Simple Network Management Protocol

Transkript

1 Simple Network Management Protocol Simple heißt nicht: Sondern: Deshalb: einfach, mit wenig Möglichkeiten einfach strukturiert - leicht auf verschiedenen Plattformen implementierbar - auch auf preiswerten Netzkomponenten mit geringer Rechenleistung einsetzbar SNMP wurde 1990 zum offiziellen Standard in den 3 Dokumenten: RFC 1155 (Structure of Management Information) SMI RFC 1156 (Management Information Base) MIB-I RFC 1157 (Simple Network Management Protocol) SNMP Ein Jahr später wurde der Standard ergänzt durch: RFC 1213 (Management Information Base V.2) MIB-II Die MIB-II löst die MIB-I vollständig ab und ist weiterhin aktuell. RFC = Request For Comment, vorläufige Internet Spezifikation mit der Bitte um Kommentierung und Ergänzung, später in vielen Fällen zur Norm oder Standard erhoben. SNMP ist mehr als ein Protokoll SNMP ist ein Management System mit folgenden Komponenten: Agent, in einer Netzkomponente - stellt Informationen für den Manager bereit. - wirkt auf die Netzkomponente ein. Manager, ein Programm in einer Managementstation - ruft Informationen von den Agenten ab und stellt sie übersichtlich dar. - empfängt spontane Ereignisse (Traps) von den Agenten. - wirkt über die Agenten auf die Netzkomponenten ein. Managementprotokoll, SNMP - zum Informationsaustausch zwischen Manager und Agent. Management Information Base, MIB-II - beschreibt die Daten, die der Manager beim Agent abfragen und ändern kann.

2 SNMP Kommunikation Die Kommunikation zwischen Agent und Manager wird durch 5 einfache Funktionen vollständig ermöglicht: get Request - Auftrag zur Abfrage einer MIB Instanz get NextRequest - zur einfacheren Abfrage von Listen get Response - Antwort des Agenten set Request - Auftrag zum Setzen einer MIB Instanz Trap - spontanes Ereignis vom Agent zum Manager Manager MIB abfragen MIB setzen spontanes Ereignis get Request get Response set Request get Response Trap Agent z.b. Anzahl der gesendeten Pakete ermitteln. z.b. Port einer Brücke Sperren. z.b. Konfigurationsänderung der Netzkomponente SNMP Frames Die Nachrichten zwischen Agent und Manager, welche jeweils alle für die Funktion notwendigen Parameter enthalten nennt man: Protocol Data Unit (PDU) Für einen bestimmten Managementprozess werden durch den Management Dienst (service) die aufgerufenen Funktionen in eine Folge von PDUs umgesetzt. Der Management Dienst erkennt ausgebliebene Responses und führt Wiederholungen durch und er hat Zugriff auf die unterlagerte Kommunikationsschicht z.b. UDP. Ein SNMP Frame würde dann so aussehen: Ethernet IP UDP SNMP PDU ECC SNMP Sicherheit Übertragungssicherheit Die SNMP Nachrichten werden vorzugsweise über ein verbindungsloses Protokoll gesendet (z.b. UDP). Grund: Vermeidung höherer Netzbelastung durch verbindungsorientierte Protokolle (z.b. TCP/IP). Ausgebliebene Responses werden durch den Management Dienst mit Wiederholungen der Requests ausgeglichen. Zugriffssicherheit Bestandteil jeder PDU ist die Community, eine Netzbereichskennung welche dem Agent bekannt sein muß. Jeder Agent kennt verschiedene Communities mit unterschiedlichen Zugriffsrechten (Read only, R/W). Der Agent überprüft Community und IP-Adresse des Managers! Diese Zugriffssicherheit erschien einigen jedoch noch nicht sicher genug. Deshalb wurde SNMPv2 entwickelt, mit weitaus komplexeren Zugriffs- Strukturen. Aufgrund dieser Komplexität konnte sich SNMPv2 bis heute jedoch noch nicht durchsetzen.

