姓 名 专 业 班 级 09网络3班 论 文 名 称 研究snmp在网络管理中的应用 指 导 教 师 目录一 选题背景21.1 课题概述21.2 技术背景2二 网络管理与SNMP协议 32.1 网络管理 32.2网络管理分类及功能 32.3 SNMP协议3三 SNMP网络管理的安全性探讨83.1 引言83.2 SNMP存在的隐患83.3 SNMPv2配合IPSec安全模型83.4 SNMPv3安全模型9四 富满电子有限公司网络管理项目分析114.1 模拟SNMP获取网络设备信息 114.2 富满电子有限公司网络结构与功能说明14五 总结与展望21六 参考文献21一 选题背景1.1 课题概述随着网络技术的发展，人们步入了一个全新的信息时代。面对日益复杂的网络结构与逐渐增加的网络流量，网络管理者需要实时了解各个网段的流量情况、网络带宽的使用率、硬件故障与软件失误的预警等网络运行信息，要做到这点，最有效的办法就是在原有的网络硬件基础上构建一个网络管理系统以实现对全网的监控。而广为人知的SNMP协议就符合这样的要求，基于snmp协议的管理系统 适用中等规模的校园网和企业网，网络成本低，管理效率明显，为目前一些企业在网络建设过程中“重硬件、轻管理、轻软件”所带来的一系列网络管理问题提供了一个很好的解决途径。越来越多的网络设备都提供了对SNMP的支持，利用SNMP协议，可以了解网络的运行情况，设置设备参数，收集相关数据，了解网络的使用效率 。 虽然snmp用处大优点多，但是根据SANS协会的报告，对于接入Internet的主机，SNMP是威胁安全的十大首要因素之一；同时，SNMP还是Internet主机上最常见的服务之一。特别地，SNMP服务通常在位于网络边缘的设备（防火墙保护圈之外的设备）上运行，进一步加剧了SNMP带来的风险，这一切听起来出人意料，但似乎又是情理之中，所以需要我们加强对snmp在网络管理上应用的研究。1.2技术背景 Snmp是管理进程（nms）和代理进程（agent）之间的通信协议，它规定了在网络环境中对设备进行监视和标准化管理框架、通信的公共语言、相应的安全和访问机制。网络管理员使用snmp功能可以查询设备信息、修改设备的参数值、监控设备状态、自动发现网络故障、生成报告等。Snmp具有一下技术优点：1 基于tcp/ip 互联网的标准协议，传输层协议一般采用udp2 自动化网络管理。网络管理员可以利用snmp平台在网络上的节点检索信息、修改信息、发现故障、完成故障诊断、进行容量规划和生成报告。3 屏蔽不同设备的物理差异，实现不同厂商产品的自动化管理，snmp只提供最基本的功能集，使得管理任务被管设备的物理特性和实际网络类型相对独立，从而实现对不同厂商设备的管理。4 简单的请求一应答方式和主动通告方式相结合，并有超时和重传机制。5 报文种类少，报文格式简单，方便解析，易于实现。6 Snmpv3版本提供于认证和加密安全机制，以及基于用户和视图的访问控制功能，曾强了安全性。 二 网络管理与SNMP协议2.1网络管理 网络管理，是指网络管理员通过网络管理程序对网络上的资源进行集中化管理的操作，包括配置管理、性能和记账管理、问题管理、操作管理和变化管理等，一台设备所支持的管理程序反映了该设备的可管理性及可操作性。而交换机的管理功能是指交换机如何控制用户访问交换机，以及用户对交换机的可视程度如何。通常，交换机厂商都提供管理软件或满足第三方管理软件远程管理交换机。一般的交换机满足SNMP MIB I/MIB II统计管理功能，而复杂的一些交换机会增加通过增加内置RMON组（mini-RMON）来支持RMON主动监视功能。有的交换机还允许外接RMON 探监视可选端口的 网络状况，常见的网络管理方式有一下几种： （1） snmp管理技术（2） RMON管理技术（3） 基于web管理技术2.2 网络管理分类及功能 （1）网络管理分类 网络管理技术是伴随着计算机、网络和通信技术的发展而发展的，二者相辅相成，从网络管理范畴来分类，可分为一下三种：a 对网络的管理。即针对交换机、路由器等主干网络进行管理。b 对接入设备的管理，即对内部pc、服务器、交换机等进行管理。c 对行为的管理，即对用户的使用进行管理；对资产的管理，即统计IT软硬件的信息等。（2）网络管理的功能 根据国际化标准组织定义网络管理有五大功能：故障管理、配置管理、性能管理、安全管理、计费管理。对网络管理软件产品功能的不同，又可细分为五类，即网络故障管理软件、网络配置管理软件、网络性能管理软件、网络服务/安全管理软件、网络计费管理软件。2.3 SNMP协议 （1）概念 网络管理协议（SNMP），由一组网络管理协议的标准组成，包含一个应用层协议、数据库模型、和一组资料物件。该协议能够支持网络管理系统，用以监测连接到网络上的设备是否有任何引起管理上关注的情况。