SNMP, MIB, RMON. NetConf.

Estación Experimental de Aula Dei (CSIC)Unidad Técnica de Biblioteca y DocumentaciónZ - EEADREVISTAS INTERNACIONALES - SUSCRIPCIÓN de la EEAD-CSIC (2010, incluidas en Concurso general CSIC)Es posible el acceso a la versión en línea de los títulos de la lista pulsando el icono-botón SFX ( ) correspondiente.Titulo ISSN EditorAccesoOnlineSFXIFIJCR-2008CuartilJCR-2008ACTA HORTICULTURAE 0567-7572 ISHSADVANCES IN AGRONOMY 0065-2113 ELSEVIER SCIENCE 3.114 Q1 (A)ADVANCES IN HORTICULTURAL SCIENCE 0394-6169ADVANCES IN HORTICULTURAL SCIENCE -ITALYAGRICELL REPORT 0738-145X AGRITECH CONSULTANTS - USA--- NO -----AGRONOMIE 0249-5627 EDP Sciences S A - FRANCIAAGRONOMY FOR SUSTAINABLE DEVELOPMENT 1774-0746 EDP Sciences S A - FRANCIAAGRONOMY JOURNAL 0002-1962 AMERICAN SOCIETY OF AGRONOMY - USAAMERICAN JOURNAL OF BOTANY 0002-9122 AMERICAN JOURNAL OF BOTANY - USA1,649 Q2 (A)1,532 Q2 (A)2,642 Q1 (Pl Sc)PLANT SCIENCE BULLETIN 0032-0919 AMERICAN JOURNAL OF BOTANY - USA--- NO -----ANNALS OF APPLIED BIOLOGY - INCLUDINGSUPPLEMENT 0003-4746 BLACKWELLARBORICULTURE FRUITIERE 0003-794X EDITIONS DU CHASTAING - FRANCEAUSTRALIAN JOURNAL OF AGRICULTURALRESEARCH 0004-9409 CSIRO PUBLISHING - AUSTRALIAAUSTRALIAN JOURNAL OF SOIL RESEARCH 0004-9573 CSIRO PUBLISHING - AUSTRALIABIOCHIMICA ET BIOPHYSICA ACTA - BIOENERGETICS0005-2728ELSEVIER SCIENCE--- NO -----1,868 Q1 (A Mult)1,132 Q2 (A Mult)0,856 Q4 (S Sc)4,447Q1 (Bch & MolBl)Q1 (Bf)

(C) 2010, Petr GrygarekMonitoring sítě• Dostupnost a aktuální provozní parametry síťovýchprvků• ICMP, SNMP• Funkčnost a aktuální propustnost linek a cest• ICMP, SLA monitors – syntetický aplikační provoz• Často užitečná historie• Charakteristiky uživatelského provozu z pohledu sítě• Netflow, JFlow, IP Flow, …• Mirroring provozu• SPAN, TAPs, …• Systémy pro měření odezvy aplikací2

Protokoly pro management sítí• ISO:• CMIS: Common Management Information Service• CMIP: Common Management Information Protocol• TCP/IP: SNMP• CMOT: CMIP Over TCP/IPNa aplikační vrstvě(C) 2010, Petr Grygarek4

Požadavky na management system• Vzdálený management• Pro transport management zpráv používá síťovýprotokol• IP/UDP, …• základní funkčnost sítě je proto podmínkou funkcemanagementu• Často paralelní OOB management• Ethernet / console servers, nezávislá management síť• Autentizace, autorizace(C) 2010, Petr Grygarek5

Agent pro vzdálenou správu• software běžící na manažovaném síťovém elementu• zná manageovatelnou informaci o síťovém elementu,překládá ji do formy management databáze azpřístupňuje pomocí SNMPVýhodné je oddělení struktury manageovatelné informaceod protokolu(C) 2010, Petr Grygarek6

