊架構RMON和代管的比較代管負責管理信息格式的轉換，但不提供管理功能；RMON主要提供管理功能和標準的MIB，即同時充當管理者和代理；SNMP體系結構多Manager體系結構一個SNMP代理向多個管理者提供服務；多個管理者分別負責不同廠商的設備；西安電子科技大學信息科學研究所西安電子科技大學信息科學研究所SNMP管理信息模型西安電子科技大學信息科學研究所管理信息模型被管對象SNMP被管對象是OSI被管對象的簡化版OSI被管對象具有屬性、操作、行為和通報等特性；SNMP被管對象僅具有數據類型和訪問控制特性；SNMP被管對象=變量西安電子科技大學信息科學研究所管理信息結構(SMI)SMI（StructureofManagementInformation，RFC1155

）提供定義和構造MIB的通用框架，以支持不同廠商的互操作（類似GDMO）定義MIB的結構、被管對象及對象值的編碼的標準技術基本思想：簡單性和可擴充性僅支持簡單數據類型：標量和標量的二維矩陣（表）SMI是SNMP被管對象的定義“指南”西安電子科技大學信息科學研究所管理信息模型被管對象類命名SNMP被管對象邏輯上被組織為樹狀的數據庫結構（簡稱MIB樹）MIB樹采用OSI管理信息模型的注冊樹（圖2.14）所有SNMP被管對象標識符均注冊在OSI注冊樹的internet節(jié)點（即InternetMIB）之下西安電子科技大學信息科學研究所InternetMIBRootiso(1)org(3)dod(6)internet(1)….directory(1)mgt(2)experimental(3)private(4)Mib-II(1)system(1)interface(2)snmp(11)sysObjectID(2)enterprise(1)注冊樹/MIB樹SNMP被管對象的前綴是“”(SNMP子樹的根節(jié)點)對象標識符:.西安電子科技大學信息科學研究所管理信息結構SMIInternetMIBdirectory:ISO目錄服務相關應用的保留節(jié)點mgmt:標準的SNMP被管對象(mib-1、mib-2)experimental：尚處于實驗中的被管對象private：專用的被管對象每個廠商在private(4)enterprises(1)注冊一個子節(jié)點Cisco:enterprises.9Nokia:enterprises.94管理信息結構被管對象標識符OBJECTIDENTIFIER:全局唯一標識符Descriptor:易于記憶的名稱（即label）西安電子科技大學信息科學研究所internetOBJECTIDENTIFIER::={1361}mgmt

OBJECTIDENTIFIER::={internet2}DescriptorObjectIdentifier值西安電子科技大學信息科學研究所管理信息結構與OSI信息模型的比較共同點每個節(jié)點對應一個被管對象節(jié)點的所屬關系即被管對象的包含關系。差異點SNMPMIB中只允許訪問葉節(jié)點西安電子科技大學信息科學研究所管理信息結構SNMP的數據類型和結構SNMP被管對象語法只包含：名稱、數據類型、訪問權限和狀態(tài)等的定義數據類型4個ASN.1基本數據類型：INTEGER,OCTETSTRING,OBJECTIDENTIFIER,NULL6種自定義數據類型:NetworkAddress,IpAddress,Counter,Gauge,TimeTicks,Opaque2種結構機制:SEQUENCE,SEQUENCEOF訪問權限read-only,read-write,write-only狀態(tài)mandatory,optional,obsolete西安電子科技大學信息科學研究所管理信息結構被管對象類的宏（RFC1155，模板）OBJECT-TYPEMACRO::=BEGINTYPENOTATION::=“SYNTAX”type(TYPEObjectSyntax)“ACCESS”Access“STATUS”StatusVALUENOTATION::=value(VALUEObjectName)Access::=“read-only”|“read-write”|“write-only”..Status::=“mandatory”|“optional”|“obsolete”END訪問權限和狀態(tài)取值定義定義體被管對象類型定義對象“值”定義雙引號內的字符串應保持原樣出現在定義中type/TYPE–取變量的類型；value/VALUE–取變量的值西安電子科技大學信息科學研究所管理信息結構被管對象類的定義（RFC1212）SYNTAX:被管對象的數據類型ACCESS:被管對象的最低訪問權限STATUS:實現所定義被管對象的要求DescrPart:被管對象類的描述ReferPart:引用其它模塊中定義的對象IndexPart:定義表格DefValPart:被管對象的缺省值西安電子科技大學信息科學研究所管理信息結構sysDescr

OBJECT-TYPE SYNTAX DisplayString(SIZE(0..255)) ACCESS read-only STATUS mandatory DESCRIPTION

