Die Verwaltung von Netzwerken ist ohne das

Transkript

1 Simple Network Management Protocol () Netzwerke überwachen und verwalten spielt eine zentrale Rolle bei der Administrierung von Netzwerken. Die Verwaltung von Netzwerken ist ohne das Simple Network Management Protocol nicht mehr denkbar. Bereits in kleineren Netzwerken mit einigen Dutzend Desktops, mehreren Druckern und Switches sowie File- und Backup-Servern greift der zuständige Admin in der Regel auf Managementanwendungen zurück. Sie versorgen den Verantwortlichen mit den wichtigsten Statusinformationen aller Hosts im Netzwerk, melden Fehlfunktionen, erlauben Anpassungen in den Einstellungen bestimmter Hosts und ermöglichen die Ausführung von Aktionen. Ohne ein entsprechendes Managementsystem steigt das Risiko signifikant, dass beispielsweise Hardware-Ausfälle oder Fehlfunktionen einzelner Hosts zu spät erkannt werden. Die Aufgaben von ermöglicht es, beliebige Netzwerk-Hosts wie Arbeitsplatzrechner, Server, Router, Switches, Bridges oder Access-Points von zentraler Stelle aus zu verwalten. Voraussetzung ist, dass die zu verwaltenden Netzwerkkomponenten unterstützen und der entsprechende Dienst auch aktiviert ist (Bild A). Dabei kann das Simple Network Management Protocol eine Reihe verschiedener Aufgaben und Funktionen übernehmen, die sich in zwei Hauptbereiche gliedern lassen: Netzwerk- und Systemmanagement. Netzwerk-Management Beim Netzwerkmanagement geht es in erster Linie um die Anbindung und Kommunikation der Hosts im Netzwerk. Eine zentrale Rolle spielt dabei die regelmäßige Abfrage und Überwachung der Netzwerkleistung. Die Geschwindigkeit der Vorgänge im Netz bis hin zu einzelnen Datenübertragungen muss für den Administrator nachvollziehbar und überwachbar sein: Wie ist die aktuelle oder durchschnittliche Übertragungsrate an einem bestimmten Switch? Ist der Schulungsserver online? Mit Hilfe von kann der Administrator diese Informationen abfragen und auswerten zum Beispiel über einfache Skripte oder mit Hilfe von komfortablen Management-Tools. hilft dem Administrator dabei, Netzwerkfehler zu erkennen und Netzwerkgeräte zu konfigurieren. aktivieren: Um einzusetzen, muss es auf den Netzwerkgeräten aktiviert sein (Bild A). System-Management Der zweite wichtige Aufgabenbereich von liegt darin, spezielle Ressourcen eines Hosts auszulesen und eventuell zu konfigurieren. Über das Protokoll ist es möglich, gerätespezifische Informationen abzufragen, zum Beispiel die aktuelle CPU-Leistung eines Windows-Desktops, den bereits belegten Speicher eines NAS oder den Tonerstand eines Druckers. Neben der reinen Statusinformation des jeweiligen Hosts oder dessen aktueller Leistung spielt auch hier die Fehleranalyse eine wichtige Rolle. Hierzu ein paar Beispiele: Ein Mitarbeiter im Firmennetzwerk kann nicht auf dem Drucker seiner Abteilung drucken. Der Administrator ermittelt über sein Management-Tool, dass der Drucker keine Netzwerkverbindung hat, weil zum Beispiel das Netzwerkkabel beschädigt wurde. Hierbei handelt es sich um ein typisches Problem des Netzwerkmanagements. Verschickt der Drucker über jedoch eine Mit- 90

2 Infrastruktur teilung an den Administrator, dass die Tonerkartusche bald leer ist, so fällt dieser gerätespezifische Hinweis in den Bereich Systemmanagement (Bild B). in der Praxis Die interaktive Network Map eines Netzwerk-Management- Tools wie The Dude 3.6 verdeutlicht den Unterschied zwischen Netzwerk- und Systemmanagement (kostenlos, www. mikrotik.com). Die darin aufgeführten Zahlenwerte liest The Dude 3.6 über das Protokoll aus (Bild C). Dabei zählen die aktuellen Übertragungsraten des Netzwerkadapters, die bei jedem Gerät als Rx/Tx -Werte in den grauen Kästen abgebildet sind, zum