2011年自考《計(jì)算機(jī)網(wǎng)絡(luò)管理》知識(shí)重點(diǎn)(3)

　　第三章 簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議 SNMPv1$lesson$

　　考試要求轉(zhuǎn)自環(huán) 球 網(wǎng) 校edu24ol.com

　　1.SNMPv1支持的操作，要求達(dá)到識(shí)記層次

　　SNMPv1 PDU的格式

　　SNMPv1報(bào)文的應(yīng)答序列

　　報(bào)文的發(fā)送和接收過程

　　2.SNMPv1的安全機(jī)制，要求達(dá)到識(shí)記層次

　　團(tuán)體的概念

　　SNMPv1的簡(jiǎn)單認(rèn)證過程

　　SNMPv1可采用的訪問策略

　　3.SNMPv1的操作，要求達(dá)到綜合應(yīng)用層次

　　檢索簡(jiǎn)單對(duì)象的方法

　　檢索未知對(duì)象的方法

　　檢索表對(duì)象的方法

　　表的更新和刪除操作

　　陷入操作的原理和陷入的種類

　　4.SNMP功能組，要求達(dá)到領(lǐng)會(huì)層次

　　SNMPv1功能組對(duì)象的含義和作用

　　5.實(shí)現(xiàn)問題，要求達(dá)到領(lǐng)會(huì)層次

　　對(duì)網(wǎng)絡(luò)管理站的功能要求

　　輪詢頻率對(duì)網(wǎng)絡(luò)管理性能的影響

　　SNMPv1的局限性

　　知識(shí)重點(diǎn)

　　(一)SNMPv1 協(xié)議數(shù)據(jù)單元

　　1.SNMPv1支持的操作

　　SNMP僅支持對(duì)管理對(duì)象值的檢索和修改等簡(jiǎn)單操作。具體地說， SNMP實(shí)體可以對(duì)MIB-2中的對(duì)象支持執(zhí)行下列操作：

　　。 Get：管理站用于檢索管理信息庫中標(biāo)量對(duì)象的值。

　　。 Set：管理站用于設(shè)置管理信息庫中標(biāo)量對(duì)象的值。

　　。 Trap：代理用于向管理站報(bào)告管理對(duì)象的狀態(tài)變化。

　　2.SNMP PDU格式

　　RFC1157給出了SNMPv1協(xié)議的定義，這個(gè)定義是用ASN.1表示的，在SNMP管理中，管理站和代理之間交換的管理信息構(gòu)成了SNMP報(bào)文。報(bào)文由3部分組成，即版本號(hào)、團(tuán)體名和協(xié)議數(shù)據(jù)單元(PDU)。報(bào)文頭中的版本號(hào)是指SNMP的版本，RFC1157為第一版。團(tuán)體名用于身份認(rèn)證，我們將在下一節(jié)介紹SNMP的安全機(jī)制時(shí)談到團(tuán)體名的作用。SNMP共有5種管理操作，但只有4種PDU格式。管理站發(fā)出的3種請(qǐng)求報(bào)文GetRequest、 GetNextRequest和SetRequest采用的格式是一樣的，代理的應(yīng)答報(bào)文格式只有一種：GetResponsePDU，從而減少了PDU的種類。

　　3.報(bào)文應(yīng)答序列

　　SNMP報(bào)文在管理站和代理之間傳送，包含GetRequest、GetNextRequest和SetRequest的報(bào)文由管理站發(fā)出，代理以GetRequest響應(yīng)。Trap報(bào)文由代理發(fā)給管理站，不需要應(yīng)答。一般來說，管理站可連續(xù)發(fā)出多個(gè)請(qǐng)求報(bào)文，然后等待代理返回的應(yīng)答報(bào)文。如果在規(guī)定的時(shí)間內(nèi)收到應(yīng)答，則按照請(qǐng)求標(biāo)識(shí)進(jìn)行配對(duì)，亦即應(yīng)答報(bào)文必須與請(qǐng)求報(bào)文有相同的請(qǐng)求標(biāo)識(shí)。

　　4.報(bào)文發(fā)送和接收

　　當(dāng)一個(gè) SNMP協(xié)議實(shí)體(PE)發(fā)送報(bào)文執(zhí)行下面的過程：首先是按照ASN.1的格式構(gòu)造PDU，交給認(rèn)證進(jìn)程。認(rèn)證進(jìn)程檢查源和目標(biāo)之間是否可以通信，如果通過這個(gè)檢查則把有關(guān)信息(版本號(hào)、團(tuán)體名、PDU)組裝成報(bào)文。最后經(jīng)過BER編碼，交傳輸實(shí)體發(fā)送出去。