“Atextualdescriptionofthe entity…..”::={system1}定義SNMP被管對象類即給出宏中各部分的參數西安電子科技大學信息科學研究所管理信息結構復雜被管對象定義-表格SEQUENCE/SEQUENCEOF+IndexPart1）定義表格對象由相同類型的條目(Entry)序列構成e.g.grokTable類型是SYNTAXSEQUENCEOF

GrokEntry2）定義條目由不同類型的對象的序列(表格的行)構成，并指定條目的索引e.g.grokEntry類型是GrokEntry且每行的索引是grokIndex3）定義條目中的每個對象(表格的列)e.g.grokCount::={grokEntryx

}西安電子科技大學信息科學研究所SNMP管理信息結構表格的包含關系tableentryindexcolumn2columnN…..SYNTAXSEQUENCEOFEntrySYNTAXEntryINDEX{index}::={entry?}::={table1}只有葉子節(jié)點對象可以訪問西安電子科技大學信息科學研究所管理信息結構被管對象（MIB樹）被管對象實例列對象實例西安電子科技大學信息科學研究所BER編碼SNMP管理信息的編碼：基本編碼規(guī)則（BasicEncodingRule）將可讀的ASCII文本數據（整數、小數、IP地址、物理地址等）轉換為適于傳輸的二進制數據BER編碼結構：TLV（Type,Length,Value）Type(8)Length(8*n)Value(8*n)西安電子科技大學信息科學研究所編碼TLVType(8bits):數據類型（場景+Tag）Length(n×8bits):數據長度（8位組數目）Class(8-7)P/C(6)Tag(5-1)應用場景簡單或結構化的數據類型數據類型的Tag值延續(xù)位(8)值(7-1)0表示結束,1表示未結束西安電子科技大學信息科學研究所編碼Value(n×8bits):數據值的編碼INTEGER類型采用補碼編碼，且最高位為符號位；OCTETSTRING類型中的每個8位組對應Value中的8位組OBJECTIDENTIFIER類型中的每個數字按n個8位組編碼(最高位為延續(xù)位)，并按原來的順序串接起來特例：前兩個數字（1.3）按數字43進行編碼IpAddress按8位組串編碼Counter,Gauge,TimeTick按整數編碼西安電子科技大學信息科學研究所MIB-IIMIB-II(RFC1213)針對基于TCP/IP協(xié)議的Internet的管理對象標識符以“.2.1”為前綴(InternetMIB)每個子節(jié)點對應一個組（紅色必須實現）systeminterfaceatip、icmp、tcp、udp、egp、snmpcmotdot3西安電子科技大學信息科學研究所MIB-IIsystem組包含關于系統(tǒng)的總體信息的對象，包括：設備名稱、地點、聯系人、描述等(表4.5)sysObjectID:系統(tǒng)中包含的網絡管理子系統(tǒng)的廠商標識sysUpTime：系統(tǒng)的網絡管理部分本次啟動以來的時間sysService：該節(jié)點提供的服務集合(OSI7層服務)…應用場景：配置管理MIB-IIsystem組對象實例（MG-SoftMIBBrowser,/download.html）西安電子科技大學信息科學研究所標量對象的實例號為“0”西安電子科技大學信息科學研究所MIB-IIinterface組包含與系統(tǒng)中的網絡接口有關的被管對象（一般參數）。ifNumber：網絡接口的數目ifTable：網絡接口屬性表(表4.6)ifIndex：接口索引ifType：接口類型ifPhysAddress：MAC層或物理層的接口地址ifAdminStatus/ifOperStatus：期望的或當前的接口狀態(tài)接口性能：傳輸分組數、錯誤分組數、丟包數…應用場景：故障管理、性能管理MIB-IIinterface組對象實例西安電子科技大學信息科學研究所表格對象的實例號由索引值表示MIBBrowser西安電子科技大學信息科學研究所MIB-IIat(AddressTranslation)包含接口物理地址與網絡地址的映射表atTable:地址映射表atPhysAddress：物理地址atNetAddress：網絡地址應用場景：不鼓勵實現（兼容MIB-I）復習SNMP管理信息模型被管對象（簡化版）數據類型訪問權限InternetMIB{}：被管對象命名directorymgmtexperimentalprivate西安電子科技大學信息科學研究所復習被管對象定義（SMI）OBJECT–TYPE宏（模板說明）類型說明（TYPE-NOTATION）取值說明（VALUE-NOTATION）對象標識符和描述符表格對象定義表對象：條目數據類型的矩陣定義條目對象：條目數據類型定義列對象SNMP管理信息的編碼（BER:基本編碼規(guī)則）TLV格式：Type、Length和Value西安電子科技大學信息科學研究所西安電子科技大學信息科學研究所MIB-IIip組包含IP協(xié)議中的各種參數信息(表4.8)ipAddrTable:分配給該實體的IP地址表ipRouteTable:IP路由表(路由監(jiān)測和控制)ipNetToMediaTable:IP地址和物理地址之間的轉換表（atTable的替代者）性能和故障監(jiān)測的被管對象：接收報文數、錯誤報文數、丟包數…應用場景：