Bereich Netzwerkmanagement. Alle Werte zu gerätespezifischen Ressourcen wie CPU-Leistung, Belegung des Arbeitsspeichers oder Füllstand des internen Festplattenspeichers sind hingegen dem Systemmanagement zuzurechnen. -fähige Geräte: ist in vielen netzwerkfähigen Geräten implementiert, zum Beispiel in diesem Monochrom-Laserdrucker von Samsung (Bild B). Foto: Samsung als Arbeitsmodell Um die Funktion und die beteiligten Komponenten von zu beschreiben, verwendet man ein Arbeitsmodell. Im Fall des Management-Protokolls heißt dieses Arbeitsmodell Network Management System (NMS). Das NMS setzt sich aus verschiedenen Komponenten zusammen, die im Netzwerk miteinander kommunizieren und Informationen bereitstellen. Die Grundlage für den Datenaustausch im Network Management System bildet dabei das Protokoll, das ebenso wie die bekannteren Protokolle HTTP, FTP oder IMAP ein Teil der Anwendungsebene ist. Die Anwendungsebene stellt die oberste Schicht im vierschichtigen TCP/IP- Modell dar, das die Übertragung von Daten im Netzwerk erklärt (siehe Grafik Das Protokoll im TCP/IP-Modell auf Seite 92). Protokolle dieser vierten Schicht greifen auf eines der beiden Transportprotokolle der dritten Schicht zurück. Dabei verwenden HTTP, FTP und IMAP das Transportprotokoll TCP, das mit Kontrollmechanismen zur sicheren Datenübertragung ausgestattet ist. hingegen nutzt als Transportprotokoll das deutlich schlankere, ohne Kontrollmechanismen ausgestattete User Datagram Protocol (UDP), das vor allem zeitkritische Daten schnell durch das Netzwerk leitet. Die folgenden Abschnitte stellen die drei wichtigsten Komponenten eines solchen -basierten Network Management Systems kurz vor: den Manager, die Agenten und die Management Information Base (MIB). Der Manager Der -Manager übernimmt die zentrale Verwaltung in einem -basierten Network Management System. Der Manager läuft dabei meist als Anwendung auf einem Host, zum Beispiel in Form eines installierten Netzwerk-Management-Tools. Zugriffsberechtigt ist in der Regel der zuständige Netzwerkadministrator. Die Hauptaufgabe des Managers besteht darin, alle -Ressourcen im Netzwerk zu verwalten und zu überwachen. Abhängig vom Umfang des zu verwaltenden Netzwerks sollte der Rechner, auf dem die Manager-Software installiert ist, mit ausreichend leistungsfähiger Hardware ausgestattet sein, um die anfallenden Datenmengen möglichst zeitnah zu verarbeiten und darzustellen. in der Praxis: Die Network Map von The Dude 3.6 zeigt die Übertragungsraten und die Hardware-Auslastung im Netzwerk (Bild C). Die Agenten Das Gegenstück zum -Manager ist der -Agent. Der Agent befindet sich auf jeder zu verwaltenden Netzwerkressource und ist dort als Software oder Firmware installiert. Jede Komponente im Netzwerk, auf die der Manager über zugreifen möchte, muss mit einem solchen Agenten ausgestattet sein (siehe Grafik Funktion eines -Management-Systems auf Seite 94). Der Agent nimmt Anfragen des Managers entgegen, verarbeitet diese und schickt Antworten an den Manager zurück. Daneben ermöglicht ein Agent auch den konfigurierenden Zugriff auf einzelne Ressourcen. Zudem kann er den Manager sogar völlig eigenständig, also ohne eine zuvor erfolgte Anfrage des Managers, über bestimmte Ereignisse informieren. com! professional 9/