Operace managementu• čtení stavových proměnných agentů• (atomické čtení seznamu proměnných)• nastavování stavových proměnných agentů• (atomický zápis seznamu proměnných)• + postupné čtení po sobě následujících proměnných• vhodné např. pro procházení tabulek• možnost zachytávání asynchronních hlášení agentů(trap) o významných událostech• (překročení mezních hodnot, výpadky, ...)(C) 2010, Petr Grygarek7

Management Information Base (MIB)• Hierarchicky organizovaná definice manageovatelných objektů nasíťových elementech („MIB objektů“)• Každý objekt na síťovém elementu udržován v jedné či více instancích(„proměnných“)• Objekty identifikovány v rámci MIB jednoznačným číselnýmidentifikátorem Object ID (OID)• Skalární a tabulkové objekty• Definice MIB specifikuje, jaké informace musí jednotlivé typy síťovýchprvků udržovat a zpřístupňovat management stanici• Rozšíření této definice v MIB II (RFC 1213)• Možnost proprietárních rozšíření specifických pro výrobce – podstromy MIB• iso.org.dod.internet.private.enterprises (1.3.5.1.4.1)• Výhodou rozšiřitelnost(C) 2010, Petr Grygarek8

Strom MIB• Podstrom obecnějšího stromu pro přidělování globálně jednoznačných číselných identifikátorů(administruje CCITT + ISO)• Kořen nepojmenován• Větev pro MIB začíná 1.3.6.1.2(C) 2010, Petr Grygarek9

Structure of ManagementInformation (SMI)• Množina pravidel pro definici objektů MIB• Definuje podmnožinu ASN.1 použitelnou pro popisMIB• Z ASN.1 přebírá určení• jména objektu• syntaxe objektu (datový typ)• kódování objektu (formou série datových typů)• Určuje pravidla pro pojmenovávání objektů, pravidlapro definici datových typů• Definice způsobu reprezentace tabulek(C) 2010, Petr Grygarek10

• JednoduchéDatové typy v MIB• INTEGER (znaménkové, –2,147,483,648-2,147,483,647)• OCTET STRING (do 64kB)• OBJECT IDENTIFIER• Složené: SEQUENCE• Aplikační – definováno omezení hodnot + příp. chování• DisplayString (NVT ASCII)• Síťové adresy různých rodin (SNMPv1: IpAddress)• PhysAddress• Counter (kladné, s max. hodnotou, po přetečení návrat k 0)• Gauge (kladné, udržují maximální dosaženou hodnotu)• TimeTicks (setiny sekundy od určité události)• Opaque (volně kódóvaná neinterpretovaná data)• Unsigned integer(C) 2010, Petr Grygarek12

Object Identifier• identifikátor určitého objektu MIB• objekty spravovány globálně, identifikátor je sekvencídekadických číslic• např. všechny proměnné MIB začínají 1.3.6.1.2.1.• každý takovýto identifikátor má i čitelné textovévyjádření• např. 1.3.6.1.2.1 = iso.org.dod.intenet.mgmt.mib.• ve zprávách protokolu SNMP se používají číselnéidentifikátory• Numerické hodnoty přiřazeny objektům v jejichdefinicích v ASN.1(C) 2010, Petr Grygarek13

Tabulky• Proměnné lze uspořádat do tabulek• Přistupovat lze současně vždy jen k jedné buňce• Jednoznačné ObjectID mají sloupce tabulky, za ně sepřipojuje index• (různého typu – konvertovatelné na číslo)• Definován mechanismus pro procházení tabulky• Řádky indexovány různým datovým typem v indexu• Použití get-next-request pro procházení(C) 2010, Petr Grygarek14

Větve MIB I• System (informace o OS síťovéhoprvku/stanice)• Interfaces – informace o rozhraních• Address translation – např. ARP tabulky• IP – informace o protokolu IP• ICMP – informace o protokolu ICMP• EGP – informace o směrovacím protokolu EGP• předchůdce BGP, dnes již neaktuální(C) 2010, Petr Grygarek15