3 SNMP Strukturen Damit SNMP auf verschiedenen Plattformen implementiert und in unterschiedlichen Programmiersprachen realisiert werden kann, wurde eine formale Datenbeschreibungsprache gewählt: ASN.1 (Abstract Syntax Notation Dot One) Dabei wird für SNMP jedoch nur eine Teilmenge benötigt. ASN.1 wird sowohl für die Formate der PDUs, als auch für den Aufbau der Management Information Base MIB verwendet. Der Aufbau der Management Information Base ist streng objektorientiert. Jede ansprechbare Variable ist eine Objektinstanz mit übergeordneten Klassen samt zugehöriger Vererbung. Die gesamte MIB ist als abstrakte Baumstruktur angelegt. Die Verzweigungspunkte sind die Objektklassen, die Blätter der MIB sind die generischen Objektklassen. Die Instanzierung erfolgt z.b. durch Angabe des Ports oder der spezifischen Adresse. Aufbau der MIB Das SNMP Protokoll arbeitet ausschließlich mit Objektinstanzen und benötigt deshalb ein Schema ihrer eindeutigen Benennung. Der Name eines Objekts (auch Objekt-Identifier = O-ID) wird durch die Position der Objekttyp-Beschreibung in einem Registrierungsbaum festgelegt. Dabei kann entweder eine kurze genormte textliche Beschreibung oder auch ein entsprechender Zahlenwert verwendet werden. An der Wurzel des Baumes sind 3 Möglichkeiten festgelegt: 0 = CCITT Objekte 1 = ISO Objekte 2 = gemeinsame ISO/CCITT Objekte Für SNMP werden nur zwei Äste der Baumstruktur verwendet: = MIB-II - muß immer vorhanden sein = Enterprises - herstellerspezifische Objekte Baumstruktur der MIB root 3 - ISO/CCITT Objekte 2 - CCITT Objekte 1 - ISO Objekte 0 - standard 1 - registration-authority 2 - member-body 3 - org Objekte anderer internationaler Organisationen 1 - n.n : 6 - dod Objekte des Department of Defense 1 - internet Objekte im Internet 1 - directory 2 - mgmt Objekte des IAB Internet Architection Board 1 - mib-2 MIB-II 3 - experimental 4 - private 1 - enterprises Objekte privater Unternehmen 1 - Proteon : Hirschmann

4 Beispiel 1 (aus dem MIB-II Ast) dot1dtpagingtime = Aging-Zeit in Sekunden, bei dem die gelernten Adressen aus der Filtertabelle entfernt werden. dot1d-gruppe = Brückenspezifische Objekte Tp-Gruppe = Transparente Vermittlung Instanz AgingTime Tp = Transparente Vermittlung dot1d = Brückenspezifische Objekte MIB-2 = MIB-II Objekte mgmt = Management Objekte internet = Internet Objekte dod = Department of Defense org = Objekte anderer Organisationen iso = Objekte der ISO Beispiel 2 (aus dem Enterprise Ast) hirmabasbridgesoftversion = Version der Brücken Firmware Hirma-Gruppe = Enterprise Hirschmann Bas-Gruppe = Grundkonfiguration Bridge-Gruppe = Brücke Instanz SoftwareVersion bas = Basis Capabilities bridgemnmt = Brückenmanagement bridge1 = Brücke 1 bridge = Brücke hirma = Hirschmann enterprise = Hersteller spezifisch private = nicht genormt internet = Internet Objekte dod = Department of Defense org = Obj. anderer Organisationen iso = Objekte der ISO Proxy-Agenten Die bisher angesprochenen Agenten sind immer Bestandteil einer Netzkomponente (Brücke, Interfacekarte usw.). Nun gibt es aber auch Netzkomponenten, welche keinen eigenen Agenten besitzen, z.b. ein Modem. In diesem Fall kann in dem entsprechenden Netzteilnehmer (WS, PC) ein Proxy-Agent installiert werden, der Statusleitungen und Statusregister des Modems in eine vom Manager lesbare MIB umsetzt. Eine besondere Art von Proxy-Agent ist der RMON (Remote Monitor). Der RMON übernimmt zwei Aufgaben: - er lauscht am Netzwerk ähnlich einem Netzanalyser. - er übersetzt die ermittelten Daten in eine MIB Nur der RMON kann netzspezifische Daten wie Netzauslastung und Anzahl der Kollisionen für das Netz (nicht das Interface) ermitteln. Standard-Agenten können dies nicht! Der RMON gewinnt deshalb zunehmend an Bedeutung.

