EI CCIE企业基础架构-简单网络管理SNMP协议详解

EI CCIE企业基础架构培训课程联系WOLFLAB预约免费试听

简单网络管理协议(Simple Network Management Protocol SNMP)首先是由Internet工程任务组织(Internet Engineering Task Force)(IETF)的研究小组为了解决Internet上的路由器管理问题而提出的。许多人认为 SNMP在IP上运行的原因是Internet运行的是TCP/IP协议，然而事实并不是这样。

SNMP被设计成与协议无关，所以它可以在IP，IPX，AppleTalk，OSI以及其他用到的传输协议上被使用。

SNMP是一系列协议组和规范(见下表)，它们提供了一种从网络上的设备中收集网络管理信息的方法。SNMP也为设备向网络管理工作站报告问题和错误提供了一种方法。

　　名字   说明

　　MIB    管理信息库

　　SMI    管理信息的结构和标识

　　SNMP   简单网络管理协议

　　从被管理设备中收集数据有两种方法：一种是只轮询（polling-only）的方法，另一种是基于中断（interrupt-based）的方法。

　　如果你只使用只 轮询的方法，那么网络管理工作站总是在控制之下。而这种方法的缺陷在于信息的实时性，尤其是错误的实时性。你多久轮询一次，并且在轮询时按照什么样的设备顺序呢？如果轮询间隔太小，那么将产生太多不必要的通信量。如果轮询间隔太大，并且在轮询时顺序不对，那么关于一些大的灾难性的事件的通知又会太馒。这就违背了积极主动的网络管理目的。

　　当有异常事件发生时，基于中断的方法可以立即通知网络管理工作站（在这里假设该设备还没有崩溃，并且在被管理设备和管理工作站之间仍有一条可用的通信途径）。然而，这种方法也不是没有他的缺陷的，首先，产生错误或自陷需要系统资源。如果自陷必须转发大量的信息，那么被管理设备可能不得不消耗更多的时间和系统资源来产生自陷，从而影响了它执行主要的功能（违背了网络管理的原则2）。

　　而且，如果几个同类型的自陷事件接连发生，那么大量网络带宽可能将被相同的信息所占用（违背了网络管理的原则1）。尤其是如果自陷是关于网络拥挤问题的时候，事情就会变得特别糟糕。克服这一缺陷的一种方法就是对于被管理设备来说，应当设置关于什么时候报告问题的阈值（threshold）。但不幸的是这种方法可能再一次违背了网络管理的原则2，因为设备必须消耗更多的时间和系统资源，来决定一个自陷是否应该被产生。

　　结果，以上两种方法的结合：面向自陷的轮询方法（trap-directed polling）可能是执行网络管理最为有效的方法了。一般来说，网络管理工作站轮询在被管理设备中的代理来收集数据，并且在控制台上用数字或图形的表示方式来显示这些数据。这就允许网络管理员分析和管理设备以及网络通信量了。

　　被管理设备中的代理可以在任何时候向网络管理工作站报告错误情况，例如预制定阈值越界程度等等。代理并不需要等到管理工作站为获得这些错误情况而轮询他的时候才会报告。这些错误情况就是众所周知的SNMP自陷（trap）。

　　在这种结合的方法中，当一个设备产生了一个自陷时，你可以使用网络管理工作站来查询该设备（假设它仍然是可到达的），以获得更多的信息。　　

MIB

管理信息库MIB指明了网络元素所维持的变量（即能够被管理进程查询和设置的信息）。MIB给出了一个网络中所有可能的被管理对象的集合的数据结构。SNMP的管理信息库采用和域名系统DNS相似的树型结构，它的根在最上面，根没有名字。图3画的是管理信息库的一部分，它又称为对象命名（objectnamingtree）。

图3管理信息库的对象命名举例

对象命名树的顶级对象有三个，即ISO、ITU-T和这两个组织的联合体。在ISO的下面有4个结点，其中的一个（标号3）是被标识的组织。在其下面有一个美国国防部（Department of Defense）的子树（标号是6），再下面就是Internet（标号是1）。在只讨论Internet中的对象时，可只画出Internet以下的子树（图中带阴影的虚线方框），并在Internet结点旁边标注上{1.3.6.1}即可。

在Internet结点下面的第二个结点是mgmt（管理），标号是2。再下面是管理信息库，原先的结点名是mib。1991年定义了新的版本MIB-II，故结点名现改为mib-2，其标识为{1.3.6.1.2.1}，或{Internet(1) .2.1}。这种标识为对象标识符。