SNMP• protokol pro komunikaci mezi management stationa síťovými elementy (RFC 1157)• nad UDP• žádosti a odpovědi na ně na portu 161, trap na port 162• oddělení umožňuje na jednom systému současně provozovatmanagement stanici i agenta.• požadavky a odpovědi spárovány pomocí request ID• Hodnoty proměnných kódovány podle ASN.1(explicit typing)(C) 2010, Petr Grygarek16

Základní zprávy SNMP• get-request - přečtení hodnoty proměnné• (resp. atomické čtení skupiny hodnot)• get-next-request - postupné čtení všech proměnných• procházení stromu v lexikografickém uspořádání podle OID• get-response - zpráva nesoucí výsledek výše uvedenýchoperací• set-request - zapsání hodnoty proměnné• (resp. atomický zápis skupiny hodnot)• trap - notifikace od agenta na SNMP konzoli(C) 2010, Petr Grygarek17

SNMP v.1 – formát zpráv (1)• Hlavička: číslo verze SNMP, jméno komunity• PDU (proměnná délka)(C) 2010, Petr Grygarek18

SNMP v.1 – formát zpráv (2)• Get, GetNext,Response,Set:• PDU type• Request ID – párování požadavků a odpovědí• Error status (použito jen ve zprávě Response)• Error Index (v Response, určuje, kterého objektu se týká chyba)• Variable bindings – asociuje OIDs s hodnotami• Trap:• Enterprise – typ manageovaného objektu který trap způsobil• Agent address• Generic + Specific trap type• Timestamp• Variable bindings(C) 2010, Petr Grygarek19

Bezpečnost SNMPSNMP v.1 postrádá zabezpečení (hlavně autentizaci)Pouze slabý zabezpečovací mechanismus:• Komunita RO• Komunita RW – SET operace často nepoužívány z důvodubezpečnosti• Hodnota řetězce komunity může určovat i úroveň oprávnění• Někdy možnost konfigurovat adresu povolené managementstanice(C) 2010, Petr Grygarek20

Remote Monitoring - RMON• Pro centrální management několika vzdálených LAN• Distribuce systému managementu• Vzdálené síťové sondy pro shromažďování lokálních statistik auchovávání jejich trendů, matic komunikace, zachytávánípaketů, ...• Orientováno na Ethernet a Token Ring (broadcast sítě)• Shromažďované informace definovány v RMON MIB (rozšířeníMIB)• mohou být dotazovány SNMP konzolí, ta nemusí provádětperiodické dotazování stavu jednotlivých proměnných• umí např. i packet capture(C) 2010, Petr Grygarek21

Skupiny RMON statistik (RFC 1757)• Ethernet Statistics – pro jednotlivá rozhraní• History Control – řízení periodického snímání hodnot• Ethernet History – zaznamenává periodicky snímané hodnoty• Alarm – sledování překročení prahových hodnot (podpora hystereze),generování trapů• Host – statistiky o stanicích na síti (podle procházejících MAC adres)• HostTopN – tabulka statistik komunikačně nejaktivnějších stanic• Matrix – matice komunikace mezi stanicemi• Filter – specifikace filtru pro zachytávání paketů nebo generování trapů.• Packet Capture – buffer pro zachytávání paketů (podle nastavení filtru)• Event – nastavení generování trapů + jejich logování(C) 2010, Petr Grygarek22

RMON 2• RFC 2021, 2034• rozšíření pro vzdálené monitorování i na vyššíchvrstvách OSI RM• Podobné skupiny jako RMON, ale i pro L3 a L4protokoly(C) 2010, Petr Grygarek23

