snmp在網(wǎng)絡(luò)管理中的應(yīng)用(編輯修改稿)
2025-01-11 02:46 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 設(shè)置成功，如果成功，則 response PDU 里 variable bingdings 中 value1 字段的值填為設(shè)備的新名字（比如 device01），如果設(shè)置失敗則在 error status 字段填上出錯(cuò)的原因，在 error index 填上出錯(cuò)的位置信息。 d． trap 操作 當(dāng)設(shè)備發(fā)生某些異常需要通知 NMS 時(shí)， Agent 會(huì)主動(dòng)發(fā)出 trap報(bào)文，例如：設(shè)備某端口網(wǎng)線被拔出， Agent 發(fā)送 linkdown 的trap 消息給 nms， version 字段的值為 1， munity 字段的值為 public， pdu 中 enterprise 字段為 的取值，（ 比 如 為 ）， generic trap 字 段 值 為linkdown， varible bingdings 字段攜帶接口相關(guān)信息。 （ 7） SNMPv3 實(shí)現(xiàn)機(jī)制 Snmpv3 各操作的實(shí)現(xiàn)機(jī)制同 snmpv1 和 snmpv2 基本一樣，其主要區(qū)別在于 snmpv3 新增了認(rèn)證和加密、解密的處理。下面以snmpv3 使用認(rèn)證和加密方式執(zhí)行 get 操作作為實(shí)例來(lái)描述其實(shí)現(xiàn)機(jī)制，過(guò)程如下： ① NMS首先發(fā)送不帶任何認(rèn)證和加密參數(shù)的 get 請(qǐng)求， flags 字段設(shè)置為 0x4， 以 獲取 contextengineID、 contextname、authoritativeEngineID 、 authoritativeEngineBoots 、authoritativeEngineTime 等相關(guān)參數(shù)的值。 ② Agent 解析信息，發(fā)送 report 報(bào)文并攜帶上訴相關(guān)參數(shù)的值。 ③ NMS再給 Agent 發(fā)送 Get請(qǐng)求，請(qǐng)求報(bào)文主要字段將被設(shè)置成為： version 字段的值為 3，將（ 2）獲取的參數(shù)填入相應(yīng)字段，PDU 里 variable bingdings 中 name1 字段的值為 ，并且根據(jù)配置認(rèn)證算法計(jì)算出 AuthenticationParameters，使用配置的加密算法計(jì)算出 privacyparameters，并使用配置的加密算法對(duì) PDU 數(shù)據(jù)進(jìn)行加密。 ④ Agent 首先對(duì)消息進(jìn)行認(rèn)證，認(rèn)證后通過(guò) PDU 報(bào)文進(jìn)行解密，解密成功后，則獲取 對(duì)象的值，并將 response PDU里 variable bingdings 中 value1 字段的值填為設(shè)備的名字（比如 Agent010），如果認(rèn)證、解析失敗或者獲取參數(shù)值失敗，則在error status 字段填上出錯(cuò)的原因，在 error index 填上出錯(cuò)的位置信息，最后對(duì) PDU 進(jìn)行加密，設(shè)置 contextEngineID、 authoritativeEngineID 、 authoritativeEngineBoots 、contextname 、 authoritativeEngineTime 、authenticationparameters、 PrivacyParameters 等參數(shù)，發(fā)送響應(yīng)報(bào)文。 三． SNMP 網(wǎng)絡(luò)管理 的安全性探討 引言 簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議（ SNMP） 是目前 TCP/IP 網(wǎng)絡(luò)中應(yīng)用最為廣泛的網(wǎng)絡(luò)管理協(xié)議， 1990 年 5月， RFC1157定義了 SNMP的一個(gè)版本 SNMPv1， RFC1157和另一個(gè)關(guān)于管理信息的文件 RFC1155 一起，提供了一種監(jiān)控和管理計(jì)算機(jī)網(wǎng)絡(luò)的系統(tǒng)方法， SNMP 也有明顯的不足，如難以實(shí)現(xiàn)大量的數(shù)據(jù)傳輸，缺少身份驗(yàn)證和和機(jī)密機(jī)制，因此提出了 SNMPv3，其安全部分給網(wǎng)絡(luò)管理提供安全保障， ip 安全工具 — ipsec 也提供了網(wǎng)絡(luò)通信加密技術(shù)。 