計(jì)算機(jī)網(wǎng)絡(luò)：第9章 網(wǎng)絡(luò)安全與網(wǎng)絡(luò)管理1

9.4網(wǎng)絡(luò)管理技術(shù)9.4.1網(wǎng)絡(luò)管理的基本概念

網(wǎng)絡(luò)管理涉及以下三個(gè)方面：網(wǎng)絡(luò)服務(wù)是指向用戶提供新的服務(wù)類型、增加網(wǎng)絡(luò)設(shè)備、提高網(wǎng)絡(luò)性能；網(wǎng)絡(luò)維護(hù)是指網(wǎng)絡(luò)性能監(jiān)控、故障報(bào)警、故障診斷、故障隔離與恢復(fù)；網(wǎng)絡(luò)處理是指網(wǎng)絡(luò)線路、設(shè)備利用率數(shù)據(jù)的采集、分析，以及提高網(wǎng)絡(luò)利用率的各種控制。

12網(wǎng)絡(luò)管理,簡(jiǎn)稱為網(wǎng)管:包括對(duì)硬件、軟件和人力的使用、綜合與協(xié)調(diào)，以便對(duì)網(wǎng)絡(luò)資源進(jìn)行監(jiān)視、測(cè)試、配置、分析、評(píng)價(jià)和控制，這樣就能以合理的價(jià)格滿足網(wǎng)絡(luò)的一些需求，如實(shí)時(shí)運(yùn)行性能，服務(wù)質(zhì)量等。網(wǎng)絡(luò)管理并不是指對(duì)網(wǎng)絡(luò)進(jìn)行行政上的管理。網(wǎng)絡(luò)管理系統(tǒng)的基本結(jié)構(gòu)：管理對(duì)象

管理對(duì)象是經(jīng)過(guò)抽象的網(wǎng)絡(luò)元素，對(duì)應(yīng)于網(wǎng)絡(luò)中具體可以操作的數(shù)據(jù)。管理進(jìn)程管理進(jìn)程是負(fù)責(zé)對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行全面的管理與控制的軟件。3管理協(xié)議管理協(xié)議負(fù)責(zé)在管理系統(tǒng)與被管理對(duì)象之間傳遞與負(fù)責(zé)操作命令。管理信息庫(kù)管理信息庫(kù)是一個(gè)概念上的數(shù)據(jù)庫(kù)，它是由管理對(duì)象組成的4.網(wǎng)絡(luò)管理的目標(biāo)減少停機(jī)時(shí)間，改進(jìn)響應(yīng)時(shí)間，提高設(shè)備利用率；減少運(yùn)行費(fèi)用，提高效率；減少或消除網(wǎng)絡(luò)瓶頸；適應(yīng)新技術(shù)；使網(wǎng)絡(luò)更容易使用；安全。5在OSI管理體系結(jié)構(gòu)中，定義了五個(gè)管理功能：①性能管理（PerformanceManagement）；②配置管理（ConfigurationManagement）；③記賬（計(jì)費(fèi)）管理（AccountingManagement）；④故障管理（FaultManagement）；⑤安全管理（SecurityManagement）。69.4.2OSI管理功能域1.性能管理性能管理的目標(biāo)是衡量和呈現(xiàn)網(wǎng)絡(luò)性能的各個(gè)方面，使人們能在一個(gè)可接受的水平上維護(hù)網(wǎng)絡(luò)的性能。保證網(wǎng)絡(luò)能提供可靠、連續(xù)的通信能力.對(duì)一系列的性能變量實(shí)施連續(xù)監(jiān)控來(lái)實(shí)現(xiàn)的。性能變量:如網(wǎng)絡(luò)吞吐量、用戶響應(yīng)時(shí)間、傳輸延時(shí)和線路利用率等。7性能管理包含以下幾個(gè)步驟：①收集網(wǎng)絡(luò)管理者感興趣的那些變量的數(shù)據(jù)；②分析這些數(shù)據(jù)，以判斷是否處于正常水平；③為每個(gè)重要的變量決定一個(gè)合適的性能閥值，超過(guò)該限值就意味著出現(xiàn)了值得注意的網(wǎng)絡(luò)故障，管理實(shí)體不斷地監(jiān)視性能變量，當(dāng)某個(gè)性能閥值被超過(guò)時(shí)，就產(chǎn)生一個(gè)報(bào)警，并將該報(bào)警發(fā)送到網(wǎng)絡(luò)管理系統(tǒng)。8。2.配置管理