　　當(dāng)一個(gè) SNMP協(xié)議實(shí)體(PE)接收到報(bào)文時(shí)執(zhí)行的過程：首先是按照BER編碼恢復(fù)ASN.1報(bào)文，然后對(duì)報(bào)文進(jìn)行語法分析、驗(yàn)證版本號(hào)和認(rèn)證信息等。如果通過分析和驗(yàn)證，則分離出協(xié)議數(shù)據(jù)單元，并進(jìn)行語法分析，必要、時(shí)經(jīng)過適當(dāng)處理后返回應(yīng)答報(bào)文。在認(rèn)證檢驗(yàn)失敗時(shí)可以生成一個(gè)陷入報(bào)文，向發(fā)送站報(bào)告通信異常情況。無論何種檢驗(yàn)失敗，都丟棄報(bào)文。

　　SNMP操作訪問對(duì)象實(shí)例，而且只能訪問對(duì)象標(biāo)識(shí)符樹的葉子結(jié)點(diǎn)。然而為了減少通信負(fù)載，我們希望一次檢索多個(gè)管理對(duì)象，把多個(gè)變量的值裝入一個(gè)PDU.這時(shí)要用到變量綁定表。RFC1157建議在Get和GetNext協(xié)議數(shù)據(jù)單元中發(fā)送實(shí)體把變量置為ASN.1的NULL值，接收實(shí)體處理時(shí)忽略它，在返回的應(yīng)答協(xié)議數(shù)據(jù)單元中設(shè)置為變量的實(shí)際值。

　　(二)SNMPv1的安全機(jī)制

　　1.團(tuán)體的概念

　　SNMP網(wǎng)絡(luò)管理是一種分布式應(yīng)用。這種應(yīng)用的特點(diǎn)是管理站和被管理站之間的關(guān)系可以是一對(duì)多關(guān)系，即一個(gè)管理站可以管理多個(gè)代理，從而管理多個(gè)被管理設(shè)備。另一方面，管理站和代理之間還可能存在多對(duì)一的關(guān)系。代理控制自己的管理信息庫，也控制多哥管理站對(duì)管理信息庫的訪問，例如，只有授權(quán)的管理站才允許訪問管理信息庫，或者限制不同的管理站可以訪問管理信息庫的不同部分。另外，委托代理也可能按照預(yù)定的訪問策略控制對(duì)其代理的設(shè)備的訪問。RFC1157為此提供的認(rèn)證和控制機(jī)制就是這種最初等最基本的團(tuán)體名驗(yàn)證功能。

　　2.簡(jiǎn)單的認(rèn)證服務(wù)

　　一般來說，認(rèn)證服務(wù)的目的是保證通信是經(jīng)過授權(quán)的。具體到 SNMP環(huán)境中，認(rèn)證服務(wù)主要是保證接收的報(bào)文來自它所聲稱的源。RFC1157提供的只是最簡(jiǎn)單的認(rèn)證方案：從管理站發(fā)送到代理的報(bào)文(Get，Set等)都有一個(gè)團(tuán)體名，就像是口令字一樣。通過團(tuán)體名驗(yàn)證的報(bào)文才是最有效的。

　　3.訪問策略

　　前面說過，代理系統(tǒng)可以通過設(shè)置團(tuán)體選擇訪問 MIB的管理站，或者通過定義管理對(duì)象的訪問模式限制管理站對(duì)MIB的訪問。這樣，所謂的訪問控制就有兩方面的含義：

　　。 MIB視閾：MIB中對(duì)象一個(gè)子集，對(duì)不同的團(tuán)體可以定義不同的視閾(View)。屬于同一視閾的對(duì)象不必屬于同一子樹。

　　。訪問模式：集合 {read-only，read-write}的一個(gè)元素。對(duì)于一個(gè)團(tuán)體可以定義一種訪問模式。

　　4.委托代理服務(wù)

　　團(tuán)體形象的概念同樣適用于委托代理服務(wù)。通常，委托代理是代表不支持 SNMP的設(shè)備工作的。但是在有些情況下，被代理的設(shè)備也可能支持TCP/IP和SNMP，而委托代理的作用是減少被代理的設(shè)備與管理站之間的交互過程。對(duì)于被代理的設(shè)備，委托代理定義并且維護(hù)一種SNMP訪問策略。委托代理知道那些MIB對(duì)象代表被管理的設(shè)備，也知道這些設(shè)備的訪問模式。

　　(三)SNMPv1操作

　　1.檢索簡(jiǎn)單對(duì)象

　　檢索簡(jiǎn)單的標(biāo)量對(duì)象值可以用 Get操作，如果變量綁定表中包含多個(gè)標(biāo)量，一次還可以檢索多個(gè)標(biāo)量對(duì)象的值。接收GetRequest的SNMP實(shí)體以請(qǐng)求標(biāo)識(shí)相同的GetRequest響應(yīng)。特別要注意的識(shí)GetRequest操作的原子性：如果所有請(qǐng)求的對(duì)象值可以得到，則給予應(yīng)答;反之，只要有一個(gè)對(duì)象的值得不到，則可能返回下列錯(cuò)誤條件之一：

