網(wǎng)絡(luò)管理和SNMP協(xié)議

2019-11-04 12:04:26

字體：大中小

供稿：網(wǎng)友

　　網(wǎng)絡(luò)治理概述
　　目前網(wǎng)絡(luò)技術(shù)日新月異，網(wǎng)絡(luò)的復(fù)雜性在不斷增長(zhǎng)，對(duì)網(wǎng)絡(luò)治理的要求也日益增加。
　　傳統(tǒng)的系統(tǒng)治理員關(guān)心的問(wèn)題是諸多問(wèn)題，如安裝配置、備份恢復(fù)、資源共享、系統(tǒng)安全和性能優(yōu)化等等，都是當(dāng)今網(wǎng)絡(luò)治理的重要方面。不僅如此，網(wǎng)絡(luò)的復(fù)雜性使得被治理的對(duì)象在系統(tǒng)中不是集中的，而是分散的。分布式的治理必然要求網(wǎng)絡(luò)治理員在網(wǎng)絡(luò)的協(xié)議層次結(jié)構(gòu)上對(duì)系統(tǒng)治理做出重新的熟悉，即從物理層、鏈路層、網(wǎng)絡(luò)層、傳輸層和應(yīng)用層的角度重新考慮系統(tǒng)治理的涵蓋內(nèi)容。綜合了這諸多方面，加上面向應(yīng)用（或業(yè)務(wù)）的治理能力，是當(dāng)今網(wǎng)絡(luò)治理軟件的主攻方向。
　　有關(guān)網(wǎng)絡(luò)治理的內(nèi)涵和網(wǎng)絡(luò)治理軟件的分類是需要另外撰文敘述的，本文只是簡(jiǎn)單地介紹網(wǎng)絡(luò)治理軟件的基本要素和網(wǎng)絡(luò)治理協(xié)議的例子——SNMP。
　　
　　網(wǎng)絡(luò)治理系統(tǒng)的要素
　　一個(gè)典型的網(wǎng)絡(luò)治理系統(tǒng)包括四個(gè)要素：治理員、治理代理、治理信息數(shù)據(jù)庫(kù)、代理服務(wù)設(shè)備。一般說(shuō)來(lái)，前三個(gè)要素是必需的，第四個(gè)只是可選項(xiàng)。
　　1．治理員（Manager）
　　網(wǎng)絡(luò)治理軟件的重要功能之一，就是協(xié)助網(wǎng)絡(luò)治理員完成治理整個(gè)網(wǎng)絡(luò)的工作。網(wǎng)絡(luò)治理軟件要求治理代理定期收集重要的設(shè)備信息，收集到的信息將用于確定獨(dú)立的網(wǎng)絡(luò)設(shè)備、部分網(wǎng)絡(luò)、或整個(gè)網(wǎng)絡(luò)運(yùn)行的狀態(tài)是否正常。治理員應(yīng)該定期查詢治理代理收集到的有關(guān)主機(jī)運(yùn)轉(zhuǎn)狀態(tài)、配置及性能等的信息。
　　2．治理代理（Agent）
　　網(wǎng)絡(luò)治理代理是駐留在網(wǎng)絡(luò)設(shè)備中的軟件模塊，這里的設(shè)備可以是UNIX工作站、網(wǎng)絡(luò)打印機(jī)，也可以是其它的網(wǎng)絡(luò)設(shè)備。治理代理軟件可以獲得本地設(shè)備的運(yùn)轉(zhuǎn)狀態(tài)、設(shè)備特性、系統(tǒng)配置等相關(guān)信息。治理代理軟件就象是每個(gè)被治理設(shè)備的信息經(jīng)紀(jì)人，它們完成網(wǎng)絡(luò)治理員布置的采集信息的任務(wù)。治理代理軟件所起的作用是，充當(dāng)治理系統(tǒng)與治理代理軟件駐留設(shè)備之間的中介，通過(guò)控制設(shè)備的治理信息數(shù)據(jù)庫(kù)（MIB）中的信息來(lái)治理該設(shè)備。治理代理軟件可以把網(wǎng)絡(luò)治理員發(fā)出的命令按照標(biāo)準(zhǔn)的網(wǎng)絡(luò)格式進(jìn)行轉(zhuǎn)化，收集所需的信息，之后返回正確的響應(yīng)。在某些情況下，治理員也可以通過(guò)設(shè)置某個(gè)MIB對(duì)象來(lái)命令系統(tǒng)進(jìn)行某種操作。