配置管理的目標(biāo)是監(jiān)視網(wǎng)絡(luò)和系統(tǒng)配置信息，以便跟蹤和管理不同的軟、硬件單元的配置及其變化情況。配置信息對(duì)于維持一個(gè)穩(wěn)定運(yùn)行的網(wǎng)絡(luò)是十分重要的。每個(gè)網(wǎng)絡(luò)設(shè)備均有一系列不同版本的信息，例如，一臺(tái)工程工作站可能的配置有那些？為了便于訪問(wèn)，配置管理子系統(tǒng)將上述信息存儲(chǔ)在數(shù)據(jù)庫(kù)中，當(dāng)發(fā)生故障時(shí)，可從該數(shù)據(jù)庫(kù)中查詢到解決故障所需的相關(guān)信息。①Windows操作系統(tǒng)，版本2003SP1；②以太網(wǎng)接口，版本5.4；③TCP/IP軟件，版本2.0；④Netware軟件，版本4.1；⑤串行通信控制器，版本1.1；⑥X.25軟件，版本1.0；⑦SNMP軟件，版本2.0。9用來(lái)定義、識(shí)別、初始化、監(jiān)控網(wǎng)絡(luò)中的被管對(duì)象，改變被管對(duì)象的操作特性，報(bào)告被管對(duì)象的狀態(tài)變化。3.計(jì)費(fèi)管理計(jì)費(fèi)管理的目標(biāo)是衡量網(wǎng)絡(luò)的利用率，以便使一個(gè)或一組網(wǎng)絡(luò)用戶可以更有規(guī)則地利用網(wǎng)絡(luò)資源為了達(dá)到計(jì)費(fèi)管理的目的，必須通過(guò)性能管理測(cè)量出所有重要的網(wǎng)絡(luò)資源的利用率，對(duì)其結(jié)果的分析就可以產(chǎn)生計(jì)費(fèi)信息和以及可用于資源利用率優(yōu)化的信息。10記錄用戶使用網(wǎng)絡(luò)資源的情況并核收費(fèi)用，統(tǒng)計(jì)網(wǎng)絡(luò)利用率。4.故障管理

故障管理的目標(biāo)是自動(dòng)地檢測(cè)、記錄網(wǎng)絡(luò)故障并通知給用戶。故障管理是所有網(wǎng)絡(luò)管理的實(shí)施中首先被考慮的管理要素。為什么？故障管理包含幾個(gè)步驟：搜集故障信息判斷故障癥狀；修復(fù)、隔離該故障；記錄故障檢測(cè)信息及其修復(fù)結(jié)果。115.安全管理安全管理的目的是控制對(duì)網(wǎng)絡(luò)資源的安全訪問(wèn)，以保證網(wǎng)絡(luò)不被侵害（有意識(shí)的或無(wú)意識(shí)的），并保證重要的信息不被未授權(quán)的用戶訪問(wèn)。安全管理子系統(tǒng)將網(wǎng)絡(luò)資源分為授權(quán)和未授權(quán)兩大類安全管理子系統(tǒng)執(zhí)行以下幾種功能：①標(biāo)識(shí)重要的網(wǎng)絡(luò)資源（包括系統(tǒng)、文件和其他實(shí)體）；②確定重要的網(wǎng)絡(luò)資源和用戶集間的映射關(guān)系；③監(jiān)視對(duì)重要網(wǎng)絡(luò)資源的訪問(wèn)；④記錄對(duì)重要網(wǎng)絡(luò)資源的非法訪問(wèn)。129.4.3簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議SNMP