　　。變量綁定表中得一個(gè)對(duì)象無法與 MIB中的任何對(duì)象標(biāo)識(shí)符匹配，或者要檢索得對(duì)象是一個(gè)數(shù)據(jù)塊(子樹或表)，沒有對(duì)象實(shí)例生成。在這些情況下，響應(yīng)實(shí)體返回得GetRequestPDU中錯(cuò)誤狀態(tài)字段置為noSuch Name，錯(cuò)誤索引設(shè)置為一個(gè)數(shù)，指明有問題變量。變量綁定表中不返回任何值。

　　。響應(yīng)實(shí)體可以提供所有要檢索的值，但是變量太多，一個(gè)響應(yīng) PDU裝不下，這往往是由下曾協(xié)議數(shù)據(jù)單元大小限制的。這時(shí)響應(yīng)實(shí)體返回一個(gè)應(yīng)答PDU，錯(cuò)誤狀態(tài)字段置為tooBig。

　　。由于其他原因(例如代理不支持)響應(yīng)實(shí)體至少不能提供一個(gè)對(duì)象的值，則返回的 PDU中錯(cuò)誤字段置為genError，錯(cuò)誤索引置一個(gè)數(shù)，指明有問題的變量。變量綁定表中不返回任何值。

　　2.檢索未知對(duì)象

　　Get Next命令檢索變量名指示下一個(gè)對(duì)象實(shí)例，但是并不要求變量名是對(duì)象標(biāo)識(shí)符，或者是實(shí)例標(biāo)識(shí)符。

　　3.檢索表對(duì)象

　　GetNext可用于有效地搜索表對(duì)象。

　　4.表的更新和刪除

　　Set 命令用于設(shè)置或更新變量的值。它的 PDU 格式與 Get 是相同的，但是在變量綁定表中必須包含要設(shè)置的變量名和變量值。對(duì)于 Set 命令的應(yīng)答也是 GetResponse ，同樣是原子性的。如果所有的變量都可以設(shè)置，則更新所有變量的值，并在應(yīng)答 GetResponse 中確認(rèn)變量的新值;如果至少有一個(gè)變量的值不能設(shè)置，則所有變量的值都保持不變，并在錯(cuò)誤狀態(tài)中指明出錯(cuò)的原因。 Set 出錯(cuò)的原因與 Get 是類似的( tooBig，noSuchName 和 genError )，然后若有一個(gè)變量的名字和要設(shè)置的值在類型、長(zhǎng)度或?qū)嶋H方面不匹配，則返回錯(cuò)誤條件 badValue .

　　5. 陷入操作

　　陷入是由代理向管理站發(fā)出的異步事件報(bào)告，不需要應(yīng)答報(bào)文。 SNMP規(guī)定了6種陷入條件：

　　。 coldStart 發(fā)送實(shí)體重新初始化，代理的配置已改變，能常是由系統(tǒng)失效引起的。

　　。 warmStart 發(fā)送實(shí)體重新初始化，但代理的配置沒有改變，這是正常的重啟動(dòng)過程。

　　。 linkDown 鏈路失效通知，變量綁定表的第一項(xiàng)指明對(duì)應(yīng)接口表的索引變量及其變值。

　　。 linkUp 鏈路啟動(dòng)通知，變量綁定表的第一項(xiàng)指明對(duì)應(yīng)接口表的索引變量及其值。

　　。 authenticationFailure 發(fā)送實(shí)體收到一個(gè)沒有通過認(rèn)證的報(bào)文。

　　。 egpNeighborLoss 相鄰的外部路由器失效或關(guān)機(jī)。

　　。 enterpriseSpecific 由設(shè)備制造商定義的陷入條件，在特殊陷入(specifc-trap)字段指明具體的陷入類型。

　　(四)SNMP功能組

　　SNMP組包含的西關(guān)系到SNMP協(xié)議的實(shí)現(xiàn)和操作。這一組共有30個(gè)對(duì)象，在只支持SNMP站管理功能或只支持SNMP代理功能的實(shí)現(xiàn)中，有些對(duì)象是沒有值的。除了最后一個(gè)對(duì)象，這一組的其他對(duì)象都是只讀的計(jì)數(shù)器。對(duì)象snmpEnableAutheuTrap可以由管理站設(shè)置，它指示是否允許代理產(chǎn)生“認(rèn)證失效”陷入，這種設(shè)置優(yōu)先于代理自己的配置。這樣就提供了一種可以排除所有認(rèn)證失效陷入的手段。

　　(五)實(shí)現(xiàn)問題

　　1.網(wǎng)絡(luò)管理站的功能

　　。支持?jǐn)U展的 MIB：強(qiáng)有力的SNMP對(duì)管理信息庫的支持必須是開放的。特別對(duì)于管理站來說，應(yīng)該能夠裝入其他制造商定義的擴(kuò)展MIB.

