Transcript Studij FER-2 Studijski program Računarstvo VI semestar Modul Telekomunikacije i informatika Predmet Lokalne mreže (preporučeni izborni predmet modula) Protokoli za upravljanje mrežom doc.

Studij FER-2
Studijski program Računarstvo
VI semestar
Modul Telekomunikacije i informatika
Predmet Lokalne mreže
(preporučeni izborni predmet modula)
Protokoli za upravljanje mrežom
doc. dr. sc. Željko Ilić
Domene upravljanja mrežom

ISO definirao pet domena upravljanja mrežom

upravljanje kvarovima – fault management

upravljanje obračunavanjem troškova korištenja
mrežnih resursa – accounting management

upravljanje konfiguracijom – configuration
management

upravljanje performansama – performance
management

upravljanje sigurnošću – security management
Protokoli za upravljanje mrežom
2/43
Upravljanje kvarovima

kvar (fault)  pogreška (error)

upravljanje kvarovima = upravljanje
mrežom s ciljem otklanjanja kvarova

koraci uključeni u upravljanje kvarovima




otkrivanje problema
izoliranje problema
otklanjanje problema (popravljanje kvara)
korisnički zahtjevi


brzo i pouzdano rješavanje problema
permanentno obavještavanje o statusu mreže
Protokoli za upravljanje mrežom
3/43
Upravljanje obračunavanjem troškova
korištenja mrežnih resursa

ciljevi



praćenje korištenja mrežnih resursa od strane
pojedinih odjela ili korisničkih računa
(accounts)
praćenje korisnika koji neovlašteno rabe tuđa
pristupna prava kako bi koristili mrežne resurse
praćenje načina na koji korisnici koriste mrežu


potrebno je spriječiti neučinkovito korištenje mreže i
pomoći krajnji korisnicima kako bi promijenili loše
navike
poznavanje mrežnih aktivnosti krajnjih
korisnika važno je za planiranje proširenja
mreže
Protokoli za upravljanje mrežom
4/43
Upravljanje konfiguracijom

mreža – skup komponenti i podsustava



svaka komponenta (podsustav) može biti
konfigurirana na nekoliko načina
konfiguracija određuje funkciju komponente
zahtjevi



UK mora biti zaduženo za pokretanje (start-up) i
zaustavljanje (shut-down) mreže
mora osobi zaduženoj za upravljanje mrežom
omogućiti promjenu povezanosti (connectivity)
komponenti
krajnji korisnici žele biti obaviješteni o promjeni
konfiguracije pojedinih mrežnih komponenti
Protokoli za upravljanje mrežom
5/43
Upravljanje performansama

UP ima dvije kategorije


nadzor (monitoring) i
upravljanje (control)

nadzor – zadužen za praćenje mrežnih
aktivnosti

upravljanje – provođenje prilagodbi u
mrežnim komponentama kako bi se
popravile mrežne performanse

primjer mrežnih aktivnosti koje se mjere

propusnost, iskorištenje resursa u postocima,
vjerojatnost pogreške, vrijeme odziva i dr.
Protokoli za upravljanje mrežom
6/43
Upravljanje sigurnošću

proces upravljanja pristupom mrežnim
resursima i informacijama u mreži

aktivnosti upravljanja sigurnošću





generiranje, distribucija i spremanje
enkripcijskih ključeva
održavanje i distribucija autorizacijskih lozinki
nadzor i upravljanje pristupom mreži
nadzor i upravljanje pristupom upravljačkim
informacijama
spremanje informacija vezanih uz sigurnost
mreže u datoteke izvješća o sigurnosti mreže
(security logs)
Protokoli za upravljanje mrežom
7/43
Sustav upravljanja mrežom