5 RMON - überwacht das Netz und nicht nur die Schnittstelle aus Sicht des Netzteilnehmers - arbeitet auf den ISO/OSI Ebenen 1 und 2 und kann dadurch z.b. Kollisionen, defekte Datenpakete und die Netzlast (Utilization) erkennen - ist in der Lage Historien abzuspeichern, die zu einem späteren Zeitpunkt verarbeitet werden können - agiert als Server, sendet selbstständig und zyklisch RMON-Daten an die zentrale Managementkonsole - ist als Softwarelösung in einem Netzteilnehmer integriert oder kann als eigenständige Hardware an das zu überwachende Netz angeschlossen werden (RMON Probe) - RMONv2 arbeitet zusätzlich auf den höheren OSI-Schichten und kann dadurch Protokolle und Client/Server Beziehungen analysieren RMON in geswitchten Netzen Zur Überwachung jedes Netz-Teilsegments müsste an jedem Port des Switches ein eigener RMON-Agent bzw. eine eigene RMON-Probe installiert werden. Einige Hersteller haben deshalb in ihren Switches ein sogenanntes Port-Mirroring implementiert. Durch einen Befehl im Managementsystem werden alle an einem zu überpüfenden Port übermittelten Datenpakete auf einen Analyse-Port gespiegelt, an dem die RMON-Probe angeschlossen ist. Nachteil: Zusätzliche Belastung des Backbones. Um diesen Nachteil zu umgehen, werden die zu spiegelnden Daten direkt am zentralen Chip des Switches abgegriffen (RMON Hardware im Chip integriert). Dieses Verfahren nennt man SMON. (Switch Monitoring) Zur Zeit arbeitet man an der Standardisierung von SMONv2, der dann auch die Bereiche VLAN und QoS (Quality of Service) abdeckt. Desktop Management Interface DMI ist aus Betriebssystem- und Protokollunabhängigen Programm-Interfaces (APIs) aufgebaut, welche es ermöglichen, alle Hard- und Sofwarekomponenten eines PCs zu erfassen. -Uhrzeit - Prozessor - Motherboard -Bios-Version - RAM Speicher - Festplatte - Grafikkarten - installierte Software -usw. Vorgesehen ist auch, daß die Managementanwendungen über DMI die einzelnen Komponenten direkt ansteuern können, um Wartungsarbeiten oder Korrekturen durchzuführen.

6 DMI Software Layer - SP Service provider Dieser Layer sammelt alle Informationen über die einzelnen Komponenten. Er verwaltet sie in der MIF-Datenbank (Management Information Format). Damit der Service Layer überhaupt eine Komponente bearbeiten kann, muß der Hersteller ein entsprechendes ASCII basiertes MIF-File mitliefern. Darin sind Angaben darüber enthalten, welche Parameter abgefragt und unter Umständen auch neu gesetzt werden können. - MI Management Interface Dieser Layer sorgt für die Kommunikation zwischen Service Layer und Management-Anwendung. - CI Component Interface Dieser Layer ist die Schnittstelle zwischen Service Layer und den einzelnen Hard- und Software-Modulen. DMI in der Praxis - DMI wird von der DMTF (Desktop Management Task Force) betreut, in der alle namhaften PC Hersteller vertreten sind. - Aktuell ist die Version DMI DMI wird von allen PC Herstellern unterstützt und bei neueren Systemen automatisch mitgeliefert. - Der Hersteller DELL liefert mit seinen Programmen OpenManage Client und OpenManage Client Administrator ein komplettes DMI System. - Eine Weiterführung des DMI Konzepts treibt momentan INTEL voran, mit WfM (Wired for Management), mit dem sich wesentlich erweiterte Möglichkeiten für die Managebarkeit von PCs ergeben.