配置管理、故障管理、性能管理IP組對象實例西安電子科技大學信息科學研究所MIB-IIicmp組包含接收和發(fā)送各種ICMP消息的計數器（表4.10）icmpInX：收到的各種ICMP消息統(tǒng)計icmpOutX：發(fā)送的各種ICMP消息統(tǒng)計所有實現TCP/IP協(xié)議的系統(tǒng)都支持ICMP應用場景：

性能管理西安電子科技大學信息科學研究所MIB-IItcp組包含面向連接的傳輸控制協(xié)議有關的被管對象（表4.11）重傳時間TCP連接數上限TCP連接信息表（tcpConTable）TCP傳輸協(xié)議的各種性能統(tǒng)計應用場景：性能管理、配置管理、安全管理西安電子科技大學信息科學研究所MIB-IIudp組包含與無連接傳輸協(xié)議有關的被管對象（表4.12）端點用戶的IP地址和UDP端口表（udpTable）UDP傳輸協(xié)議的性能統(tǒng)計應用場景：性能管理、安全管理西安電子科技大學信息科學研究所MIB-IIegp組包含與EGP協(xié)議（外部網關協(xié)議）的實現和操作有關的被管對象EGP協(xié)議的性能統(tǒng)計相鄰網關信息表（egpNeighTable）應用場景：性能管理、配置管理西安電子科技大學信息科學研究所SNMP通信模型西安電子科技大學信息科學研究所SNMP通信模型簡單網絡管理協(xié)議（SNMP）SNMP服務功能SNMP對象訪問策略SNMP消息和操作SNMPMIB西安電子科技大學信息科學研究所SNMP服務功能與CMIS/CMIP相比SNMP只能交換簡單的被管對象(葉節(jié)點)，表和條目對象不能直接訪問；SNMP包含3種基本消息：get、set和trap管理站:get-request、set-request和get-next-request代理:trap和get-responseSNMP消息采用無連接的UDP協(xié)議傳遞；西安電子科技大學信息科學研究所SNMP安全機制SNMP訪問控制問題認證服務：將對MIB的訪問限定在授權的管理站范圍內。訪問策略：對不同的管理站給予不同的訪問權限。代管服務：在代管系統(tǒng)中實現托管站的認證服務和訪問策略。西安電子科技大學信息科學研究所對象訪問策略SNMP訪問控制方案Community（團體名稱）團體是在代理中定義的本地的概念；每個團體具有內部唯一的名字；每個團體對應一組認證、訪問控制和代管特性；一個代理可與多個管理站建立多個團體；一個管理站可以出現在不同的團體；西安電子科技大學信息科學研究所對象訪問策略Community的應用認證服務（通信的可信性）簡單認證：所有由管理站發(fā)送到代理的消息中均包含一個團體名（相當于口令）訪問策略MIB視圖：每個團體可以訪問不同的MIB子集訪問模式：每個團體可以定義不同的讀或讀寫權限SNMPCommunityProfile與Community相結合構成SNMP訪問策略被管對象類訪問權限與訪問模式的協(xié)調規(guī)則（表4.14）SNMPCommunityProfile西安電子科技大學信息科學研究所對象訪問策略代管服務代管系統(tǒng)負責維護托管設備的訪問策略托管設備的MIB視圖托管設備的訪問模式西安電子科技大學信息科學研究所實例標識被管對象實例標識符OSI系統(tǒng)管理模型：根據包含樹（≠注冊樹）構成相對區(qū)分名的局部或全局形名稱SNMP管理模型：根據MIB樹(=注冊樹)實現對象類型和實例統(tǒng)一標識被管對象類型和被管對象實例可為一對多關系SNMP被管對象分類簡單對象表格對象、條目對象、縱列對象西安電子科技大學信息科學研究所簡單對象所有的簡單對象都只有一個對象實例簡單對象的類型與實例“一一對應”簡單對象實例標識符由其對象標識符加“0”組成sysObjectID.0

