【正文】 網(wǎng)絡(luò)管理體系結(jié)構(gòu)。這是一種集中式網(wǎng)管結(jié)構(gòu)。 14 15 網(wǎng)絡(luò)管理的體系結(jié)構(gòu) ? 網(wǎng)絡(luò)管理體系結(jié)構(gòu) 指網(wǎng)絡(luò)管理系統(tǒng)的邏輯結(jié)構(gòu)，包括網(wǎng)絡(luò)管理模型、網(wǎng)絡(luò)管理模式 (管理者 –代理模式 ) 、網(wǎng)絡(luò)管理協(xié)議及管理信息庫MIB(Management Information Base)。 ? 管理程序運(yùn)行 SNMP 客戶程序 ，向某個(gè)代理程序發(fā)出請求（或命令），代理程序運(yùn)行 SNMP 服務(wù)器程序 ，返回響應(yīng)（或執(zhí)行某個(gè)動作）。 ? 網(wǎng)絡(luò)管理員利用網(wǎng)管協(xié)議通過管理站對網(wǎng)絡(luò)中的被管設(shè)備進(jìn)行管理。 ? 必須注意，并不是網(wǎng)管協(xié)議本身來管理網(wǎng)絡(luò)。代理程序在管理程序的命令和控制下在被管設(shè)備上采取本地的行動。在被管設(shè)備中也會有一些不能被管的對象。網(wǎng)絡(luò)的每一個(gè)被管設(shè)備中可能有個(gè)多 被管對象 (Managed Object)。 網(wǎng)絡(luò)管理的一般模型 (續(xù) 2) 網(wǎng)絡(luò)管理模型中的主要構(gòu)件 (續(xù) 1) ? 被管設(shè)備 如主機(jī)、路由器等 (含軟件 ) 。 ? 網(wǎng)絡(luò)管理員 (administrator) 指的是人。 管理程序 在運(yùn)行時(shí)成為 管理進(jìn)程 。管理站的關(guān)鍵構(gòu)件是管理程序。 10 網(wǎng)絡(luò)管理的一般模型 網(wǎng)絡(luò)管理的一般模型 網(wǎng)絡(luò) 管理員 因特網(wǎng) A 網(wǎng)管協(xié)議 被管設(shè)備 被管設(shè)備 被管設(shè)備 被管設(shè)備 管理站 A A A M —— 管理程序（運(yùn)行 SNMP 客戶程序） —— 代理程序（運(yùn)行 SNMP 服務(wù)器程序） M A 11 網(wǎng)絡(luò)管理的一般模型 (續(xù) 1) 網(wǎng)絡(luò)管理模型中的主要構(gòu)件 ? 管理站 常稱為 網(wǎng)絡(luò)運(yùn)行中心 NOC (Network Operations Center)，是整個(gè)網(wǎng)絡(luò)管理系統(tǒng)的核心。但至今 尚無一個(gè)精確的定義。 9 網(wǎng)絡(luò)管理概述 (續(xù) 2) ? 網(wǎng)絡(luò)管理 有狹義和廣義之分。 ? 計(jì)算機(jī)網(wǎng)絡(luò)的管理，則始于 1969年 ARPANET。 ? 20世紀(jì) 50～ 70年代期間，先后出現(xiàn)了三個(gè)事件：長途直撥、程控交換機(jī)和網(wǎng)絡(luò)運(yùn)營系統(tǒng)，對網(wǎng)絡(luò)管理起著重大的變革作用。 8 網(wǎng)絡(luò)管理概述 (續(xù) 1) ? 網(wǎng)絡(luò)管理的概念由來已久。 ? 計(jì)算機(jī)網(wǎng)絡(luò)必須有一個(gè)高效的網(wǎng)絡(luò)管理系統(tǒng)，才能為用戶提供令人滿意的服務(wù)。