1、Internet網(wǎng)絡(luò)管理模型13

管理進(jìn)程是一個(gè)或一組軟件程序，一般運(yùn)行在網(wǎng)絡(luò)管理中心的主機(jī)上，由管理代理來(lái)執(zhí)行各種管理操作，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)內(nèi)的各種設(shè)備、設(shè)施和資源的控制。操作人員通過(guò)管理進(jìn)程對(duì)全網(wǎng)進(jìn)行管理。管理進(jìn)程通過(guò)圖形用戶接口，以容易操作的方式顯示各種網(wǎng)絡(luò)信息、網(wǎng)絡(luò)中各管理代理的配置圖等。14管理代理是一種在管理的網(wǎng)絡(luò)設(shè)備中運(yùn)行的軟件，它負(fù)責(zé)執(zhí)行管理進(jìn)程的管理操作。管理代理直接操作本地信息庫(kù)，可以根據(jù)要求改變本地信息庫(kù)，或者是將數(shù)據(jù)傳送到管理進(jìn)程。管理代理具有兩個(gè)基本管理功能：讀取管理信息庫(kù)中各種變量值，修改管理信息庫(kù)中各種變量值。15管理者—代理的網(wǎng)絡(luò)管理模型2、簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議SNMP（SimpleNetworkManagementProtocol，簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議）最初是為符合TCP/IP的網(wǎng)絡(luò)管理而開(kāi)發(fā)的一個(gè)應(yīng)用層的協(xié)議。主導(dǎo)思想是盡可能簡(jiǎn)潔、清晰，因此比OSI網(wǎng)絡(luò)管理體系要簡(jiǎn)單的多。SNMP建立在TCP/IP傳輸層的UDP協(xié)議之上，提供的是不可靠的無(wú)連接服務(wù)，以保證信息的快速傳遞和減少對(duì)帶寬的消耗。SNMP協(xié)議到目前為止已有三個(gè)版本：SNMP1.0版本是初始版本；SNMP2.0版本增加了安全性方面的功能，并在操作性和管理體系結(jié)構(gòu)方面作了較大改進(jìn)。目前最新的版本是SNMP3.0。16課件制作人：謝希仁SNAM網(wǎng)絡(luò)管理的一般模型管理站因特網(wǎng)網(wǎng)絡(luò)管理員

被管設(shè)備——管理程序（運(yùn)行SNMP客戶程序）——代理程序（運(yùn)行SNMP服務(wù)器程序）AAAAM

被管設(shè)備

被管設(shè)備

被管設(shè)備MAA

被管設(shè)備網(wǎng)管協(xié)議18SNMP的層次關(guān)系被管理系統(tǒng)（管理對(duì)象）被管理系統(tǒng)是被管理的所有網(wǎng)絡(luò)上的設(shè)備，包括主機(jī)、集線器、交換器、網(wǎng)橋、通信服務(wù)器、路由器等，它們廣泛分布在不同的地理位置。在各個(gè)可管理的網(wǎng)絡(luò)設(shè)備中都有一個(gè)特殊的軟件，稱為Agent（代理）。Agent能監(jiān)測(cè)所在網(wǎng)絡(luò)設(shè)備及其周圍的局部網(wǎng)絡(luò)的工作狀況，收集網(wǎng)絡(luò)運(yùn)行的有關(guān)信息。Agent響應(yīng)網(wǎng)絡(luò)管理系統(tǒng)（NMS）中來(lái)自管理者（Manager）的定期輪詢、接受管理者設(shè)置某個(gè)變量的指令以及在某些緊急事件發(fā)生時(shí)（例如設(shè)定的閾值超出時(shí)）主動(dòng)向NMS發(fā)起Trap（陷阱）報(bào)警。MIB（管理信息庫(kù)）通常位于相應(yīng)的Agent上，所有相關(guān)的被管對(duì)象的網(wǎng)絡(luò)信息都放在MIB上。19SNMP網(wǎng)管協(xié)議網(wǎng)絡(luò)管理協(xié)議規(guī)定在管理者和代理之間使用協(xié)議數(shù)據(jù)單元（PDU）進(jìn)行通信以實(shí)現(xiàn)被管設(shè)備與NMS間的協(xié)同管理操作?；谝蛱鼐W(wǎng)標(biāo)準(zhǔn)的網(wǎng)絡(luò)管理結(jié)構(gòu)假定了一種遠(yuǎn)程檢測(cè)的范例，在該范例中，被管設(shè)備應(yīng)NMS要求，維護(hù)著一系列變量和報(bào)告。例如，一個(gè)被管設(shè)備可能跟蹤以下內(nèi)容：虛電路的狀態(tài)和數(shù)量、接收到特定類型的錯(cuò)誤信息的數(shù)量、出入設(shè)備的報(bào)文個(gè)數(shù)和字節(jié)數(shù)、最大的輸出隊(duì)列長(zhǎng)度（對(duì)于路由器和其他網(wǎng)絡(luò)互聯(lián)設(shè)備）、發(fā)送和接收的廣播信息以及活動(dòng)的和不活動(dòng)的網(wǎng)絡(luò)接口等等。20SNMP協(xié)議操作命令類型如果NMS想要控制一個(gè)被管理設(shè)備，它可以向被管理設(shè)備發(fā)出一個(gè)信息，并通過(guò)改變被管理設(shè)備的一個(gè)或多個(gè)變量的值來(lái)實(shí)現(xiàn)對(duì)被管設(shè)備的控制。被管理設(shè)備發(fā)起或響應(yīng)四種類型的命令:讀：NMS利用該命令來(lái)監(jiān)視被管理設(shè)備，NMS從被管設(shè)備中讀取變量。寫(xiě)：NMS利用該命令來(lái)控制被管理設(shè)備，NMS將變量寫(xiě)入被管設(shè)備中。移動(dòng)操作：NMS利用該命令判定被管理設(shè)備支持哪些變量，并將信息收集到變量表中。陷阱（trap）：被管理設(shè)備用該命令來(lái)向NMS異步報(bào)告某種事件的發(fā)生。21管理信息庫(kù)（MIB）管理信息庫(kù)（MIB）是管理進(jìn)程的一部分，用于記錄網(wǎng)絡(luò)中被管理對(duì)象的狀態(tài)參數(shù)值；一個(gè)網(wǎng)絡(luò)的管理系統(tǒng)只能有一個(gè)管理信息庫(kù)，但管理信息庫(kù)可以是集中存儲(chǔ)的，也可以由各個(gè)網(wǎng)絡(luò)設(shè)備記錄本地工作參數(shù)；網(wǎng)絡(luò)管理員只要查詢有關(guān)的管理信息庫(kù)，就可獲得有關(guān)網(wǎng)絡(luò)設(shè)備的工作狀態(tài)和工作參數(shù)；在網(wǎng)絡(luò)管理過(guò)程中，使網(wǎng)絡(luò)管理信息庫(kù)中數(shù)據(jù)與實(shí)際網(wǎng)絡(luò)設(shè)備的狀態(tài)、參數(shù)保持一致的方法主要有兩種：事件驅(qū)動(dòng)與輪詢驅(qū)動(dòng)方法。