NMS – Network Management System


NMA – Network Management Application
NME – Network Management Entity
upravljač
agent
NMA
NME
NME
aplikacija
aplikacija
komunikacija
komunikacija
operacijski sustav
operacijski sustav
mreža
Protokoli za upravljanje mrežom
8/43
Arhitektura softvera za upravljanje mrežom

podjela upravljačkog
softvera u kategorije



softver za prikaz
upravljačkih podataka
prema korisnicima
softver za upravljanje
mrežom
komunikacijski softver
i softver za pristup
bazi podataka
korisničko sučelje
prikaz upravljačke informacije
namijenjen korisnicima
upravljačka
aplikacija
aplikacijski
element
aplikacijski
element
...
aplikacijski
element
usluga transporta upravljačkih podataka
modul za
pristup MIB-u
MIB
Protokoli za upravljanje mrežom
upravljačka
aplikacija
...
komunikacijski
protokolni složaj
upravljane komunikacijske
mreže
9/43
Distribuirano upravljanje mrežom

prednosti
distribuiranog
upravljanja



smanjenje ukupne
količine prometa
kojeg generira NMS
veća skalabilnost
sustava
otklanjanje opasnosti
da kvar jedne
upravljačke stanice
blokira cijeli
upravljački sustav
Protokoli za upravljanje mrežom
klijenti sustava upravljanja
mrežom (osobna računala,
radne stanice)
mreža
poslužitelj upravljanja
mrežom
poslužitelj upravljanja
mrežom
upravljačka
aplikacija
upravljačka
aplikacija
MIB
MIB
mreža
upravljač
elementima
mrežni resursi - agenti
sustava upravljanja
mrežom
10/43
Protokoli upravljanja TCP/IP mrežama

ICMP – Internet Control Message Protocol



SGMP – Simple Gateway Monitoring Protocol


korišten u TCP/IP mrežama prije pojave SNMP-a
ICMP – podloga za PING (Packet Internet Groper)
prethodnik SNMP-a, objavljen 1987.
nakon SGMP-a razvoj nastavljen u 3 pravca


HEMS – High-Level Entity Management System
SNMP – Simple Network Management Protocol


poboljšana inačica SGMP-a;
CMOT – CMIP over TCP/IP (ISO standard)

CMIP – Common Management Information Protocol
Protokoli za upravljanje mrežom
11/43
Protokol SNMP

SNMP – jednostavni protokol za upravljanje
mrežom



prva inačica 1988.
namijenjen upravljanju uređajima koji koriste IP
inačice SNMP-a




SNMPv1 – RFC 1157 (IETF standard)
SNMPv2 – RFC 1905, RFC 1906 i RFC 1907
SNMPv3 – RFC 1905, RFC 1906, RFC 1907, RFC
2271, RFC 2272, RFC 2573, RFC 2274 i RFC 2275
izvor RFC-a
http://www.ietf.org/rfc.html
 http://www.cis.ohio-state.edu/services/rfc/index.html

Protokoli za upravljanje mrežom
12/43
Konfiguracija SNMP NMS-a
upravljački
proces
MIB
MIB
agenta
SNMP
mrežni
upravitelj
agentski
proces
korisnički
procesi
SNMP
FTP i dr.
UDP
TCP, UDP
UDP
IP
IP
protokol ovisan o vrsti
mreže
protokol ovisan o
vrsti mreže
upravljačka stanica
računalo
mreža koja podržava
TCP/IP protokole
MIB
agenta
agentski
proces
SNMP
UDP
IP
protokol ovisan
o vrsti mreže
usmjerivač
Protokoli za upravljanje mrežom
13/43
SNMP poruke
upravljačka stanica
agent
upravljani resursi
SNMP upravljač
SNMP agent
UDP
UDP
IP
IP
protokoli ovisni o vrsti mreže
Protokoli za upravljanje mrežom
mreža
Trap
GetResponse
SetRequest
GetNextRequest
GetRequest
upravljani objekti
Trap
GetResponse
SetRequest
GetNextRequest
GetRequest
upravljačka aplikacija
protokoli ovisni o vrsti mreže
14/43
SNMP i UDP
NMS šalje poruke
po portu 161
agent osluškuje SNMP
komunikaciju na UDP portu 161
upravljač
protokolni mehanizmi
SNMP agenta
agent
mreža
MIB

razmjena
SNMP
poruka

asinkrono
generiranje
poruka
Trap
SNMP poruke enkapsulirane u
UDP datagrame
agent šalje odgovor po UDP
portu 161
NMS prima odgovor po
portu 161
upravljač
protokolni mehanizmi
SNMP agenta
agent
mreža
MIB
SNMP poruke enkapsulirane u
UDP datagrame
NMS prima poruku Trap
po portu 162
upravljač
mreža
agent generira poruku Trap i
šalje ju po portu 161
protokolni mehanizmi
SNMP agenta
agent
SNMP poruke enkapsulirane u
UDP datagrame
Protokoli za upravljanje mrežom
MIB
15/43
Format SNMP poruke
inačica
SNMP-a
zajednica
SNMP PDU