其原因是： ① 網(wǎng)絡(luò)必須正常、高效地運(yùn)行； ② 網(wǎng)絡(luò)資源被廣泛應(yīng)用于政治、經(jīng)濟(jì)、科學(xué)以及軍事等各個(gè)領(lǐng)域； ③ 網(wǎng)絡(luò)的用戶來自社會各個(gè)階層和部門； ④ 計(jì)算機(jī)網(wǎng)絡(luò)中的數(shù)據(jù)信息在存儲和傳輸過程中，被竊取、復(fù)制、泄露或篡改的可能性不斷增加； ⑤ 威脅計(jì)算機(jī)網(wǎng)絡(luò)管理和安全的因素來自多個(gè)方面。 ? 對于課件中存在的缺點(diǎn)和錯(cuò)誤，歡迎讀者提出寶貴意見，以便及時(shí)修訂。1 數(shù)據(jù)通信與計(jì)算機(jī)網(wǎng)絡(luò) （第 4 版） 楊心強(qiáng) 陳國友編著 電子工業(yè)出版社 2023 年 5 月 2 課件制作人聲明 ? 本課件是 《 數(shù)據(jù)通信與計(jì)算機(jī)網(wǎng)絡(luò) 》 (第 4版 )的教輔材料，共 12個(gè) Powerpoint 文件 (每章一個(gè) )。任課教師可根據(jù)教學(xué)的實(shí)際需要，自行修改或增刪其內(nèi)容，但不能自行出版銷售。 課件制作人 楊心強(qiáng) 2023年 5月 3 數(shù)據(jù)通信與計(jì)算機(jī)網(wǎng)絡(luò) 第 12章 計(jì)算機(jī)網(wǎng)絡(luò)的管理和安全 4 第 12章 計(jì)算機(jī)網(wǎng)絡(luò)的管理和安全 教學(xué)目的 ? 了解計(jì)算機(jī)網(wǎng)絡(luò)管理的一般概念 (定義、模型、體系結(jié)構(gòu)、網(wǎng)管功能，以及 SNMP協(xié)議 ) ? 了解計(jì)算機(jī)網(wǎng)絡(luò)安全的一般概念 (威脅和需求 ) ? 了解數(shù)據(jù)加密技術(shù) (加密模型和兩種密鑰密碼體制 ) ? 掌握常用的網(wǎng)絡(luò)安全策略 ? 了解因特網(wǎng)的安全協(xié)議機(jī)制 學(xué)習(xí)內(nèi)容 ? 計(jì)算機(jī)網(wǎng)絡(luò)的管理 ? 簡單網(wǎng)絡(luò)管理協(xié)議 SNMP ? 計(jì)算機(jī)網(wǎng)絡(luò)的安全 ? 數(shù)據(jù)加密技術(shù) ? 網(wǎng)絡(luò)安全策略 ? 虛擬專用網(wǎng) ? 因特網(wǎng)的安全協(xié)議 5 第 12章 內(nèi)容提綱 計(jì)算機(jī) 網(wǎng)絡(luò)的管理 簡單網(wǎng)絡(luò)管理協(xié)議 SNMP 計(jì)算機(jī)網(wǎng)絡(luò)的安全 數(shù)字加密技術(shù) 網(wǎng)絡(luò)安全策略 虛擬專用網(wǎng) 因特網(wǎng)的安全協(xié)議 ? 計(jì)算機(jī)網(wǎng)絡(luò)的管理 ? 隨著計(jì)算機(jī)網(wǎng)絡(luò)的發(fā)展與普及，計(jì)算機(jī)網(wǎng)絡(luò)的管理和安全問題越來越愈受到人們的關(guān)注和重視。 6 7 網(wǎng)絡(luò)管理概述 ? 計(jì)算機(jī)網(wǎng)絡(luò)的發(fā)展趨勢是：網(wǎng)絡(luò)規(guī)模不斷擴(kuò)大，復(fù)雜性不斷增加，網(wǎng)絡(luò)異構(gòu)性越來越高。 ? 網(wǎng)絡(luò)管理 (簡稱網(wǎng)管 )已被列為“未來網(wǎng)絡(luò)結(jié)構(gòu)”的三大關(guān)鍵技術(shù) (高速交換技術(shù)、虛擬網(wǎng)絡(luò)技術(shù)、網(wǎng)絡(luò)管理技術(shù) )之一。話務(wù)員就是整個(gè)電話網(wǎng)絡(luò)系統(tǒng)的管理者。網(wǎng)絡(luò)管理逐漸由人工管理過渡到機(jī)器管理。 ? 網(wǎng)絡(luò)管理所追求的目標(biāo)是集成化、開放型、分布式的網(wǎng)絡(luò)管理。狹義網(wǎng)絡(luò)管理是指對網(wǎng)絡(luò)通信量 (traffic)等網(wǎng)絡(luò)性能管理，廣義網(wǎng)絡(luò)管理是指對網(wǎng)絡(luò)應(yīng)用系統(tǒng)的管理。 ? 一般認(rèn)為：網(wǎng)絡(luò)管理不是指對網(wǎng)絡(luò)進(jìn)行行政上的管理，而是 以提高整個(gè)網(wǎng)絡(luò)系統(tǒng)的效率、管理和維護(hù)水平為目標(biāo)，主要涉及對一個(gè)網(wǎng)絡(luò)系統(tǒng)的資源和活動，進(jìn)行監(jiān)視、測試、配置、分析、協(xié)調(diào)、評估和控制，并以合理的價(jià)格滿足網(wǎng)絡(luò)的一些需求。由網(wǎng)絡(luò)管理員直接操作和控制。 ? 管理站 (硬件 )或管理程序 (軟件 )都可稱為 管理者(manager)。Manager 不是指人而是指機(jī)器或軟件。大型網(wǎng)絡(luò)往往實(shí)行多級管理，因而有多個(gè)管理者，而一個(gè)管理者一般只管理本地網(wǎng)絡(luò)的設(shè)備。被管設(shè)備有時(shí)可稱 網(wǎng)絡(luò)元素 (或 網(wǎng)元 )。被管對象可以是被管設(shè)備中的某些硬件或軟件的配置參數(shù)的集合。 ? 代理 指運(yùn)行在被管設(shè)備中的一個(gè) 網(wǎng)絡(luò)管理代理程序 程序 (簡稱 代理 )，以便和管理站中的管理程序進(jìn)行通信。 12 網(wǎng)絡(luò)管理的一般模型 (續(xù) 3) 網(wǎng)絡(luò)管理模型中的主要構(gòu)件 (續(xù) 2) ? 網(wǎng)絡(luò)管理協(xié)議 ，簡稱為 網(wǎng)管協(xié)議 。網(wǎng)管協(xié)議只是管理程序和代理程序之間進(jìn)行通信的規(guī)則。 13 網(wǎng)絡(luò)管理的一般模型 (續(xù) 4) 客戶 /服務(wù)器方式 ? 管理程序和代理程序按 客戶 /服務(wù)器方式 工作 。 ? 在網(wǎng)管系統(tǒng)中往往是一個(gè)（或少數(shù)幾個(gè)）客戶程序與很多的服務(wù)器程序進(jìn)行交互。 ? 從應(yīng)用角度，網(wǎng)管體系結(jié)構(gòu)的兩種類型： ① 公用網(wǎng)管體系結(jié)構(gòu) 由管理者、代理和 MIB等三部分組成。 OSI和因特網(wǎng)的網(wǎng)管均屬于此類。如 Open View。 ? DME的基本思想是：網(wǎng)管系統(tǒng) 獨(dú)立于 具體的硬件與操作系統(tǒng)；提供 標(biāo)準(zhǔn)的 結(jié)構(gòu)、服務(wù)和開發(fā)環(huán)境；開發(fā) 簡單易學(xué)的 網(wǎng)管應(yīng)用軟件。 TMN作為對電信網(wǎng)進(jìn)行統(tǒng)一管理的方案，現(xiàn)已成為現(xiàn)代網(wǎng)絡(luò)管理的發(fā)展方向。 故障管理 當(dāng)網(wǎng)絡(luò)中某個(gè)組成失效時(shí)，網(wǎng)絡(luò)管理器應(yīng)能迅速檢測出故障，將其定位，并采取適當(dāng)措施及時(shí)排除。 配置管理 對被管對象相關(guān)功能集合進(jìn)行定義、識別、控制和監(jiān)視。 計(jì)費(fèi)管理 依據(jù)各種電信資費(fèi)標(biāo)準(zhǔn)，以及管理用戶對網(wǎng)絡(luò)資源的使用情況，對用戶核收費(fèi)用。