簡單網(wǎng)絡(luò)管理協(xié)議ppt課件(參考版)
2025-01-12 08:23本頁面
【正文】 因此，很多代理不允許通過 SNMP來修改它們的配置，并將 SNMP的用途限于監(jiān)控，在這種情況下暴露的安全性漏洞并不是太重要 ? SNMPv2c增加了一些功能（ getbulk請求和 inform請求） ——最重要的是，增加了一種更有效的手段來獲取更多數(shù)量的管理信息 ? 注意由于 SNMPv2的報文長度限制與 SNMPv1的相同，這意味著仍然不可能一次性獲取一個 MIB或更大的表，因為響應(yīng)報文的大小很容易超過此限制；盡管如此， 在很多情況下，由于使用 getbulk所節(jié)省的迭代操作仍然可以使通信效率得到顯著改善 ? SNMPv2還對 SNMPv1的安全性缺陷進行了彌補，但是從實用的角度來看， SNMPv2仍然是基于社區(qū)字符串，因此也被稱為SNMPv2c（ c代表了 “ munity”） ? SNMPv3是 SNMP的最新版本，它實際上可以被認為是SNMPv2c加上了安全性而得 ，這意味著它與 SNMPv2c具有相同的管理操作，但解決了缺乏安全性的問題 ? 安全性問題是導致以前的 SNMP版本無法用于那些對安全性需求比較敏感的應(yīng)用，例如供應(yīng)應(yīng)用 ? SNMPv3功能更全面，但是也更復雜，不如最初的 SNMPv1協(xié)議簡單 。提供這種能力的機制就是 MIB視圖 ? 視圖限定了 SNMP上下文中管理對象類型 (或管理對象實例 )的一個特殊集合 ? 由于列對象的格式是類似的，所以可以把它們聚合成一個結(jié)構(gòu)，叫做視圖樹系列（ ViewTreeFamily） ? 如果下列兩個條件都成立，則該對象實例屬于視圖樹系列： ? 管理對象標識符至少包含了系列名包含的那些子標識符； ? 對應(yīng)于掩碼為 1的位，管理對象標識符中的子標識符必須與系列名中的對應(yīng)子標識符相匹配。 ? 2. 報文處理子系統(tǒng) ? 3. 安全子系統(tǒng) ? 4. 訪問控制子系統(tǒng) ? SNMPv3的應(yīng)用程序分為 5種 ? 命令生成器（ mand generators） ? 命令響應(yīng)器（ mand responders） ? 通知發(fā)送器（ notification originators） ? 通知接收器（ notification receivers） ? 代理轉(zhuǎn)發(fā)器（ proxy forwarders） ? 管理站 ? 代理 ? 標準規(guī)定安全模塊必須提供防護的兩種主要威脅是： ? 修改信息（ Modification of Information） ? 假冒（ Masquerade） ? 標準還規(guī)定安全模塊必須對兩種次要威脅提供防護： ? 修改報文流（ Message Stream Modification） ? 消息泄露（ Disclosure） ? 有兩種威脅是安全體系結(jié)構(gòu)不必防護的，因為它們不是很重要，或者這種防護沒有多大作用： ? 拒絕服務(wù)（ Denial of Service） ? 通信分析（ Traffic Analysis） ? RFC2574把安全協(xié)議分為 3個模塊： ? 時間序列模塊：提供對報文延遲和重放的防護。管理站數(shù)據(jù)庫主要由 3個表組成： ? snmpAlarmTable ? snmpEventTable ? snmpEventNotifyTable ? SNMP引擎提供下列服務(wù)： ? 發(fā)送和接收報文， ? 認證和加密報文， ? 控制對管理對象的訪問。 ? 這是管理站發(fā)送給管理站的消息， PDU格式與 Get等操作相同，變量綁定表的內(nèi)容與陷入報文的一樣。 ? 有關(guān)通知宏定義中包含的各個變量及其值。 ? 陷入是由代理發(fā)給管理站的非確認性消息 ? TrapPDU的變量綁定表中應(yīng)報告下面的內(nèi)容： ? ，即發(fā)出陷入的時間。如果至少有一個變量綁定對的合法性檢驗沒有通過，則不進行下一階段的更新操作。 ? 這個請求的格式和語義與 SNMPv1的基本相同，差別是處理響應(yīng)的方式不同。如果可能，總共返回N+R*M個值。 ? 假設(shè) GetBulkRequestPDU變量綁定表中有 L個變量，該 PDU的 “ 非重復數(shù) ” 字段的值為 N，則對前 N個變量應(yīng)各返回一個詞典后繼。 ? 如果找不到按照詞典順序的后繼變量，則返回請求PDU中的變量名和錯誤值 endOfMibView。 ? 如果生成的響應(yīng) PDU太大，超過了本地的或請求方的最大報文限制，則放棄這個 PDU，構(gòu)造一個新的響應(yīng) PDU，其錯誤狀態(tài)為 tooBig，錯誤索引為 0，變量綁定表為空。這種情況可能出現(xiàn)在表訪問中：訪問了不存在的行，或正在生成中的表行等； ? 如果不屬于以上情況，則在變量綁定表中返回被訪問的值。如果認證失敗，發(fā)送一個陷入，丟棄報文； ? 如果認證通過，則把 PDU轉(zhuǎn)換成 ； ? 協(xié)議實體對 PDU做句法檢查，如果通過，根據(jù)團體名和適當?shù)脑L問策略作相應(yīng)的處理。 ? SNMPv2報文的結(jié)構(gòu)分為 3部分：版本號、團體名和作為數(shù)據(jù)傳送的 PDU。 ? 代理系統(tǒng)到管理站的非確認通訊，即由代理向管理站發(fā)送陷入報文，報告出現(xiàn)的異常情況。 ? RFC1573還對接口組增加了 4個新表 ? 5. 接口擴展表 ? 6. 接口堆棧表 ? 接口堆棧表說明接口表中屬于同一物理接口的各個行之間的關(guān)系，指明哪些子層運行于哪些子層之上 ? 7. 接口測試表 ? 接口測試表的作用是由管理站指示代理系統(tǒng)測試接口的故障 ? 8. 接收地址表 ? 接收地址表包含每個接口對應(yīng)的各種地址（廣播地址、組播地址和單地址） ? SNMPv2提供了 3種訪問管理信息的方法： ? 管理站和代理之間的請求 /響應(yīng)通信，這種方法與SNMPv1是一樣的。 snmpSerialNo的語法是TestAndIncr(文字約定為 0..2147483647之間的一個整數(shù) )，假設(shè)它的當前值是 K， ? 1）如果代理收到的 set操作置 snmpSerialNo的值為K，則這個操作成功，響應(yīng) PDU中返回 K值，這個對象的新值增加為 K＋１（ mod 231） 。 ? 多個管理站對 MIB的并發(fā)操作可能破壞了數(shù)據(jù)庫的一致性和精確性。 ? MIB的依從性聲明模
公司管理相關(guān)推薦
鄂ICP備17016276號-1