inačica – broj inačice protokola SNMP: 1, 2 ili 3

zajednica (community) – sigurnosni mehanizam

u agentu se konfiguriraju tri zajednice




read-only – default = public
read-write – default = private
trap – potrebno konfigurirati adresu odredišta kojem
agent šalje poruke Trap
u SNMPv1 i SNMPv2 NMS-u poželjno korištenje
vatrozida (firewall) ili VPN-a
Protokoli za upravljanje mrežom
16/43
SNMP PDU
a)
PDU type
request-id
0
0
b)
PDU type
request-id
error-status error-index
c)
PDU type
enterprise
agent-addr
generictrap
d)
name1
value1
name2
value2
variablebindings
variablebindings
specifictrap
....
time-stamp
variablebindings
nameN
valueN

a) GetRequest, GetNextRequest i SetRequest

b) GetResponse

c) Trap

d) povezivanja varijabli (variablebindings)
Protokoli za upravljanje mrežom
17/43
Formalni jezik ASN.1

zahtjev na komunikaciju između opreme
različitih proizvođača

1. upravljani objekti moraju biti definirani na
standardni način i neovisno o proizvođaču


2. neophodan standardni način za kodiranje
vrijednosti objekata i njihov prijenos mrežom


standardni programski jezici (C, Pascal) zadovoljavaju ovaj
zahtjev
izvor mogućih problema u komunikaciji krajnjih sustava
rješenje: Abstract Syntax Notation One (ASN.1)


jezik: ITU-T X.208 i ISO 8824
pravila kodiranja: ISO 8825
Protokoli za upravljanje mrežom
18/43
Obilježja jezika ASN.1

ASN.1 – jezik za deklaraciju podataka

definira apstraktnu sintaksu aplikacijskih podataka




omogućava definiciju primitivnih objekata i njihovo
kombiniranje u složenije objekte
koristi se u definiciji strukture PDU-a
koristi se u definiciji MIB-ova (SNMP i OSI)
pojmovi relevantni za ASN.1





apstraktna sintaksa – opisuje generičku strukturu
podataka
tip podataka – jednostavan ili strukturirani
kodiranje – slijed okteta koji predstavljaju podatke
pravila kodiranja – preslik jedne u drugu sintaksu
sintaksa transfera – slijed bita
Protokoli za upravljanje mrežom
19/43
Apstraktna sintaksa i sintaksa transfera
lokalno spremište
podataka (npr. MIB)
lokalno
preslikavanje
Protokoli za upravljanje mrežom
korisnik
korisnik
korisnički
prikaz
korisnički
prikaz
aplikacijska
komponenta
apstraktna
sintaksa
aplikacijska
komponenta
pravila
kodiranja
pravila
kodiranja
komponenta za
transfer podataka
(npr. TCP ili OSI
sesija)
komponenta za
transfer podataka
(npr. TCP ili OSI
sesija)
sintaksa
transfera
lokalno spremište
podataka (npr. MIB)
lokalno
preslikavanje
20/43
ASN.1 tipovi podataka u SNMP okolini

osnovni tipovi podataka

INTEGER – kod 2


BIT STRING – kod 3


place holder
OBJECT IDENTIFIER – kod 6


slijed koji sadrži 0 ili više okteta bez predznaka (unsigned)
NULL – kod 5


slijed koji sadrži 0 ili više bita
OCTET STRING – kod 4


cijeli broj proizvoljne duljine
oficijelno definiran tip podataka
primjer deklaracije i inicijalizacije varijable count:

count INTEGER ::= 100
Protokoli za upravljanje mrežom
21/43
ASN.1 stablo objekata
Root-Node
ccitt(0)
iso(1)
joint(2)
ASN.1 definicija podstabla internet i njegovih podstabala
org(3)
internet OBJECT IDENTIFIER ::= { iso (1) org(3) dod(6) 1 }
directory OBJECT IDENTIFIER ::= { internet 1 }
mgmt
dod(6)
OBJECT IDENTIFIER ::= { internet 2 }
experimental OBJECT IDENTIFIER ::= { internet 3 }
internet(1)
private OBJECT IDENTIFER ::= { internet 4 }
directory(1)