2223輪詢驅(qū)動(dòng)方法：SNMP管理進(jìn)程定時(shí)向被管理設(shè)備周期性地發(fā)送探詢信息以維持對(duì)網(wǎng)絡(luò)資源的實(shí)時(shí)監(jiān)視,事件驅(qū)動(dòng)：即當(dāng)被管對(duì)象的代理檢測(cè)到有事件發(fā)生時(shí)，就檢查其門(mén)限值。代理只向管理進(jìn)程報(bào)告達(dá)到某些門(mén)限值的事件3.網(wǎng)絡(luò)管理平臺(tái)引出了開(kāi)放的統(tǒng)一的網(wǎng)絡(luò)管理平臺(tái)的原因網(wǎng)絡(luò)管理平臺(tái)向上為各類專用網(wǎng)管應(yīng)用程序提供了統(tǒng)一的標(biāo)準(zhǔn)應(yīng)用程序接口（API），各廠商的專用網(wǎng)管應(yīng)用程序經(jīng)API及平臺(tái)可直接管理各自的設(shè)備，而不同網(wǎng)管應(yīng)用程序可利用網(wǎng)管平臺(tái)的資源橫向得到集成和統(tǒng)一，并獲得更高層次的統(tǒng)一管理方案。此外，平臺(tái)廠商和用戶亦可用API接口擴(kuò)展網(wǎng)管功能。應(yīng)用1應(yīng)用2應(yīng)用3平臺(tái)廠商提供的網(wǎng)管軟件用戶開(kāi)發(fā)的網(wǎng)管應(yīng)用網(wǎng)絡(luò)管理平臺(tái)網(wǎng)絡(luò)管理平臺(tái)網(wǎng)絡(luò)管理平臺(tái)本身是一個(gè)支持SNMP的提供網(wǎng)管基本服務(wù)的軟件，目前比較著名的平臺(tái)有：HP的OpenView，Sun的SunNetManager，IBM的NetView，3COM的Transcend，Novell的NMS和Cisco的CiscoWorks2000等。提供的圖形用戶界面（GUI）。基于Unix的環(huán)境基于Windows的環(huán)境網(wǎng)管平臺(tái)功能可以通過(guò)對(duì)SNMP各代理的輪詢以及接受代理發(fā)來(lái)的事件報(bào)文創(chuàng)建和維護(hù)各種類型的數(shù)據(jù)庫(kù)。其內(nèi)容可包括網(wǎng)絡(luò)設(shè)備的設(shè)置、狀態(tài)、對(duì)象標(biāo)志符、對(duì)象名稱、IP地址、網(wǎng)絡(luò)拓?fù)錁?gòu)形圖等，還包括注冊(cè)事件在內(nèi)的各種事件、網(wǎng)絡(luò)通信狀態(tài)及歷史網(wǎng)絡(luò)通信量等記錄。還能利用網(wǎng)管平臺(tái)具有的圖形工具為用戶界面顯示網(wǎng)絡(luò)撲拓構(gòu)形圖。網(wǎng)管平臺(tái)對(duì)事件有過(guò)濾處理能力，對(duì)事件能以事件日志記入數(shù)據(jù)庫(kù)并經(jīng)過(guò)濾后對(duì)其中一些事件能經(jīng)API傳送給相應(yīng)的網(wǎng)絡(luò)管理應(yīng)用。9.4.4網(wǎng)絡(luò)管理系統(tǒng)的各種實(shí)現(xiàn)結(jié)構(gòu)集中式網(wǎng)絡(luò)管理結(jié)構(gòu)集中式結(jié)構(gòu)的變形分布式結(jié)構(gòu)分層結(jié)構(gòu)2728集中式網(wǎng)絡(luò)管理結(jié)構(gòu)集中式網(wǎng)絡(luò)管理結(jié)構(gòu)集中式體系結(jié)構(gòu)是最常用的一種網(wǎng)絡(luò)管理模式，它由一個(gè)單獨(dú)的管理者負(fù)責(zé)整個(gè)網(wǎng)絡(luò)的管理工作。