3 Das Protokoll im TCP/IP-Modell ist ebenso wie FTP oder IMAP ein Anwendungsprotokoll und verwendet für den Datentransport das schnelle Transportprotokoll User Datagram Protocol (UDP). Electronic Mail File Transfer Name Service Anwendungsschicht Transmission Control Protocol (TCP) User Datagram Protocol (UDP) Transportschicht Internet Protocol (IP) & Internet Control Message Protocol (ICMP) Internetschicht ATM ISDN Netzwerkschicht com! 9/14; Quelle: Ruhr-Universität Bochum Managed Objects und Object Identifiers -Abfrage: Der Network Scanner bietet eine kleine Auswahl von Managed Objects an, die sich im Rahmen eines Scans am Host auslesen lassen (Bild D). Jede einzelne Eigenschaft, die sich an einem verwalteten Gerät über dessen Agent auslesen oder konfigurieren lässt, wird als Managed Object (MO) bezeichnet. Diese Managed Objects sind somit Abbildungen der realen Netzwerk- oder Systemressourcen eines Geräts. Der Zustand der Managed Objects wird durch Attribute oder Werte definiert. Manche dieser Attribute ändern sich ständig, zum Beispiel das Managed Object, das die aktuelle CPU-Auslastung abbildet. Das MO für die Gerätebezeichnung des Hosts bleibt unverändert. Damit sich jedes Managed Object eindeutig identifizieren lässt, haben alle MOs einen eindeutigen Namen, den Object Identifier (OID). Die eindeutige Bezeichnung für jeden OID ist für die Organisation und Struktur der Management Information Base wichtig. Management Information Base In der Management Information Base (MIB) werden alle Informationen einer Netzwerkressource, die Managed Objects, bereitgehalten. Die MIB ist Teil des Agenten, der auf dem Netzwerkgerät läuft. Die Management Information Base stellt eine Datenbank dar, die über eine baumartige Struktur verfügt. Der Object Identifier, also der Name eines bestimmten Managed Objects, wird innerhalb dieser Struktur durch eine jeweils eindeutige Nummer definiert. Der vollständige Object Identifier eines MOs lässt sich in einem Netzwerk-Management-Tool anzeigen, zum Beispiel im Rahmen eines -Walks (siehe Seite 94). Doch auch einfache Netzwerk-Scanner bringen mitunter die Fähigkeit mit, Hosts im Netzwerk auf geläufige -MOs abzuklopfen. Der Network Scanner von Softperfect zeigt dabei auch die vollständige OID der abgefragten Managed Objects an (kostenlos, (Bild D). 92

4 Infrastruktur -Befehle Bisher wurden der Aufbau und die wichtigsten Komponenten des -Systems dargestellt. Wie aber kommunizieren der -Manager und die Agenten untereinander im Netzwerk? Hierzu bietet das Simple Network Management Protocol eine Reihe von Befehlen. Im ersten Entwurf von waren genau vier Befehle vorgesehen, mit denen Manager und Agenten miteinander in Kontakt treten: Get, GetNext, Set und Trap. Dabei gilt: Die Befehle Get, GetNext und Set werden nur vom Manager an den Agenten gerichtet, der Befehl Trap geht hingegen ausschließlich vom Agenten an den Manager. Get: Mit einem Get-Request fragt der Manager bestimmte Objektinstanzen (Managed Objects) einer Netzwerkkomponente ab. Die Anfrage wird dabei an den Agenten der entsprechenden Netzwerkkomponente gestellt. Der Agent sieht in der Management Information Base nach und liefert das angefragte Ergebnis als Antwort (Response) zurück an den Manager. GetNext: Mit dem GetNext-Befehl kann der Manager die jeweils nächste Informationseinheit aus der MIB des Agenten beziehungsweise des Hosts abfragen. Mit vielen aufeinanderfolgenden GetNext-Befehlen kann somit die gesamte MIB eines Agenten abgefragt werden, ohne die Struktur der MIB zu kennen. Diese aufeinanderfolgende GetNext-Abfrage wird auch als -Walk bezeichnet und steht in jedem Netzwerk-Management-Tool als Funktion zur Verfügung. Set: Mit dem Befehl Set ändert der Manager die Werte von einzelnen Managed Objects in der MIB des Agenten. Nach Abschluss des Vorgangs sendet der Agent eine entsprechende Antwort an den Manager zurück. -Port: Der Manager kommuniziert via mit einem Agenten über den Port 161 (Bild E). Trap: Mit dem Befehl Trap informiert der Agent seinen Manager über ein eingetretenes Ereignis. Das kann beispielsweise die Info über einen Systemneustart, eine überlastete CPU oder eine leere Tonerkartusche