• Nové zprávySNMP verze 2(c)• GetBulk – alternativa GetNextRequest• přenos velkých bloků binárních dat• možnost přečtení většího množství objektů současně (kolik se vejde do zprávys odpovědí)• pro efektivní čtení tabulek• pokud nelze poskytnou hodnoty všech požadovaných proměnných, agentposkytne alespoň částečné výsledkyInform – pro zasílání zpráv mezi NMS• Modifikovaný formát Trap• Definice kontextu objektů + přístupových politik• Autentizace entit komunikujících přes SNMP• Příliš se nerozšířil• v realitě SNMPv2c – stále použití komunit pro autentizaci(C) 2010, Petr Grygarek24

SNMP verze 3• Autentizace a ochrana integrity zpráv• jméno+heslo, MD5/SHA1 otisk• Možnost šifrování zpráv• Modifikovaný formát zpráv• Bezpečnostní model orientovaný na uživatele a uživatelskéskupiny• Autorizace přístupu k MIB objektům (čtení, zápis, vytvoření)• MIB pohledy (views) autorizující skupiny uživatelů k přístupu kjednotlivým MIB objektům• Přístupové politiky přiděleny skupinám uživatelů• Notifikace (TRAPs) přiřazeny ke skupinám uživatelů(C) 2010, Petr Grygarek25

Pohledy v SNMPv3• Seznamy přístupných OID• Přiřazovány skupinám• read view, write view• notify view(C) 2010, Petr Grygarek26

Vztah MIB a nových verzí SNMP• MIB je na protokolu nezávislá• Nezávisle na SNMP se postupně dodefinovávají dalšírozšíření MIB• Standardní i proprietární(C) 2010, Petr Grygarek27

NetConf (RFC 4741)NetConf• Jednotný mechanismus pro manipulaci s konfiguracísíťových zařízení• i funkce pro monitoring - notifikace• Založen na XML/RPC• Nezávislé na transportním protokolu• Autentizaci a šifrování obstarává transportní protokol• Možnost dohody volitelných capabilities• zjišťování definice podporovaného XML schematu• Možnost flexibilního nastavení filtrování odpovědi(C) 2010, Petr Grygarek28

Základní operace NetConf• • • , • , • , (C) 2010, Petr Grygarek29

Výhody NetConf• Reprezentace konfigurace hierarchickým způsobem(XML)• Možnost transformací mezi konfiguracemi prostředkyXML (XSLT)• Možnost centralizované správy prvků s odlišnýmikonfiguračními soubory pomocí proxy agenta• Transformuje konfiguraci pro Netconf agenty v jednotlivýchspravovaných zařízeních• Možnost práce s částmi konfigurace• Podpora verzování konfigurace(C) 2010, Petr Grygarek30

Monitoring provozu• SPAN, RSPAN, VSPAN, ERSPAN• Pozor na právní aspekty(C) 2010, Petr Grygarek31

Netflow• Monitoring a sběr statistik datových toků• Netflow sondy (exporter)• ingress/egress na interface směrovače• často HW podpora• autonomní sonda připojená přes TAP prvek• Alternativně samplovaný sběr• Netflow collector• + návazné aplikace - analýza• Netflow export protocol – export statistik(C) 2010, Petr Grygarek32

Netflow Export Protocol• Klasické verze Netflow protokolu (v5)• Fixní formát záznamů o toků• Položky záznamu exportu toku u v5:• Verze, Seq#• Protokol L4, zdrojové a cílové IP adresy + porty, zdrojové a cílové porty, ToS• SNMP index vstupního a výstupního rozhraní• čas prvního a posledního paketu toku,• počet bajtů a paketů v toku• Flexible Netflow (v9) – z něj vychází IETF IPFIX• Uživatelsky nastavitelné sbírané položky (až do L7)• Export templates popisují flexibilní formát záznamů o tocích• Široký výběr položek pro exportIPv6 adresy, MPLS labels atd.(C) 2010, Petr Grygarek33

Automatizace managementu• Centralizovaný backup konfigurací• Distribuce (parametrizovatelných) konfigurčníchna sadu zařízení• ...(C) 2010, Petr Grygarek34