Protokoli za upravljanje mrežom
mgmt(2)
experimental(3)
private(4)
ASN.1 stablo s imenima objekata
22/43
BER – ASN.1 sintaksa transfera
bit
1
2
tip
oznake
00 Universal
01 Application
10 Context specific
11 Private

4
5
6
7
8
broj oznake
0 Primitive type
1 Constructed Type
identifikator - prvi oktet podatka poslanog ASN.1
sintaksom transfera
Integer 49
0 0 0 0 0 0 1 0
oznaka

3
duljina
0 0 0 0 0 0 0 1
vrijednost
0 0 1 1 0 0 0 1
broj oznake
primjer kodiranja vrijednosti ASN.1 sintaksom
transfera
Protokoli za upravljanje mrežom
23/43
BER – format kodiranja za ASN.1 podatke
općeniti
format
BERkodiranj e
SNMPporuke
oznaka
duljina
oznaka SNMPporuke
SNMP
poruka

vrijednost
duljina SNMPporuke
inačica
vrijednostSNMPporuke
zajednica
SNMPPDU
BER TLV

oznaka (tag)



tip ASN.1 podataka, klasa kojoj podatkovni tip pripada i
jedan bit koji označava da li je tip jednostavan ili složen
duljina (length) – broj okteta u polju vrijednost
vrijednost (value) – strukturirano polje
Protokoli za upravljanje mrežom
24/43
Standard SMI

SMI – Structure of Management Information


SMIv1 (RFC 1155), SMIv2 (RFC 2578)
SMI određuje
vrste podataka u MIB-u
 način prikaza i imenovanja resursa u MIB-u



cilj: omogućiti jednostavnost i proširivost MIB-a
MIB može sadržavati samo jednostavne tipove
podataka



skalari i dvodimenzionalna skalarna polja
SMI ne podržava složene strukture podataka
definicija upravljanog objekta sadrži tri atributa

OID, tip i sintaksa, kodiranje (Basic Encoding Rules – BER )
Protokoli za upravljanje mrežom
25/43
SNMP varijable

primjer SNMP varijable
lostPackets OBJECT TYPE
SYNTAX Counter32
-- use a 32-bit counter
MAX-ACCESS read-only -- the management station may not
change it
STATUS current
-- this variable is not obsolete (yet)
DESCRIPTION
“The number of packets lost since the last boot”
::= {experimental 20}

OBJECT TYPE


makro koji imenuje varijablu i
definira njena svojstva
Protokoli za upravljanje mrežom
26/43
Baza upravljačkih informacija – MIB

sadrži definiciju objekata upravljanih SNMP-om


MIB-I - RFC 1156 “Management Information Base
for Network Management of TCP/IP-based internets”
MIB-II


system (1)
RFC 1213 “Management Information Base for
Network Management of TCP/IP-based internets:
MIB-II”
u SMI stablu ispod čvora mib-2 (1.3.6.1.2.1) nalazi
se deset čvorova koji odgovaraju skupinama
objekata
mib-2 (1)
interfaces (2)
at (3)
Protokoli za upravljanje mrežom
ip (4)
icmp (5)
tcp (6)
udp (7)
egp (8)
transmission (10)
snmp (11)
27/43
Operacija get
NMS šalje zahtjev GetRequest
NMA
agent
usmjerivač
agent odgovara slanjem poruke GetResponse
upravljač

SNMP PDU u poruci GetResponse sadrži par ili
parove (OID, vrijednost) – povezivanja varijabli;

paket Net-SNMP (http://net-snmp.sourceforge.net)

primjer naredbe za operaciju SNMP get:
$ snmpget router1.tel.fer.hr public
.1.3.6.1.2.1.1.6.0
system.sysLocation.0 = “”
Protokoli za upravljanje mrežom
28/43
Operacija get-next

agent može vratiti samo vrijednost jedne
instance


ne može vratiti vrijednosti podstabla ili tablice
GetNextRequest – vraćanje sljedeće instance
$ snmpwalk switch1.tel.fer.hr public system
system.sysDescr.0 = “Summit switch ... “
system.sysObjectID.0 = OID: enterprises.9.1.19
system.sysUpTime.0 = TimeTicks: (27210723) 3 days, 3:35:07.23
system.sysContact.0 = “”
system.sysName.0 = “switch1.tel.fer.hr”
system.sysLocation.0 = “”
system.sysServices.0 = 6
Protokoli za upravljanje mrežom
29/43
Operacija get-bulk
GetBulkRequest PDU

request-id
nonrepeaters
maxrepetitions
variablebindings
get može pokušati dohvatiti više od jednog
objekta