　　路由器、交換器、集線器等許多網(wǎng)絡(luò)設(shè)備的治理代理軟件一般是由原網(wǎng)絡(luò)設(shè)備制造商提供的，它可以作為底層系統(tǒng)的一部分、也可以作為可選的升級(jí)模塊。設(shè)備廠商決定他們的治理代理軟件可以控制哪些MIB對(duì)象，哪些對(duì)象可以反映治理代理軟件開(kāi)發(fā)者感愛(ài)好的問(wèn)題。
　　3．治理信息數(shù)據(jù)庫(kù)（MIB）
　　治理信息數(shù)據(jù)庫(kù)（MIB）定義了一種數(shù)據(jù)對(duì)象，它可以被網(wǎng)絡(luò)治理系統(tǒng)控制。MIB是一個(gè)信息存儲(chǔ)庫(kù)，這里包括了數(shù)千個(gè)數(shù)據(jù)對(duì)象，網(wǎng)絡(luò)治理員可以通過(guò)直接控制這些數(shù)據(jù)對(duì)象去控制、配置或監(jiān)控網(wǎng)絡(luò)設(shè)備。網(wǎng)絡(luò)治理系統(tǒng)可以通過(guò)網(wǎng)絡(luò)治理代理軟件來(lái)控制MIB數(shù)據(jù)對(duì)象。不管到底有多少個(gè)MIB數(shù)據(jù)對(duì)象，治理代理都需要維持它們的一致性，這也是治理代理軟件的任務(wù)之一。現(xiàn)在已經(jīng)定義的有幾種通用的標(biāo)準(zhǔn)治理信息數(shù)據(jù)庫(kù)，這些數(shù)據(jù)庫(kù)中包括了必須在網(wǎng)絡(luò)設(shè)備中支持的非凡對(duì)象，所以這幾種MIB可以支持簡(jiǎn)單網(wǎng)絡(luò)治理協(xié)議（SNMP）。使用最廣泛、最通用的MIB是MIB-II。為了利用不同的網(wǎng)絡(luò)組件和技術(shù)，又開(kāi)發(fā)了一些其它種類的MIB，它們?cè)赗FC（Request for Comments）中有所記錄。
　　4．代理設(shè)備（PRoxy）
　　代理設(shè)備在標(biāo)準(zhǔn)網(wǎng)絡(luò)治理員軟件和不直接支持該標(biāo)準(zhǔn)協(xié)議的系統(tǒng)之間起橋梁作用。利用代理設(shè)備，不需要升級(jí)整個(gè)網(wǎng)絡(luò)就可以實(shí)現(xiàn)從舊協(xié)議到新版本的過(guò)渡。
　　
　　對(duì)于網(wǎng)絡(luò)治理系統(tǒng)來(lái)說(shuō)，重要的是治理員和代理之間所使用的協(xié)議，如SNMP，和它們共同遵循的MIB庫(kù)。下面，我們就分別介紹。
　　
　　SNMP協(xié)議概述
　　SNMP（Simple Network Management Protocol）即簡(jiǎn)單網(wǎng)絡(luò)治理協(xié)議，它為網(wǎng)絡(luò)治理系統(tǒng)提供了底層網(wǎng)絡(luò)治理的框架。SNMP協(xié)議的應(yīng)用范圍非常廣泛，諸多種類的網(wǎng)絡(luò)設(shè)備、軟件和系統(tǒng)中都有所采用，主要是因?yàn)镾NMP協(xié)議有如下幾個(gè)特點(diǎn)：