使網(wǎng)絡(luò)能夠提供可靠、連續(xù)的通信服務(wù)。 ? ISO就網(wǎng)絡(luò)管理只定義了上述五項(xiàng)基本功能。 19 第 12章 內(nèi)容提綱 計(jì)算機(jī) 網(wǎng)絡(luò)的管理 簡單網(wǎng)絡(luò)管理協(xié)議 SNMP 計(jì)算機(jī)網(wǎng)絡(luò)的安全 數(shù)字加密技術(shù) 網(wǎng)絡(luò)安全策略 虛擬專用網(wǎng) 因特網(wǎng)的安全協(xié)議 ? 簡單網(wǎng)絡(luò)管理協(xié)議 SNMP ? 20世紀(jì) 80年 代初期，因特網(wǎng)的發(fā)展使人們意識到網(wǎng)絡(luò)管理的重要性。 ? SNMP發(fā)布于 1988年，于 1990年 成為因特網(wǎng)的正式標(biāo)準(zhǔn) (RFC 1157)。SNMPv3最大的修改是定義了比較完善的安全模式，提供了基于視圖的訪問機(jī)制和基于用戶的安全模型等安全機(jī)制。 SNMP就遒循這種設(shè)計(jì)思想。 ? SNMP使用管理器和代理的概念。管理器運(yùn)行 SNMP客戶程序，代理運(yùn)行 SNMP服務(wù)程序。 21 簡單網(wǎng)絡(luò)管理協(xié)議 SNMP(續(xù) 2) ? 整個(gè)網(wǎng)絡(luò)系統(tǒng)必須有一個(gè) 管理站 。 ? 若網(wǎng)絡(luò)元素使用的不是 SNMP 而是另一種網(wǎng)絡(luò)管理協(xié)議， SNMP 協(xié)議就無法控制該網(wǎng)絡(luò)元素。委托代理能提供如協(xié)議轉(zhuǎn)換和過濾操作等功能對被管對象進(jìn)行管理。 SNMP還 負(fù)責(zé)讀取和改變這些數(shù)值。但 SMI并不定義一個(gè)實(shí)體管理的對象數(shù)目， 以及 被管對象的名字以及對象與其值之間的關(guān)聯(lián)。 23 管理信息結(jié)構(gòu) ? 管理信息結(jié)構(gòu) SMI是 SNMP的重要構(gòu)件 ， 現(xiàn)在使用的版本是 SMIv2。 24 管理信息結(jié)構(gòu) (續(xù) 1) 對象命名 ? SMI規(guī)定，每個(gè)被管對象都要有一個(gè)唯一命名的對象標(biāo)識符， 它 處于基于分層次的樹結(jié)構(gòu)上。整數(shù) ?點(diǎn)的表示 法 用在 SNMP，而名字 ?點(diǎn)記法是人使用的。 ? SMI使用的數(shù)據(jù)有兩大類： ① 簡單類型 ，這是 最基本的 。 ② 結(jié)構(gòu)化類型 。它類似于 C語言中的struct或 record。 27 管理信息結(jié)構(gòu) (續(xù) 4) 編碼方法 ? SMI使用 BER對數(shù)據(jù)進(jìn)行編碼。 用來定義數(shù)據(jù)的作用域 。 通用類取自于 ， 應(yīng)用類是 SMI增加的 ， 而上下文類有 5種是為了適應(yīng)不同的協(xié)議。 指明數(shù)據(jù)類型種類，簡單數(shù)據(jù)類型 (0)， 結(jié)構(gòu)化數(shù)據(jù)類型 (1)。 用來將簡單的或結(jié)構(gòu)化的數(shù)據(jù)進(jìn)一步劃分為子組 。 當(dāng)該字段最高位為 0， 其余 7位定義數(shù)據(jù)長度。 ? SMI對數(shù)據(jù)的編碼格式 (續(xù) 1) 指出值字段長度 = 2 字節(jié) 0 0 0 0 0 0 1 0 1 0 0 0 0 0 1 0 0 0 0 0 0 0 0 1 0 0 0 0 0 1 1 0 單字節(jié)的長度字段 指出值字段長度 = 262 字節(jié) 多字節(jié)的長度字段 指出 后續(xù)字節(jié)數(shù) = 2 后續(xù)字節(jié)數(shù) = 2 管理信息結(jié)構(gòu) (續(xù) 6) 30 ? SMI對數(shù)據(jù)的編碼格式 (續(xù) 2) 編號 類別 格式 位 2 1 5 標(biāo)記 長度 可變 可變 1 字節(jié) 值 值 V(可變 )。 ? 舉例 1：寫出 INTEGER 15的編碼。再查表 121，得 INTEGER 類型要用 4字節(jié)編碼。 ? 舉例 2：寫出 IPAddress 。再查表 121，得 IPAddressV 類型需要 4字節(jié)表示。 管理信息庫 ? “管理信息”是指管理器能夠管理的所有被管對象的集合。被管對象的這些信息都保存在虛擬的管理信息庫中。 ? 在 MIB2中的對象分成 10個(gè)不同的組 ， 表 123列出了前 8個(gè)組的含義。 31 SNMP報(bào)文和協(xié)議數(shù)據(jù)單元 ? SNMP的操作只有兩種：一種是 讀 操作，用 get報(bào)文來檢測各個(gè)被管對象的狀況；另一種是 寫 操作，用 set報(bào)文來控制各個(gè)被管對象的狀況。探詢的好處：①可使系統(tǒng)相對簡單。 ? 但探詢管理協(xié)議不夠靈活，而且所能管理的設(shè)備數(shù)目不能太多。如探詢頻繁而并未得到有用的報(bào)告，則通信線路和計(jì)算機(jī)的 CPU 周期就被浪費(fèi)了。這種信息稱為 陷阱 (其 參數(shù)是受限制的 )，表示它能夠捕捉“事件”。代理只向管理進(jìn)程報(bào)告達(dá)到某些門限值的事件 (即 過濾 ) 。 33 SNMP報(bào)文和協(xié)議數(shù)據(jù)單元 (續(xù) 2) 有效的網(wǎng)絡(luò)管理協(xié)議 SNMP ? 使用探詢 (至少是周期性地 ) 以維持對網(wǎng)絡(luò)資源的實(shí)時(shí)監(jiān)視，同時(shí)也采用陷阱機(jī)制報(bào)告特殊事件，使得 SNMP成為一種有效的網(wǎng)絡(luò)管理協(xié)議。但不保證可靠交付。 ? 運(yùn)行管理程序的客戶端則使用熟知端口 162來接收來自各代理的 trap報(bào)文。 首部 ， 包含報(bào)文標(biāo)識、報(bào)文最大長度、報(bào)文標(biāo)志以及報(bào)文安全模型。 數(shù)據(jù)部分 ， 包含SNMP協(xié)議數(shù)據(jù)單元 PDU。 上下文引擎 ID 上下文名 PDU 類型 請求 ID 差錯(cuò)狀態(tài) 差錯(cuò)索引 名 值 名 值 UDP 數(shù)據(jù)報(bào) IP 數(shù)據(jù)報(bào) SNMP 報(bào)文 IP 首部 UDP 首部 數(shù)據(jù)部分 版本 首部 … 20 字節(jié) 8 字節(jié) 安全 參數(shù) 有關(guān)加密信息 的字段 SNMP PDU 首部 變量綁定 SNMP報(bào)文和協(xié)議數(shù)據(jù)單元 (續(xù) 4) SNMP定義的 PDU的類型 36 編號 名 稱 功 能 0 GetRequest 管理器 （ 客戶 ） 向代理 （ 服務(wù)器 ） 讀取一個(gè)或一組變量的值 1 GetNextRequest 管理器向代理讀取 MIB樹上的下一個(gè)變量的值 ， 此操作可反復(fù)進(jìn)行 2 Response 代理向管理器發(fā)送 5種請求報(bào)文的響應(yīng) ， 并提供管理器所請求的變量的值 3 SetRequest 管理器發(fā)送給代理 ， 用來設(shè)置變量的值 5 GetBulkRequest 管理器發(fā)送給代理 ， 用來讀取大量的數(shù)據(jù)