PDU type
duljina SNMP poruke ograničena
ako agent ne može vratiti vrijednosti svih objekata,
šalje poruku o pogrešci koja ne sadrži tražene
podatke
get-bulk (SNMPv2) govori agentu da pošalje
onoliko vrijednosti koliko mu duljina poruke
dozvoljava

agent može poslati i nepotpuni odgovor
$ snmpbulkget –v2c –B 1 3 switch1.tel.fer.hr public sysDescr ifInOctets
ifOutOctets
Protokoli za upravljanje mrežom
30/43
Operacija set
NMS šalje zahtjev SetRequest
NMA
agent
usmjerivač
agent odgovara slanjem GetResponse
upravljač

agent vraća GetResponse PDU koji sadrži
kod pogreške

ako je status pogreške u PDU-u 0, nema
pogreške;
$ snmpset switch1.tel.fer.hr private system.sysLocation.0 s
“FER, Zagreb”
system.sysLocation.0 = “FER, Zagreb”

jednom naredbom moguće postaviti
vrijednosti većeg broja objekata
Protokoli za upravljanje mrežom
31/43
SNMP trap
NMA
agent šalje Trap PDU
agent
usmjerivač
upravljač

agent generira trap

NMA ne šalje agentu potvrdu o prijemu trapa

trap-directed polling


rješenje za sustave s velikim brojem agenata
za sustave u kojima agenti održavaju veliki broj
objekata
Protokoli za upravljanje mrežom
32/43
Razlike SNMPv1 – SNMPv2

SNMPv2 definira drugačiji format Trap PDU-a


format identičan set i get PDU-u
SNMPv2 definira operaciju inform


omogućava komunikaciju između upravljača
važno za NMS-ove s više od jednog upravljača
SNMPv2-Trap PDU i
InformRequest PDU


PDU type
request-id
0
0
variablebindings
SNMPv2 definira operaciju get-bulk
GetRequest, GetNextRequest i SetRequest PDU


isti format u obje inačice
SNMPv2 Response PDU = SNMPv1 GetResponse PDU
Protokoli za upravljanje mrežom
33/43
SNMPv3

SNMPv3 entitet (RFC 2271)

upravljač i agent zamijenjeni entitetom
SNMP entitet
SNMP pogon
dispečerski
podsustav
podsustav za
obradu poruka
sigurnosni
podsustav
podsustav za
upravljanje pristupom
SNMP aplikacije
generator naredbi
prijemnik obavijesti
Proxy Forwarder
generator odgovora
generator obavijesti
ostale aplikacije
Protokoli za upravljanje mrežom
34/43
SNMPv3 PDU
RFC 2272

ASN.1 definicija
formata poruke
RFC 2274

User-Based Security
Model (USM)
autentikacija
 pravovremenost
 privatnost
 format poruke
 otkrivanje pogona
 upravljanje
sigurnosnim
ključevima

Protokoli za upravljanje mrežom
msgID
msgMaxSize
msgFlags
msgGlobalData =
HeaderData
msgSecurityModel
msgSecurityParameters
definirano
modelom
sigurnosti
contextEngineID
dio koji podliježe enkripciji

msgVersion
dio koji podliježe autentikaciji

contextName
msgData = ScopePDU
(čitljivi ili enkriptirani tekst)
PDU
35/43
VACM – View-Based Access Control Model

obilježja VACM-a (RFC 2275)



elementi VACM-a


određuje da li je udaljenom (remote) korisniku
dozvoljen pristup objektima lokalnog MIB-a
određuje način korištenja MIB-a (VACM MIB)
koji definira pristupnu politiku dotičnog agenta
skupine, razina sigurnosti, konteksti, pogledi na
MIB-ove i pristupna politika
motivi za uvođenje koncepta VACM-a


razjasniti odnose u pristupu upravljačkoj
informaciji, i
minimizirati resurse potrebne za obradu i
pohranu informacija u agentu
Protokoli za upravljanje mrežom
36/43
RMON – Remote Monitoring