(OBJECTIDENTIFIER):enterprises.3.1.1sysUpTime.0

(TimeTicks):0days13h:19m:44s.73th(4798473)sysContact.0

(DisplayString):(zero-length)…西安電子科技大學信息科學研究所表格和條目對象表格、條目是不可訪問的對象，因此沒有實例標識西安電子科技大學信息科學研究所縱列對象縱列對象的定義表中的基本被管對象表中每一行中均有一個縱列對象的實例縱列對象實例的標識利用索引對象來區(qū)分表格中的各行的縱列對象將索引對象值連接在縱列對象標識符之后來標識縱列對象的實例縱列對象的訪問隨機訪問和順序訪問溫故知新西安電子科技大學信息科學研究所縱列對象隨機訪問技術使用索引對象值直接訪問縱列對象ifIndex.1(INTEGER)1ifIndex.2(INTEGER)2ifIndex.3(INTEGER)3ifType.1(INTEGER)softwareLoopback(24)ifType.2(INTEGER)ethernet-csmacd(6)ifType.3(INTEGER)ethernet-csmacd(6)ifMtu.1(INTEGER)1520ifMtu.2(INTEGER)1500ifMtu.3(INTEGER)1500ifSpeed.1(Gauge)10000000ifSpeed.2(Gauge)100000000ifSpeed.3(Gauge)54000000索引對象值如何讀取索引對象值-蛋雞悖論？西安電子科技大學信息科學研究所縱列對象順序訪問技術MIB中的所有對象或實例標識符具有唯一的順序（圖書目錄排序）ifIndexifIndex.1(INTEGER)1ifIndex.2(INTEGER)2ifIndex.3(INTEGER)3ifTypeifType.1(INTEGER)softwareLoopback(24)ifType.2(INTEGER)ethernet-csmacd(6)ifType.3(INTEGER)ethernet-csmacd(6)ifMtuifMtu.1(INTEGER)1520..1.1..1.1.1..1.1.2..1.1.3..1.2..1.2.1..1.2.2..1.2.3..1.3..1.3.1縱列對象順序訪問技術根據MIB中任意一點的對象實例的標識符，可以通過get-next-request對其后繼對象實例進行訪問讀取索引對象值遍歷MIB視圖西安電子科技大學信息科學研究所①get-next-request(ifIndex)->ifIndex.1=value②get-next-request(ifIndex.1)->ifIndex.2=value③get-next-request(ifIndex.2)->ifIndex.3=value…西安電子科技大學信息科學研究所SNMP消息管理站和代理之間以SNMP消息的形式交換管理信息SNMP消息格式版本號Community名字消息類型SNMP消息負荷西安電子科技大學信息科學研究所SNMPv1消息VersionCommunityPDUtypePDUPayloadrequest-id00Variable-Bindings請求消息request-iderror-statuserror-indexVariable-Bindings響應消息陷阱消息enterpriseagent-addrgeneric-trapVariable-Bindingsspecific-traptimestamp西安電子科技大學信息科學研究所SNMP消息SNMP消息的發(fā)送和接收構造PDUASN.1對象源和目的地址、Community認證服務加密或認證的ASN.1對象Version和CommunitySNMP消息BER編碼網絡傳輸語法檢查版本檢查認證服務源和目的地址、CommunityPDU句法檢查根據訪問策略處理PDU西安電子科技大學信息科學研究所SNMP消息變量綁定（Variable-Bindings）將多個同類操作放在一個SNMP消息中，以提高傳輸的效率和減少網絡負擔（批處理）由對象實例標識符和對象值構成，即NVPair（Name/Value對）get請求：name1,name2,…set請求或get響應：（name1，value1）,（name2，value2）,（）…西安電子科技大學信息科學研究所SNMP操作GetRequestGetNextRequestSetRequestTrap西安電子科技大學信息科學研究所SNMP操作GetRequestPDUrequest-id字段（相當于CMIPinvokeid）匹配SNMP應用發(fā)送的請求和響應檢查重復的PDUvariable-bindings字段被讀取的對象實例標識符列表只能是MIB樹中的葉子對象請求接收者必須用包含相同request-id的GetResponsePDU進行響應GetRequest操作是原子操作，返回的錯誤原因包括noSuchName，tooBig和genErr西安電子科技大學信息科學研究所SNMP操作GetNextRequestPDU幾乎與GetRequest請求相同，差別僅在于GetNextRequestPDU中的變量綁定是“前一個”對象實例的標識符注：“前一個”對象不一定是存在的或可訪問的GetNextRequest操作也是原子操作應用場景簡單對象值的提取提取未知對象(例如表格的索引對象)西安電子科技大學信息科學研究所SNMP操作簡單對象值提取GetRequest和GetNextRequest的比較GetRequest(udpInDatagrams.0,udpNoPorts.0,udpInError.0,udpOutDatagrams.0)；GetResponse((udpInDatagrams.0=100),(udpPorts.0=1),(udpInErrors.0=2),(udpOutDataGrams.0=200))；GetNextRequest(udpInDatagrams,udpNoPorts,udpInError,udpOutDatagrams)；GetResponse((udpInDatagrams.0=100),(udpPorts.0=1),(udpInErrors.0=2),(udpOutDataGrams.0=200))假設Agent不支持udpNoPortsGetResponse(noSuchName)GetResponse((udpInDatagrams.0=100),(udpInErrors.0=2),(udpIn