Протокол SNMP – что это такое и как использовать для мониторинга

SNMP (англ. Simple Network Management Protocol — простой протокол сетевого управления) — стандартный интернет-протокол для управления устройствами в IP-сетях на основе архитектур TCP/UDP. К поддерживающим SNMP устройствам относятся маршрутизаторы, коммутаторы, серверы, рабочие станции, принтеры, модемные стойки и другие. Протокол обычно используется в системах сетевого управления для контроля подключённых к сети устройств на предмет условий, которые требуют внимания администратора. SNMP определён Инженерным советом интернета (IETF) как компонент TCP/IP. Он состоит из набора стандартов для сетевого управления, включая протокол прикладного уровня, схему баз данных и набор объектов данных.

Обзор и основные понятия

Principle of SNMP Communication

При использовании SNMP один или более административных компьютеров (где функционируют программные средства, называемые менеджерами) выполняют отслеживание или управление группой хостов или устройств в компьютерной сети. На каждой управляемой системе есть постоянно запущенная программа, называемая агент, которая через SNMP передаёт информацию менеджеру.

Управляемые протоколом SNMP сети состоят из трех ключевых компонентов:

• Управляемое устройство;
• Агент — программное обеспечение, запускаемое на управляемом устройстве, либо на устройстве, подключенном к интерфейсу управления управляемого устройства;
• Система сетевого управления (Network Management System, NMS) — программное обеспечение, взаимодействующее с менеджерами для поддержки комплексной структуры данных, отражающей состояние сети.

Управляемое устройство — элемент сети (оборудование или программное средство), реализующий интерфейс управления (не обязательно SNMP), который разрешает однонаправленный (только для чтения) или двунаправленный доступ к конкретной информации об элементе. Управляемые устройства обмениваются этой информацией с менеджером. Управляемые устройства могут относиться к любому виду устройств: маршрутизаторы, серверы доступа, коммутаторы, мосты, концентраторы, IP-телефоны, IP-видеокамеры, компьютеры-хосты, принтеры и т. п.

Агентом называется программный модуль сетевого управления, располагающийся на управляемом устройстве, либо на устройстве, подключенном к интерфейсу управления управляемого устройства. Агент обладает локальным знанием управляющей информации и переводит эту информацию в специфичную для SNMP форму или из неё (медиация данных).

В состав Системы сетевого управления (NMS) входит приложение, отслеживающее и контролирующее управляемые устройства. NMS обеспечивают основную часть обработки данных, необходимых для сетевого управления. В любой управляемой сети может быть одна и более NMS.

Вступление

Данная статья посвящена протоколу SNMP (Simple Network Management Protocol) — одному из протоколов модели OSI, который практически не был затронут в документации просторов RU-нета. Автор попытался заполнить этот вакуум, предоставив читателю почву для размышлений и самосовершенствования, касательно этого, возможно нового для Вас, вопроса. Этот документ не претендует на звание «документации для разработчика», а просто отражает желание автора, насколько это возможно, осветить аспекты работы с данным протоколом, показать его слабые места, уязвимости в системе «security», цели преследованные создателями и объяснить его предназначение.

Предназначение

Протокол SNMP был разработан с целью проверки функционирования сетевых маршрутизаторов и мостов. Впоследствии сфера действия протокола охватила и другие сетевые устройства, такие как хабы, шлюзы, терминальные сервера, LAN Manager сервера , машины под управлением Windows NT и т.д. Кроме того, протокол допускает возможность внесения изменений в функционирование указанных устройств.

База данных

Роль хранилища служебных данных выполняет база управляющей информации MIB (Management Information Base).

Ввиду того, что адреса устройств в цифровом виде очень сложны для запоминания человеком, к ним применяются MIB, описывающие структуру управляемой информации и использующие иерархию пространства имён.

Они также содержат идентификаторы объектов сети, состоящие из двух компонентов:

• текстовое наименование;
• соответствующий ему цифровой адрес.

 Данные управляющей базы не являются неотъемлемым звеном сетей, построенных на основании SNMP протокола, их задача второстепенная – перевод имён объектов из понимаемого человеком формата в цифровой, соответствующий стандарту SNMP. Аналог – DNS серверы, осуществляющие перевод IP в понимаемые людьми адреса сайтов. 

Ввиду несовпадения структуры элементов на разных девайсах, без MIB нереально определить цифровые адреса требуемых объектов.