RMON – nadzor na udaljenoj lokaciji



mogućnosti RMON-a






dodatak osnovnom skupu SNMP standarda (SMI,
MIB, SNMP)
RMONv1 (RFC 2819) i RMONv2 (RFC 2021)
monitor prikuplja podatke i kad nije prozivan od NMA
monitor može obavijestiti upravljačku stanicu
detektiranje problema i obavještavanje
analiza prometa
monitor može surađivati s više upravljačkih stanica
RMON probe = RMON sonda (agent)

sustav u kojem je implementiran RMON MIB
Protokoli za upravljanje mrežom
37/43
Tijek RMON procesa
gornji
prag
vrijednost
X
donji
MIB
prag
RMON Alarm 1
RMON Event 1
RMON Alarm 2
RMON Event 2
RMON Alarm 3
RMON Event 3
SNMP Trap
Log
RMON Alarm 4
upravljačka stanica

interakcija upravljačke stanice i RMON-a
NMA
eksterno prozivanje
pomoću operacije get
SNMP trap
SNMP
agent
interno prozivanje
pomoću RMON-a
IOS
RMON
sonda
usmjerivač
Protokoli za upravljanje mrežom
38/43
Konfiguriranje RMON-a

sintaksa Cisco IOS naredbe RMON event
rmon event number [log] [trap community] [description string]
[owner string]

primjer
#rmon event 1 log trap public description “High ifInOctets”
owner alen
#rmon event 2 log description “Low IfInOctets” owner alen

datoteku izvješća je moguće pogledati sljedećom naredbom:
#show rmon event (isto vrijedi i za alarme: #show rmon
alarm)
Protokoli za upravljanje mrežom
39/43
CISCO IOS RMON

sintaksa Cisco IOS naredbe RMON alarm
#rmon alarm number variable interval {delta | absolute}
rising threshold value [event-number]
falling threshold value [event-number]
[owner string]

primjer
#rmon alarm 25 ifEntry.10.2 60 absolute \
rising-threshold 90000 1 falling-threshold 85000 2
owner alen
Protokoli za upravljanje mrežom
40/43
SNMP agent zastupnik
agent zastupnik
upravljačka
stanica
upravljački proces
upravljački proces
SNMP
SNMP
UDP
UDP
IP
IP
protokoli ovisni o
vrsti mreže
protokoli ovisni o
vrsti mreže
mreža

zastupani uređaj
funkcija preslikavanja
upravljački proces
protokolna
arhitektura ovisna o
zastupanom
uređaju
protokolna
arhitektura ovisna o
zastupanom
uređaju
protokoli ovisni o
vrsti mreže
protokoli ovisni o
vrsti mreže
mreža
primjer primjene agenta zastupnika (proxy
agent)

pretvorba između protokola SNMPv3 i SNMPv1
Protokoli za upravljanje mrežom
41/43
Web-based NMS i AgentX
upravljačka stanica
NMS
NMA koja koristi
web preglednik
SNMPv1/SNMPv2/SNMPv3
HTTP
glavni agent
protokol AgentX
HTTP
CGI
upravljačka
aplikacija
podagent
MIB
podagent
MIB
podagent
MIB
SNMP
upravljani uređaj


web-based NMS

http://www.dmtf.org/w
bem/
Protokoli za upravljanje mrežom
arhitektura AgentX

http://www.scguild.com/age
ntx/
42/43
Softverski alati za upravljanje mrežom

kategorije softvera za upravljanje mrežom

SNMP agenti – Windows 2000 SNMP agent


EM (Element Manager)


mogućnost automatskog kreiranja mrežne mape
analiza trendova – MRTG


namijenjen upravljanju opreme isključivo jednog
proizvođača ili obavljanju samo nekih upravljačkih funkcija
NMA – HP OpenView NNM (Network Node Manager)


proširivi agenti (extensible agents) – Net-SNMP
generira grafove u formatu GIF i ugrađuje ih u HTML
stranice
softver za podršku – Perl, Net-SNMP, SNMP++ i dr.
Protokoli za upravljanje mrežom
43/43