SNMP 存在的隱患 安全問(wèn)題 是 SNMP 是否能夠廣泛應(yīng)用的重要因素，也是應(yīng)用者越來(lái)越關(guān)心的問(wèn)題，下面從分析者的角度來(lái)分析 SNMP協(xié)議中存在的安全隱患，以便尋找相應(yīng)的對(duì)策，并且推動(dòng)協(xié)議的不斷完善和發(fā)展，安 全方面可以從一下六個(gè)方面來(lái)分析： 1）偽裝威脅： 一些未被授權(quán)的實(shí)體冒充一個(gè)授權(quán)的實(shí)體去執(zhí)行一些管理操作。 2）消息更改威脅： SNMP協(xié)議提供了管理站查詢(xún)和控制管理代理中對(duì)象值的方法。消息更改威脅就在于一些非授權(quán)的實(shí)體更改傳輸?shù)膬?nèi)容，以至于產(chǎn)生非法網(wǎng)管操作。 3）消息泄漏威脅：攻擊者可以竊聽(tīng)網(wǎng)管代理和管理站之間的信息交換。 4）消息流更改威脅： SNMP 是一種基于無(wú)連接（ UDP）的傳輸服務(wù)，這種不可靠傳輸可能使消息被他人俘獲，重新排序、延退或故意重發(fā)。 5）服務(wù)拒絕威脅：攻擊者可以截取管理站和代理之間 正常的信息交換信息。 6）流量分析威脅：攻擊者可以分析管理代理者很管理站之間的業(yè)務(wù)流量。 SNMPv2 配合 IPSec 安全模型 1. SNMP 配合 IPSec 的安全特性，加密和認(rèn)證服務(wù)都是為了保障 SNMP信息安全，下面的分析都是假定 IPSec 的 ESP 特性被用于來(lái)在兩個(gè)安全網(wǎng)關(guān)的通路之間提供認(rèn)證和加密鼓舞服務(wù)，典型情況如下，一個(gè)被隱藏起來(lái)的 SNMP 管理程序主機(jī)和另一個(gè)子網(wǎng)中的 SNMP 設(shè)備通過(guò) IPSec 通道通信 盡管 IPSec 可以提供安全網(wǎng)關(guān)之后的主機(jī)和主機(jī)之間的安全認(rèn)證，通常情況下，并不會(huì)在 SNMP 設(shè) 備上安裝 IPSec 協(xié)議包，這樣就使得很多重要的 SNMP 信息以明文的方式傳遞。如果不采取強(qiáng)有力的安全措施，將很有可能使得網(wǎng)絡(luò)存在嚴(yán)重的隱患。 SNMP配合 IPSec解決方案的主要優(yōu)點(diǎn)是能清楚地將安全過(guò)程和 SNMP 過(guò)程分開(kāi)。 2. SNMP配合 IPSec 的功能特性，使用 IPSec 安全特性并不直接面向用 戶(hù)，在 IPSec 協(xié)議中，密匙的管理和更新是自動(dòng)的通過(guò) IKE協(xié)議來(lái)處理的，這種自動(dòng)更換密匙的機(jī)制很大地提高了整個(gè)系統(tǒng)的安全性，由此得知， SNMP 配合 IPSec 這種解決方案為大型網(wǎng)絡(luò)提供了一種安全的訪問(wèn)模式。 SNMPv3 安全模型 基于用戶(hù)的 安全模型（ USM）， USM主要提供認(rèn)證服務(wù)和加密服務(wù)，認(rèn)證技術(shù)主要是針對(duì) SNMP消息報(bào)文頭的控制，它允許一個(gè)實(shí)體鑒別一個(gè)消息的來(lái)源以及這個(gè)消息是否被修改，它還允許合適性檢驗(yàn)，通過(guò)確認(rèn)消息按照合適的方式接受，減少消息被延遲和惡意重復(fù)的威脅。如下圖 2，USM 的安全機(jī)制 圖 2 ① 身份鑒別：在雙方進(jìn)行數(shù)據(jù)通信前，首先要確認(rèn)對(duì)方的身份，要求交易雙方的身份不能或偽裝，通過(guò)數(shù)字簽名技術(shù)使得 SNMP實(shí)體在接受消息后確認(rèn)消息是否來(lái)自授權(quán)的實(shí) 體，并且消息在傳輸過(guò)程中從未被改變的過(guò)程。 USM使用
研究報(bào)告相關(guān)推薦
鄂ICP備17016276號(hào)-1