該管理者處理與被管網(wǎng)絡(luò)單元的代理之間的通信，提供集中式的決策支持和控制，并維護(hù)管理者的管理數(shù)據(jù)庫(kù)。這種方式的主要不足是當(dāng)被管網(wǎng)絡(luò)規(guī)模擴(kuò)大或者結(jié)構(gòu)復(fù)雜性增大時(shí)自身的管理能力不能隨之進(jìn)行相應(yīng)的擴(kuò)充。但是在多數(shù)情況下首選的都是集中式控制。集中式結(jié)構(gòu)的變形集中式結(jié)構(gòu)的變形31集中式體系結(jié)構(gòu)的一種變形是平臺(tái)方案將管理者劃分成兩部分：管理平臺(tái)和各種管理應(yīng)用程序。管理平臺(tái)作為處理管理數(shù)據(jù)的第一級(jí)，主要涉及信息收集，提供諸如監(jiān)控、流量計(jì)算等關(guān)鍵管理服務(wù)，同時(shí)向應(yīng)用程序提供數(shù)據(jù)處理報(bào)告摘要。應(yīng)用程序運(yùn)行在數(shù)據(jù)處理的第二級(jí)，提供各種系統(tǒng)管理功能、處理決策支持等比信息收集和簡(jiǎn)單計(jì)算更高級(jí)的功能。兩部分通過(guò)公共應(yīng)用程序接口（API）進(jìn)行通信。該體系結(jié)構(gòu)具有較方便的系統(tǒng)維護(hù)性和擴(kuò)展性，并簡(jiǎn)化了在異種主機(jī)、多廠商、多管理協(xié)議環(huán)境中綜合程序的開(kāi)發(fā)工作。異構(gòu)性和協(xié)議復(fù)雜性只在平臺(tái)級(jí)處理一次，不必在每個(gè)應(yīng)用程序中考慮。擴(kuò)展能力的有限性是集中式結(jié)構(gòu)所固有的。此外，實(shí)踐證明當(dāng)應(yīng)用程序的數(shù)量增加時(shí)，平臺(tái)是一個(gè)嚴(yán)重的瓶頸。分布式結(jié)構(gòu)分布式結(jié)構(gòu)33分布式結(jié)構(gòu)與管理域（按照地域、組織和其他方式定義的域）的概念相關(guān)，并且系統(tǒng)中使用了一個(gè)以上同等級(jí)別的管理者。因?yàn)樗鼮槊總€(gè)域設(shè)置一個(gè)管理者，因此很適合于多域的大型網(wǎng)絡(luò)結(jié)構(gòu)。當(dāng)需要另一個(gè)域的管理信息時(shí)，管理者通過(guò)與同級(jí)的系統(tǒng)通信來(lái)獲取。這種結(jié)構(gòu)的主要優(yōu)點(diǎn)是擴(kuò)展性好，通過(guò)建立更多的管理域以及增加相應(yīng)數(shù)量的管理者可以滿足更高的性能要求和擴(kuò)充性。分層結(jié)構(gòu)分層結(jié)構(gòu)35分層結(jié)構(gòu)也應(yīng)用了在每個(gè)管理域中配置管理者的模式。每個(gè)域管理者只負(fù)責(zé)本域的管理，不關(guān)心網(wǎng)絡(luò)內(nèi)的其他域的情況。所有管理者的管理系統(tǒng)（MoM）位于更高的層次，從各域管理者獲取管理信息。與分布式結(jié)構(gòu)不同，域管理者之間并不通信。這種結(jié)構(gòu)能很容易地?cái)U(kuò)展，并且可以增加一個(gè)以上的