　　首先，相對(duì)于其它種類的網(wǎng)絡(luò)治理體系或治理協(xié)議而言，SNMP易于實(shí)現(xiàn)。SNMP的治理協(xié)議、MIB及其它相關(guān)的體系框架能夠在各種不同類型的設(shè)備上運(yùn)行，包括低檔的個(gè)人電腦到高檔的大型主機(jī)、服務(wù)器、及路由器、交換器等網(wǎng)絡(luò)設(shè)備。一個(gè)SNMP治理代理組件在運(yùn)行時(shí)不需要很大的內(nèi)存空間，因此也就不需要太強(qiáng)的計(jì)算能力。SNMP協(xié)議一般可以在目標(biāo)系統(tǒng)中快速開(kāi)發(fā)出來(lái)，所以它很輕易在面市的新產(chǎn)品或升級(jí)的老產(chǎn)品中出現(xiàn)。盡管SNMP協(xié)議缺少其它網(wǎng)絡(luò)治理協(xié)議的某些優(yōu)點(diǎn)，但它設(shè)計(jì)簡(jiǎn)單、擴(kuò)展靈活、易于使用，這些特點(diǎn)大大彌補(bǔ)了SNMP協(xié)議應(yīng)用中的其他不足。
　　
　　其次，SNMP協(xié)議是開(kāi)放的免費(fèi)產(chǎn)品。只有經(jīng)過(guò)IETF的標(biāo)準(zhǔn)議程批準(zhǔn)（IETF是IAB下設(shè)的一個(gè)組織），才可以改動(dòng)SNMP協(xié)議；廠商們也可以私下改動(dòng)SNMP協(xié)議，但這樣作的結(jié)果很可能得不償失，因?yàn)樗麄儽仨氄f(shuō)服其他廠商和用戶支持他們對(duì)SNMP協(xié)議的非標(biāo)準(zhǔn)改進(jìn)，而這樣做卻有悖于他們的初衷。
　　
　　第三，SNMP協(xié)議有很多具體的文檔資料（例如RFC，以及其它的一些文章、說(shuō)明書等），網(wǎng)絡(luò)業(yè)界對(duì)這個(gè)協(xié)議也有著較深入的理解，這些都是SNMP協(xié)議近一步發(fā)展和改進(jìn)的基礎(chǔ)。
　　
　　最后，SNMP協(xié)議可用于控制各種設(shè)備。比如說(shuō)電話系統(tǒng)、環(huán)境控制設(shè)備，以及其它可接入網(wǎng)絡(luò)且需要控制的設(shè)備等，這些非傳統(tǒng)裝備都可以使用SNMP協(xié)議。
　　
　　正是由于有了上述這些特點(diǎn)，SNMP協(xié)議已經(jīng)被認(rèn)為是網(wǎng)絡(luò)設(shè)備廠商、應(yīng)用軟件開(kāi)發(fā)者及終端用戶的首選治理協(xié)議。
　　SNMP是一種無(wú)連接協(xié)議，無(wú)連接的意思是它不支持象TELNET或FTP這種專門的連接。通過(guò)使用請(qǐng)求報(bào)文和返回響應(yīng)的方式，SNMP在治理代理和治理員之間傳送信息。這種機(jī)制減輕了治理代理的負(fù)擔(dān)，它不必要非得支持其它協(xié)議及基于連接模式的處理過(guò)程。因此，SNMP協(xié)議提供了一種獨(dú)有的機(jī)制來(lái)處理可靠性和故障檢測(cè)方面的問(wèn)題。
　　另外，網(wǎng)絡(luò)治理系統(tǒng)通常安裝在一個(gè)比較大的網(wǎng)絡(luò)環(huán)境中，其中包括大量的不同種類的網(wǎng)絡(luò)和網(wǎng)絡(luò)設(shè)備。因此，為劃分治理職責(zé)，應(yīng)該把整個(gè)網(wǎng)絡(luò)分成若干個(gè)用戶分區(qū)，可以把滿足以下條件的網(wǎng)絡(luò)設(shè)備歸為同一個(gè)SNMP分區(qū)：它們可以提供用于實(shí)現(xiàn)分區(qū)所需要的安全性方面的分界線。SNMP協(xié)議支持這種基于分區(qū)名（community string）信息的安全模型，可以通過(guò)物理方式把它添加到選定的分區(qū)內(nèi)的每個(gè)網(wǎng)絡(luò)設(shè)備上。目前SNMP協(xié)議中基于分區(qū)的身份驗(yàn)證模型被認(rèn)是為很不牢靠的，它存在一個(gè)嚴(yán)重的安全問(wèn)題。主要原因是SNMP協(xié)議并不提供加密功能，也不保證在SNMP數(shù)據(jù)包交換過(guò)程中不能從網(wǎng)絡(luò)中直接拷貝分區(qū)信息。只需使用一個(gè)數(shù)據(jù)包捕捉工具就可把整個(gè)SNMP數(shù)據(jù)包解密，這樣分區(qū)名就暴露無(wú)遺。因?yàn)檫@個(gè)原因，大多數(shù)站點(diǎn)禁止治理代理設(shè)備的設(shè)置操作。但這樣做有一個(gè)副作用，這樣一來(lái)只能監(jiān)控?cái)?shù)據(jù)對(duì)象的值而不能改動(dòng)它們，限制了SNMP協(xié)議的可用性。