　　。圖形用戶接口：好的用戶接口可以使網(wǎng)絡(luò)管理工作更容易更有效。通常要求具有圖形用戶接口，而且對(duì)網(wǎng)絡(luò)管理的不同部分有不同的窗口。例如能夠顯示網(wǎng)絡(luò)拓?fù)浣涌凇@示設(shè)備的地理位置和狀態(tài)信息，可以計(jì)算并顯示通信統(tǒng)計(jì)數(shù)據(jù)圖表，具有各種輔助計(jì)算工具等。

　　。自動(dòng)發(fā)現(xiàn)機(jī)制：要求管理站能夠自動(dòng)發(fā)現(xiàn)代理系統(tǒng)，能夠自動(dòng)建立圖標(biāo)并繪制出連接圖形。

　　?？删幊痰氖录褐С钟脩舳x事件，以及出現(xiàn)這些事件時(shí)執(zhí)行的動(dòng)作。例如路由器失效時(shí)應(yīng)閃動(dòng)圖標(biāo)或改變圖標(biāo)的顏色，顯示錯(cuò)誤狀態(tài)信息，向管理員發(fā)送電子郵件，并啟動(dòng)故障檢測(cè)程序等。

　　。高級(jí)網(wǎng)絡(luò)控制功能：例如配置管理站使其可以自動(dòng)地關(guān)閉有問題的集線器、自動(dòng)地分離出活動(dòng)過度頻繁地網(wǎng)段等。這樣地功能要使用 set操作。由于SNMP欠缺安全性，很多產(chǎn)品不支持set操作，所以這種要求很難滿足。

　　。面向?qū)ο蟮毓芾砟Ｐ停?SNMP其實(shí)不是面向?qū)ο蟮南到y(tǒng)。但很多產(chǎn)品是面向?qū)ο蟮南到y(tǒng)，也能支持SNMP.

　　。用戶定義的圖標(biāo)：方便用戶為自己的網(wǎng)絡(luò)設(shè)備定義有表現(xiàn)力的圖標(biāo)。

　　2.輪詢頻率

　　我們需要一種能提高網(wǎng)絡(luò)管理性能的輪詢策略，以決定合適的輪詢頻率。通常輪詢頻率與網(wǎng)絡(luò)的規(guī)模和代理的多少有關(guān)。而網(wǎng)絡(luò)管理性能還取決于管理站的處理速度、子網(wǎng)數(shù)據(jù)速率、網(wǎng)絡(luò)擁擠程度等眾多的其他因素，所以很難給出準(zhǔn)確的判斷規(guī)則。為了使問題簡(jiǎn)化，我們假定管理站以次只能與一個(gè)代理作用，輪詢只是采用 get請(qǐng)求/響應(yīng)這種簡(jiǎn)單形式，而且管理站全部時(shí)間都用來輪詢，于是我們有下面的不等式：

　　3.SNMPv1的局限性

　　用戶利用 SNMP進(jìn)行網(wǎng)絡(luò)管理時(shí)一定要清楚SNMPv1本身的局限性：

　　。由于輪詢的性能限制， SNMP不適合管理很大的網(wǎng)絡(luò)。輪詢產(chǎn)生的大量管理信息傳送可能引起網(wǎng)絡(luò)響應(yīng)時(shí)間的增加。

　　。 SNMP不適合檢索大量的數(shù)據(jù)，例如檢索整個(gè)表中的數(shù)據(jù)。

　　。 SNMP的陷入報(bào)文時(shí)沒有應(yīng)答的，管理站是否收到陷入報(bào)文，代理不得而知。這樣可能丟掉很重要得管理信息。

　　。 SNMP只提供簡(jiǎn)單的團(tuán)體名認(rèn)證，這樣的安全措施時(shí)很不夠的。

　　。 SNMP并不直接支持向被管理設(shè)備發(fā)送命令。

　　。 SNMP的管理信息庫MIB-2支持的管理對(duì)象是有限的，不足以完成復(fù)雜的管理功能。

　　。 SNMP不支持管理站之間的通信，而這一點(diǎn)在分布式網(wǎng)絡(luò)管理中是很需要的。

　　以上局限性有很多在 SNMP的第2版都有所改進(jìn)。

?2011年7月自學(xué)考試成績(jī)查詢時(shí)間及方式匯總

?2011年下半年各地自學(xué)考試報(bào)名匯總

更多信息請(qǐng)?jiān)L問：自學(xué)考試頻道    自學(xué)考試論壇    自學(xué)考試博客