im Drucker sein. In diesem Fall geht die Meldung also vom Agenten an den Manager, allerdings schickt der Manager keine Bestätigung zurück an den Agenten. Die Konfiguration der Trap-Funktion, also die Festlegung, bei welchem Ereignis und an welche Stelle die Trap- Info verschickt werden soll, erfolgt in der Regel im Agenten. Zu dem ersten Entwurf kamen später mit GetBulk und Inform noch zwei weitere Befehle hinzu. Ein GetBulk-Request erleichtert das Auslesen großer Informationsblöcke. Der Befehl Inform ermöglicht auch den Austausch von Trap- Nachrichten zwischen verschiedenen Netzwerk-Management-Systemen und Managern. -Walk: Mit der Funktion -Walk lässt sich die gesamte Management Information Base eines -Hosts auslesen (Bild F). im Einsatz Damit ein Manager über eine Anfrage an einen Agenten stellen kann, muss der Agent auf dem Host, auf dem er installiert ist, für Anfragen aus dem Netzwerk verfügbar sein. Sobald Sie also unter Windows oder auf Ihrem NAS installieren und einschalten, aktiviert sich auf dem Agenten-Host automatisch ein Server, der auf dem Port 161 auf Verbindungen lauscht (Bild E). Da in der Regel über das User Datagram Protocol (UDP) abgewickelt wird, lässt sich der geöffnete -Port nicht mit einem TCP-Portscanner aufspüren. Das gilt zumindest für den -Dienst an einem Windows-Rechner. Doch manche Netzwerkgeräte öffnen ihren -Port automatisch für beide Transportprotokolle, weshalb sich der aktivierte -Dienst dann auch per TCP-Scan nachweisen lässt. Unabhängig davon nutzen die Netzwerk-Management-Tools und deren Administratoren das com! professional 9/

5 Funktion eines -Management-Systems Der Manager kontrolliert über das Protokoll den Agenten jeder Netzwerkkomponente. Der Agent holt sich die Informationen über seine Netzwerkkomponente aus der Management Information Base (MIB) und liefert die Daten zurück an den Manager. Manager Server Router Switch Drucker com! 9/14 deutlich schnellere und schlankere User Datagram Protocol als Transportprotokoll. Setzt ein Agent einen -Trap an den Manager ab, so muss hier ebenfalls ein Dienst laufen, der die Trap-Meldung empfangen kann. Der Manager öffnet hierzu den Port 162. Agenten finden Um -Agenten im Netzwerk aufzuspüren, verwenden Sie ein Netzwerk-Management-Tool wie The Dude 3.6 oder ein alternatives Programm. Nach der Installation führen Sie einen ausführlichen Suchlauf mit Discover durch. Kurze Zeit später erscheint eine je nach Netzwerk mehr oder weniger umfangreiche Netzwerkabbildung (Network Map). Bereits aktive -Agenten erkennen Sie an den umfangreichen Informationen, die in der Network Map zu der entsprechenden Ressource angezeigt wird. Dazu zählen beispielsweise die Datenraten des Netzwerkadapters ( Rx/Tx ) und Angaben zur aktuellen Hardware-Leistung ( cpu, mem, disk ). Diese Angaben stellen jedoch nur einen kleinen Ausschnitt aller Informationen dar. -Walk Agent konfigurieren: Erst wenn Sie public als Community-Namen einsetzen, kann Ihr Manager auf den Agent zugreifen (Bild G). Mit einem -Walk fragen Sie die gesamte Management Information Base eines Hosts im Netzwerk ab. Die Abfrage erfolgt in der Regel über ein Netzwerk-Management-Tool, das im Anschluss alle Managed Objects des abgefragten Hosts mit den zugehörigen Werten oder Variablen auflistet. Bei The Dude 3.6 klicken Sie hierzu mit der rechten Maustaste auf den abzufragenden Host in der Network Map und wählen im Kontextmenü Tools, Snmpwalk. Kurz darauf wird die gesamte MIB des Hosts aufgelistet. Jede Zeile steht dabei für ein Managed Object (Bild F, Seite 93). Lässt sich kein -Walk durchführen, ist auf dem Host entweder kein -Agent in stalliert oder der Agent lässt sich nicht ansteuern. In einigen Netzwerkgeräten ist der - Agent deaktiviert oder er erlaubt keinen Zugriff, weil kein oder der falsche Community-Name eingetragen ist. Für die ersten Schritte mit empfiehlt es sich, den Community- Namen auf public zu setzen. Dadurch lassen sich alle wichtigen Managed Objects im Host von Ihrer Management-Software auslesen. Das 94