　　
　　SNMP的命令和報(bào)文
　　SNMP協(xié)議定義了數(shù)據(jù)包的格式，及網(wǎng)絡(luò)治理員和治理代理之間的信息交換，它還控制著治理代理的MIB數(shù)據(jù)對(duì)象。因此，可用于處理治理代理定義的各種任務(wù)。SNMP協(xié)議之所以易于使用，這是因?yàn)樗鼘?duì)外提供了三種用于控制MIB對(duì)象的基本操作命令。它們是：Set 、Get 和 Trap ：
　　Set：它是一個(gè)特權(quán)命令，因?yàn)榭梢酝ㄟ^(guò)它來(lái)改動(dòng)設(shè)備的配置或控制設(shè)備的運(yùn)轉(zhuǎn)狀態(tài)。
　　
　　Get：它是SNMP協(xié)議中使用率最高的一個(gè)命令，因?yàn)樵撁钍菑木W(wǎng)絡(luò)設(shè)備中獲得治理信息的基本方式。
　　
　　Trap：它的功能就是在網(wǎng)絡(luò)治理系統(tǒng)沒(méi)有明確要求的前提下，由治理代理通知網(wǎng)絡(luò)治理系統(tǒng)有一些非凡的情況或問(wèn)題發(fā)生了。
　　
　　SNMP協(xié)議也定義了執(zhí)行以上三個(gè)命令時(shí)的報(bào)文流，但它沒(méi)有定義其它的設(shè)備治理代理命令，可應(yīng)用于MIB數(shù)據(jù)對(duì)象的操作只有Set和Get命令，這兩個(gè)命令的目標(biāo)是數(shù)據(jù)對(duì)象的值。比如說(shuō)，SNMP協(xié)議中沒(méi)有定義reboot（重啟）命令；然而，治理代理軟件把MIB數(shù)據(jù)對(duì)象和設(shè)備的內(nèi)部命令聯(lián)系起來(lái)，這樣就可以實(shí)現(xiàn)某些非凡的命令操作。假如現(xiàn)在想要重啟某個(gè)設(shè)備，治理系統(tǒng)就把某個(gè)與重啟有關(guān)的MIB數(shù)據(jù)對(duì)象的值設(shè)為1（我們的假定）。這樣就會(huì)觸發(fā)治理代理執(zhí)行重新啟動(dòng)設(shè)備的命令，同時(shí)還把這個(gè)MIB數(shù)據(jù)對(duì)象重新設(shè)置為原來(lái)的狀態(tài)。
　　一條SNMP報(bào)文由三個(gè)部分組成：版本域（version field），分區(qū)域（community field）和SNMP協(xié)議數(shù)據(jù)單元域（SNMP protocol data unit field），數(shù)據(jù)包的長(zhǎng)度不是固定的。
　　版本域：這個(gè)域用于說(shuō)明現(xiàn)在使用的是哪個(gè)版本的SNMP協(xié)議。目前，version 1是使用最廣泛的SNMP協(xié)議。
　　
　　分區(qū)域：分區(qū)（community）是基本的安全機(jī)制，用于實(shí)現(xiàn)SNMP網(wǎng)絡(luò)治理員訪問(wèn)SNMP治理代理時(shí)的身份驗(yàn)證。分區(qū)名（Community name）是治理代理的口令，治理員被答應(yīng)訪問(wèn)數(shù)據(jù)對(duì)象的前提就是網(wǎng)絡(luò)治理員知道網(wǎng)絡(luò)代理的口令。假如把配置治理代理成可以執(zhí)行Trap命令，當(dāng)網(wǎng)絡(luò)治理員用一個(gè)錯(cuò)誤的分區(qū)名查詢治理代理時(shí)，系統(tǒng)就發(fā)送一個(gè)autenticationFailure trap報(bào)文。