Иерархическая структура БД управляющей информации обязательно содержит разветвления, каждое из коих может также разветвляться.

Они позволяют разработчику интеллектуальных девайсов управлять уникальными функциями оборудования на основании специфических объектов MIB.

Структура

Ныне существует ряд стандартов базы данных для SNMP: MIB-I, MIB-II, MIB-III и RMON MIB.

Также разработано несколько специфичных стандартов для конкретных девайсов (модемов, концентраторов), существуют и версии протокола некоторых производителей сетевого оборудования.

 В первой версии спецификация MIB характеризовалась только операциями чтения, запись и редактирование появились во второй редакции, а шифрование – в третьей. 

MIB-I определяется 114 объектами, разгруппированными на следующие

• Interfaces – конфигурация сетевых устройств (их число, предельный объем пакета);
• System – общая информация о девайсе (ID);
• ICMP – информация, касающаяся протокола передачи управляющих сигналов ICPM;
• Internet Protocol – информация, которая относится к IP;
• Address Translation Table – таблица соответствий между физическими и сетевыми адресами;
• TCP – сведения о TCP;
• UPD – информация про UDP;
• EGP – данные о протоколе Exterior Gateway Protocol, который отвечает за обмен маршрутными сведениями.

Рис. 3 – Схема функционирования

В MIB-II появилась пара групп, а число объектов заметно возросло – до 186 штук:

• SysUpTime – продолжительность функционирования системы со времени включения;
• SysObjectID – идентификатор оборудования.

вернуться к меню

Защищённость

Пакеты SNMP двух первых версий легко перехватить ввиду отсутствия криптографии, в третьей версии появилась защита посредством шифрования, однако пароль легко подбирается с помощью брута (грубого перебора) и атак по словарю.

Ввиду использования протокола с UDP, он подвержен к атакам с заменой физического адреса.

Защититься от этого можно путём создания списка доверенных устройств.

RMON MIB

В модификации управляющей базы данных появилась функция удалённой работы с БД в отличие от предыдущих версий MIB, где поддерживалось только локальное управление.

Объекты включают в себя счётчики ошибок в каждом из пакетов, гибкие инструменты для статистики, средства фильтрации и захвата сетевых пакетов для анализа, систему сигналов предупреждения.

Агенты RMON выполнены в виде отдельных модулей приложения, обладают более продвинутым интеллектом и способны выполнять часть работы, которая раньше ложилась на менеджеров.

вернуться к меню

Вопросы реализации

Реализации SNMP варьируются среди поставщиков платформ. В отдельных случаях SNMP не считается достаточно серьёзным для элемента основной разработки и потому является просто дополнительной функцией. Некоторые крупные поставщики оборудования имеют склонность к чрезмерному расширению своих собственных интерфейсов командной строки (command line interface, CLI) и систем контроля.

Простая на вид структура дерева и линейная индексация в SNMP не всегда достаточно хорошо понимаются в пределах внутренних структур данных, которые являются элементами базовой конструкции платформы. Следовательно, обработка SNMP-запросов на определённых наборах данных может привести к большей, чем необходимо, нагрузке на процессор. Одним из примеров этой проблемы являются большие таблицы маршрутизации, такие как BGP и IGP.

Ресурсная индексация

Модульные устройства могут динамически увеличивать или уменьшать свои SNMP-индексы (также называемые случаями) при добавлении или удалении оборудования. Это чаще всего используется с аппаратными средствами, хотя виртуальные интерфейсы имеют тот же эффект. Значения индекса, как правило, назначаются во время загрузки и остаются неизменными до следующей перезагрузки. Индексы оборудования или виртуальных сущностей, добавленных при «живом» устройстве, могут назначаться под конец существующего диапазона и, возможно, переназначаться при следующей перезагрузке.

Выводы

Рассмотренный сетевой стандарт обладает рядом особенностей и преимуществ в реализации и процессе управления объектами:

Позитив:

• простота и дешевизна;
• быстрота и удобство в работе;
• ограниченное число одновременно передаваемых по такой сети сигналов;
• поддерживается всем сетевым оборудованием, в том числе старым.

Негатив:

• нет средств для взаимной аутентификации менеджера и агента;
• работа посредством ненадёжного стандарта UDP часто заканчивается потерей аварийных сообщений, идущих от агентов к менеджерам.

Поделитесь в соц.сетях:

Оцените статью: (Пока оценок нет) Загрузка...