最初的结点mib将其所管理的信息分为8个类别，见表1。现在de mib-2所包含的信息类别已超过40个。

应当指出，MIB的定义与具体的网络管理协议无关，这对于厂商和用户都有利。厂商可以在产品（如路由器）中包含SNMP代理软件，并保证在定义新的MIB项目后该软件仍遵守标准。用户可以使用同一网络管理客户软件来管理具有不同版本的MIB的多个路由器。当然，一个没有新的MIB项目的路由器不能提供这些项目的信息。

这里要提一下MIB中的对象{1.3.6.1.4.1}，即enterprises（企业），其所属结点数已超过3000。例如IBM为11.3.6.1.4.1.2}，Cisco为{1.3.6.1.4.1.9}，Novell为{1.3.6.1.4.1.23}等。世界上任何一个公司、学校只要用电子邮件发往iana-mib@isi.edu进行申请即可获得一个结点名。这样各厂家就可以定义自己的产品的被管理对象名，使它能用SNMP进行管理。

SNMP的5种协议数据单元

SNMP规定了5种协议数据单元PDU（也就是SNMP报文），用来管理进程和代理之间的交换。

get-request操作：      从代理进程处提取一个或多个参数值

get-next-request操作： 从代理进程处提取紧跟当前参数值的下一个参数值

set-request操作：      设置代理进程的一个或多个参数值

get-response操作：     返回的一个或多个参数值。这个操作是由代理进程发出的，它是前面三种操作的响应操作。

trap操作：             代理进程主动发出的报文，通知管理进程有某些事情发生。

前面的3种操作是由管理进程向代理进程发出的，后面的2个操作是代理进程发给管理进程的，为了简化起见，前面3个操作今后叫做get、get-next和set操作。图4描述了SNMP的这5种报文操作。请注意，在代理进程端是用熟知端口161接收get或set报文，而在管理进程端是用熟知端口162来接收trap报文。

图5是封装成UDP数据报的5种操作的SNMP报文格式。可见一个SNMP报文共有三个部分组成，即公共SNMP首部、get/set首部trap首部、变量绑定。

（1）公共SNMP首部

共三个字段：

 版本

写入版本字段的是版本号减1，对于SNMP（即SNMPV1）则应写入0。

 共同体（community）

共同体就是一个字符串，作为管理进程和代理进程之间的明文口令，常用的是6个字符“public”。

 PDU类型

根据PDU的类型，填入0～4中的一个数字，其对应关系如表2所示意图。

2）get/set首部

 请求标识符(request ID)

这是由管理进程设置的一个整数值。代理进程在发送get-response报文时也要返回此请求标识符。管理进程可同时向许多代理发出get报文，这些报文都使用UDP传送，先发送的有可能后到达。设置了请求标识符可使管理进程能够识别返回的响应报文对于哪一个请求报文

 差错状态（error status）

由代理进程回答时填入0～5中的一个数字，见表3的描述

差错索引(error index)

当出现noSuchName、badValue或readOnly的差错时，由代理进程在回答时设置的一个整数，它指明有差错的变量在变量列表中的偏移。

（3）trap首部

 企业（enterprise）

填入trap报文的网络设备的对象标识符。此对象标识符肯定是在图3的对象命名树上的enterprise结点{1.3.6.1.4.1}下面的一棵子树上。

 trap类型

此字段正式的名称是generic-trap，共分为表4中的7种。

类型2、3、5时，在报文后面变量部分的第一个变量应标识响应的接口。

 特定代码(specific-code)

指明代理自定义的时间（若trap类型为6），否则为0。

 时间戳(timestamp)

指明自代理进程初始化到trap报告的事件发生所经历的时间，单位为10ms。例如时间戳为1908表明在代理初始化后1908ms发生了该时间。

（4）变量绑定(variable-bindings)

指明一个或多个变量的名和对应的值。在get或get-next报文中，变量的值应忽略。

设置IOS设备snmp管理

在IOS的全局模式下，敲入

snmp-server community gsunion ro   //配置本路由器的只读字串为gsunion

snmp-server community gsunion rw   //配置本路由器的读写字串为gsunion

snmp-server enable traps           //允许路由器将所有类型SNMP Trap发送出去，是一个开启命令，还可以单独开启一项

snmp-server host IP-address-server trapcomm   //指定路由器SNMP Trap的接收者IP地址，发送Trap时采用trapcomm作为字串

snmp-server trap-source loopback0   //将loopback接口的IP地址作为SNMP Trap的发送源地址

还可以定义ACL，在路由器上对网管地址做限制：

 Router(config)#    access-list    num    permit    host    host-ip  

     定义访问控制表，限制路由器支持网管工作站  

Router(config)#snmp-server community community RO [access-list-num]  

     配置只读权限的community，与上面定义的访问控制表联系，限制网管工作站的IP地址  

EI CCIE企业基础架构培训免费学习资料向网站客服索要