　　
　　協(xié)議數(shù)據(jù)單元域：SNMPv1的PDU有五種類型，有些是報(bào)文請(qǐng)求（Request），有些則是響應(yīng)（Response）。它們包括：GetRequest、GetNextRequest、SetRequest、GetResponse、Trap 。SNMPv2又增加了兩種PDU：GetBulkRequest和InformRequest 。
　　
　　
　　SNMP治理員使用GetRequest從擁有SNMP代理的網(wǎng)絡(luò)設(shè)備中檢索信息，SNMP代理以GetResponse消息響應(yīng)GetRequest。可以交換的信息很多，如系統(tǒng)的名字，系統(tǒng)自啟動(dòng)后正常運(yùn)行的時(shí)間，系統(tǒng)中的網(wǎng)絡(luò)接口數(shù)等等。GetRequest和GetNextRequest結(jié)合起來(lái)使用可以獲得一個(gè)表中的對(duì)象。GetRequest取回一個(gè)特定對(duì)象；而使用GetNextRequest則是請(qǐng)求表中的下一個(gè)對(duì)象。使用SetRequest可以對(duì)一個(gè)設(shè)備中的參數(shù)進(jìn)行遠(yuǎn)程配置。Set-Request可以設(shè)置設(shè)備的名字，關(guān)掉一個(gè)端口或清除一個(gè)地址解析表中的項(xiàng)。Trap即SNMP陷阱，是SNMP代理發(fā)送給治理站的非請(qǐng)求消息。這些消息告知治理站本設(shè)備發(fā)生了一個(gè)特定事件，如端口失敗，掉電重起等，治理站可相應(yīng)的作出處理。
　　
　　MIB概述
　　治理信息數(shù)據(jù)庫(kù)（MIB）是一個(gè)信息存儲(chǔ)庫(kù)，它包含了治理代理中的有關(guān)配置和性能的數(shù)據(jù)，有一個(gè)組織體系和公共結(jié)構(gòu)，其中包含分屬不同組的許多個(gè)數(shù)據(jù)對(duì)象。如下圖所示。
　　

　　MIB數(shù)據(jù)對(duì)象以一種樹(shù)狀分層結(jié)構(gòu)進(jìn)行組織，這個(gè)樹(shù)狀結(jié)構(gòu)中的每個(gè)分枝都有一個(gè)專用的名字和一個(gè)數(shù)字形式的標(biāo)識(shí)符。上圖表示的是標(biāo)準(zhǔn)MIB的組織體系，列出了從MIB結(jié)構(gòu)樹(shù)的樹(shù)根到各層樹(shù)枝的全部?jī)?nèi)容。結(jié)構(gòu)樹(shù)的分枝實(shí)際表示的是數(shù)據(jù)對(duì)象的邏輯分組。而樹(shù)葉，有時(shí)候也叫節(jié)點(diǎn)（node），代表了各個(gè)數(shù)據(jù)對(duì)象。在結(jié)構(gòu)樹(shù)中使用子樹(shù)表示增加的中間分枝和增加的樹(shù)葉。
　　使用這個(gè)樹(shù)狀分層結(jié)構(gòu)，MIB瀏覽器能夠以一種方便而且簡(jiǎn)潔的方式訪問(wèn)整個(gè)MIB數(shù)據(jù)庫(kù)。MIB瀏覽器是這樣一種工具，它可以遍歷整棵MIB結(jié)構(gòu)樹(shù)，通常以圖形顯示的形式來(lái)表示各個(gè)分枝和樹(shù)葉對(duì)象。可以通過(guò)其數(shù)字標(biāo)識(shí)符來(lái)查找MIB中的數(shù)據(jù)對(duì)象，這個(gè)數(shù)字標(biāo)識(shí)符號(hào)從結(jié)構(gòu)樹(shù)的頂部（或根部）開(kāi)始，直到各個(gè)葉子節(jié)點(diǎn)（即數(shù)據(jù)對(duì)象）為止。