该协议是互联网工程工作小组定义的Internet协议簇的一部分。 （2）SNMP工作过程 在典型的snmp用法中，有许多系统被管理，而且是有一或多个系统在管理他们。每一个被管理的系统叫做代理者（agent）的软件元件，且透过snmp对管理系统报告资讯。 基本上，snmp代理者以变量呈现管理资料。管理系统透过GET,GETNEXT和GETBULK协定指令取回资讯，或是代理者在没有被询问 下，使用TRAP或INFORM传送资料。管理系统也可以传送配置更新或控制的请求，透过SET协定指令达到主动管理系统的目的。配置和控制 指令只有当网络基本结构需要改变的时候使用，而监控指令则通常是常态 的工作。可透过snmp存取的变量以阶层的方式结合。这些分层和其它数据（例如变量的类型和描述）以管理信息库（MIBs）的方式描述。（4） SNMP协议的发展第一版：SNMPv1是SNMP协议的最初版本，提供最小限度的网络管理功能。SNMPv1的SMI和MIB都比较简单，且存在较多安全缺陷。SNMPv1采用团体名认证。团体名的作用类似于密码，用来限制NMS对Agent的访问。如果SNMP报文携带的团体名没有得到NMS/Agent的认可，该报文将被丢弃。第二版：SNMPv2也采用团体名认证。在兼容SNMPv1的同时又扩充了SNMPv1的功能：它提供了更多的操作类型（GETBULK操作等），支持更多的数据类型（Counter32等），提供了更丰富的错误代码，能够更细致地区分错误。第三版：SNMPv3主要在安全方面进行了增强，它采用了USM和VCAM技术。USM提供了认证和加密功能，VACM确定用户是否访问特定的MIB对象以及访问方式。（5） SNMP报文a. SNMPv1报文SNMP消息主要由version、community、snmp pdu几部分构成 bSNMPv2报文 比较SNMPv1而言，SNMPv2新增了Getbulk操作报文，Getbulk操作所对应的基本操作类型是Getnext操作，通过对non repeaters 和Max repetitions 参数的设定，高效率地从Agent获取大量管理对象数据，SNMPv2修改了trap报文格式，SNMPv2 Trap pud采用SNMPv1Get/Getnext/Set PDU的格式，并将sysuptime和snmptrapOID作为variable bindings中的变量来构造报文。 cSNMPv3报文 其中，整个SNMPv3消息可以使用认证机制，并对EnineID、ContextName、PDU消息体部分进行加密，Requestid、maxsize、flags、securityModel、securityParameters构成SNMPv3消息头。 （6） Snmpv1和snmpv2实现机制Snmpv1/snmpv2实现机制基本一致，snmpv2丰富了错误码，新增了Getbulk操作，下面在以SNMPv1版本环境执行Get、Getnext和set操作为例来描述SNMPv1/SNMPv2的实现机制。a get操作NMS想要获取被管理设备MIB节点sysname的值（sysname对象在允许访问视图内），使用public为可读团体名，过程如下：NMS给Agent发送get请求，请求报文主要字段被设置为：version字段的值为1，community字段的值为public，pdu里variable bingdings中name1字段的值为sysname 0.Agent给NMS发送get响应，说明是否获取成功，如果成功，则response pdu里variable bingdings中value1字段的值为设备的名字（比如Agent010-H3C），如果获取失败，则在Error status字段填上出错的原因，在error index填上出错的位置信息。 b getnext操作NMS想要获取被管理设备MIB节点sysname的下一个节点syslocation的值（sysname和syslocation对象都在允许访问视图内），使用public为可读团体名，过程如下：NMS给Agent发送GetNext请求，请求报文主要字段将被设置为：version字段的值为1，community字段的值为public，pdu里variable bindings中name1字段的值为sysname 0。Agent给NMS发送Getnext响应，如果成功，则response PDU里varible bingdings中name1字段值为sysname.0的下一个节点syslocation.0，Value字段的值为（比如Beijing China）；如果获取失败，则在error status字段填上出错的原因，在error index填上出错的位置信息。c set操作NMS想要被管理设备MIB节点sysname的值为device01，使用private为可写