6 gilt vor allem auch für den Admin, der einen oder mehrere Windows-Rechner über überwachen möchte. unter Windows 7 und 8 Unter Windows 7 oder Windows 8 stellt sich das Problem, dass ein -Walk auf einem entsprechenden Host zunächst ins Leere führt. Der nächstliegende Grund ist der vielleicht fehlende -Agent. Doch selbst wenn man samt WMI-Adapter (Windows Management Instrumentation) nachinstalliert, läuft eine erneute - Abfrage noch ins Leere. Wechseln Sie deshalb zunächst in die Computerverwaltung des Windows- Hosts und suchen Sie in Dienste und Anwendungen, Dienste nach dem Eintrag -Dienst. Dieser sollte nach der Installation eigentlich aktiv sein, was durch den Status Wird ausgeführt bestätigt wird. Warum also reagiert Windows nicht auf die -Abfrage? Der Grund liegt zum einen darin, dass der Windows- -Agent noch keinen Community-Namen hat und deshalb auch mit keinem -Manager kommunizieren kann oder darf. Öffnen Sie deshalb mit einem Doppelklick den -Dienst und wechseln Sie zum Register Sicherheit. Setzen Sie vor Authentifizierungstrap senden ein -Dienste: Auf der Registerkarte Agent setzen Sie vor allen noch nicht aktivierten Diensten ein Häkchen (Bild H). Häkchen und fügen Sie direkt darunter den Community-Namen public mit der Berechtigung NUR LESEN hinzu (Bild G). Im Bereich darunter aktivieren Sie außerdem -Pakete von jedem Host annehmen. So können Sie von jedem Host im Netzwerk auf den -Agenten im Windows- Rechner zugreifen. Falls Sie die zugreifenden Hosts in Ihrem Netzwerk begrenzen möchten, wählen Sie -Pakete von diesen Hosts annehmen und fügen dann darunter die IP-Adresse des Rechners mit dem installierten -Manager hinzu. Netzwerkadapter: Hat ein Host mehrere Adapter, müssen Admins die Auswahl treffen (Bild I). Wechseln Sie nun noch auf die Registerkarte Agent und aktivieren Sie in der unteren Hälfte des Fensters alle dort angezeigten Dienste (Bild H). Nach einer Bestätigung mit OK ist der -Dienst unter Windows zugriffsbereit. Führen Sie eine erneute -Walk-Abfrage durch und schon listet Ihr Netzwerk-Manager alle Managed Objects des Windows- Rechners auf. Keine Übertragungsinformation Obwohl der -Agent auf dem Windows-Host nun die -Requests des Managers beantwortet, hakt es noch in der Aufbereitung der Informationen. So zeigt beispielsweise der Netzwerk-Manager die Übertragungsraten des NAS in der Network Map an, die Übertragungsraten des Windows- Hosts werden jedoch nicht angezeigt. Die Ursache liegt darin, dass ein Windows-Rechner fast immer mit mehreren Netzwerkadaptern ausgestattet ist, ein NAS jedoch meist nur mit einem. Während Ihr Manager-Tool bei einem NAS automatisch den richtigen Adapter für die -Abfrage wählt schließlich gibt es nur den einen, müssen Sie dem Tool bei einem Windows-Host etwas nachhelfen und selbst den korrekten Adapter auswählen. Bei The Dude 3.6 klicken Sie dazu mit der rechten Maustaste auf die schwarze Verbindungslinie zwischen dem Host und dem Wolkensymbol des Netzwerksegments und wählen im Kontextmenü die Option Settings. Danach öffnet sich das Fenster Link (Bild I). Im Dropdown-Menü von Interface wählen Sie dann den aktiven Netzwerkadapter des Windows-Rechners aus. Achten Sie außerdem darauf, dass im darüberliegenden Dropdown-Menü Mastering Type die Option snmp ausgewählt ist. Nach einer Bestätigung mit OK wird die Übertragungsrate Michael Seemann/hs hs@com-professional.de des Geräts in der Network Map angezeigt. 96