這種訪問(wèn)方式和文件系統(tǒng)的組織方式一致。兩者的主要區(qū)別在于文件系統(tǒng)中的路徑名可以以絕對(duì)也可以以相對(duì)方式表示，而MIB數(shù)據(jù)對(duì)象只能以絕對(duì)方式表示，不能使用相對(duì)方式。例如，在圖中，iso（1）位于結(jié)構(gòu)樹(shù)的最上方，而sysDescr（1）處在葉子節(jié)點(diǎn)的位置。現(xiàn)在看不到樹(shù)根root（.），其余所有的分枝都是從這里擴(kuò)展而來(lái)的。通常用帶點(diǎn)的符號(hào)來(lái)表示數(shù)據(jù)對(duì)象的標(biāo)識(shí)符。要訪問(wèn)數(shù)據(jù)對(duì)象sysDescr（1），其完整的標(biāo)識(shí)符應(yīng)該是這樣的：iso.org.dod.internet.mgmt.mib-2.system.sysDescr（這個(gè)標(biāo)識(shí)符應(yīng)該從左向右讀）。數(shù)據(jù)對(duì)象也可以以另一種更短的格式表示，即用數(shù)字形式標(biāo)識(shí)符代替分枝名形式的表示形式。這樣，上面的那種形式的標(biāo)識(shí)符iso.org.dod.internet.mgmt.mib-2.system.sysDescr 還可以用 1.3.6.1.2.1.1.1 來(lái)表示。這兩種表達(dá)格式的作用是一致的，都表示同一個(gè)MIB數(shù)據(jù)對(duì)象。盡管數(shù)字形式的標(biāo)識(shí)符看起來(lái)更簡(jiǎn)潔，選擇何種表達(dá)格式仍然是個(gè)人偏好問(wèn)題。幸運(yùn)的是，許多MIB瀏覽器可以以兩者中任何一種格式來(lái)表示數(shù)據(jù)對(duì)象，這使得兩種格式間的相互轉(zhuǎn)化非常輕易。
　　
　　MIB的訪問(wèn)方式
　　在定義MIB數(shù)據(jù)對(duì)象時(shí)，訪問(wèn)控制信息確定了可作用于該數(shù)據(jù)對(duì)象的操作種類。SNMP協(xié)議有如下的MIB數(shù)據(jù)對(duì)象訪問(wèn)方式：
　　只讀方式（Read-only）
　　
　　可讀可寫（Read-write）
　　
　　禁止訪問(wèn)（Not-accessible）
　　
　　網(wǎng)絡(luò)治理系統(tǒng)無(wú)法改動(dòng)只讀方式的MIB數(shù)據(jù)對(duì)象，但可以通過(guò)Get或Trap命令讀取數(shù)據(jù)對(duì)象的值。在一件產(chǎn)品的使用期內(nèi)，某些MIB的信息從不會(huì)改變。例如，MIB數(shù)據(jù)對(duì)象sysDescr，它代表System Description，包含了治理代理軟件所需要的廠商信息。確定某些數(shù)據(jù)對(duì)象為只讀還有另一個(gè)原因，即確保有關(guān)性能的信息及其它統(tǒng)計(jì)數(shù)據(jù)正確，不至于因誤操作而改動(dòng)它們。
　　
　　SNMP作為數(shù)據(jù)傳輸方法，和數(shù)據(jù)的組織形式MIB結(jié)合，為網(wǎng)絡(luò)治理系統(tǒng)提供了底層的保障。一個(gè)真正的網(wǎng)絡(luò)治理系統(tǒng)可以建立在SNMP之上，也可以建立在其他的網(wǎng)絡(luò)治理協(xié)議上，如CMIP等等，不過(guò)那也是需要另外撰文敘述的了。

上一篇：網(wǎng)絡(luò)管理協(xié)議基礎(chǔ)

下一篇：QoS的協(xié)議與結(jié)構(gòu)