SNMP (Simple Network Management Protocol) Aufbau, Funktion, Sicherheit. Überblick. 1.1 Netzwerkmanagement: Teilbereiche

Transkript

1 /HKUVWXKOIÖU 'DWHQYHUDUEHLWXQJ 3URI 'U,QJ 'U(KÃ:ROIJDQJÃ:HEHU SNMP (Simple Network Management Protocol) Aufbau, Funktion, Sicherheit Seminar verarbeitung WS 1999/2000 Referent: Marko Vogel Betreuer: Dipl.-Ing. Thomas Droste 1.1 Netzwerkmanagement: Motivation Aktuelle Situation: Wachsende Bedeutung des Rechnernetzes Anzahl der vernetzten Rechner wächst sprunghaft Komplexität und Funktionalität der Komponenten wächst Forderung: Ständige Verfügbarkeit der Netzdienste mit bestmöglicher Qualität Reduktion der Kosten für den Betrieb der Netzinfrastruktur Notwendigkeit: Rechnergestütztes Management heterogener Netze Überblick 1.1 Netzwerkmanagement: Teilbereiche 1 Netzwerkmanagement 1.1 Motivation und Teilbereiche 2 Netzwerkmanagement-Systeme 2.1 Prinzip 3 SNMPv1 3.1 Historische Entwicklung und Protokollübersicht 3.2 Arbeitsmodell (NMS,, ) 3.3 Funktionen und Nachrichtenformat 3.4 Vor- und Nachteile von SNMPv1 4 Änderungen in SNMPv2 und SNMPv3 5 SNMPv3 5.1 Architekturmodell 5.2 Sicherheitsproblematik 5.3 Sicherheitsmechanismen Fehlermanagement (fault management) Fehlererkennung, Fehlerisolation, Fehlerbehebung Konfigurationsmanagement (configuration management) Erzeugung und Verwaltung von Konfigurationsinformationen, Namensverwaltung Abrechnungsmanagement (account management) Erfassung von Verbrauchsdaten, Führen von Verbrauchsstatistiken Leistungsmanagement (performance management) Ermittlung der Systemleistung, Sammlung von statistischen Sicherheitsmanagement (security management) Erzeugung und Kontrolle von Sicherheitsdiensten, Meldung und Analyse von sicherheitsrelevanten Ereignissen

2 2.1 Netzwerkmanagement-Systeme: Prinzip 3.1 SNMPv1: Protokollübersicht Manager Electronic Mail SNMP SNMP setzt auf UDP auf (ist aber nicht zwingend vorgeschrieben) Benutzerschnittstelle Präsentations-Dienste Management-Dienste Network Management System File Transfer Application Layer Name Service einfache Managementfunktionalität auch in ICMP vorhanden Managed Objects - organisiert in Netzwerkmanagement-Protokolle Management- Anwendung () installiert auf Management- Anwendung () installiert auf Netz Software Verwaltete Netzkomponenten (Management Information Base) Transmission Control Protocol (TCP) Transport Layer Network Layer User Datagram Protocol (UDP) Internet Protocol (IP) & Internet Control Protocol (ICMP) ATM ISDN weiteres Protokoll: CMIP (Common Management Information Protocol) 3.1 SNMPv1: Historische Entwicklung 3.2 SNMPv1: Arbeitsmodell 1987 Simple Gateway Monitoring Protocol (SGMP) 1987 High-Level Entity Management System (HEMS) 1988 Simple Network Management Protocol (SNMPv1) proposed 1990 Simple Network Management Protocol (SNMPv1) standard 1991 Management Information Base II standard 1993 SNMP Version 2 (Party-based) historic 1996 SNMP Version 2 (Community-based) draft/experimental 1998 SNMP Version 3 (User-based) draft/proposed HEMS SGMP SNMPv1 SNMPv2p SNMPv2c SNMPv Information Manager (NMS) Streng zentralisiertes Modell, in dem der Manager die ganze Funktionalität und Verantwortung trägt. Kontrolle SNMP besteht aus drei wichtigen Konstrukten: einem Host, der als Manager auftritt (Network Management System) einem en, der auf der verwalteten Ressource Informationen bereitstellt und konfigurierend eingreift der (Management Information Base), einer bank mit Angaben zu den verwalteten Objekten

3 3.2.1 SNMPv1: Das Network Management System (NMS) SNMPv1: Die Management Information Base () führt die von den en gesammelten Informationen zusammen und wertet sie aus initiiert Management-Operationen zur Manipulation von Managed Objects gut ausgestattete Hosts (Arbeitsspeicher, Plattenkapazität, Grafikausstattung) => dient z.b. der Visualisierung der statistischen Ergebnisse (durchsatz, Fehlerhäufigkeit, etc.) ein Netzwerk besteht aus einem oder mehreren NMS Die Kontrolle, Koordination und Überwachung von Betriebsmitteln erfolgt durch die Manipulation von sogenannten Managed Objects (MO): abstrakte Repräsentation einer realen Ressource Attribute beschreiben den Zustand Operationen ermöglichen den Zugriff auf MOs (z.b. get, set) Verhalten bestimmt Interaktion mit dem Betriebsmittel generieren Meldungen beim Eintreten vordefinierter Situationen im Regelfall nur einfache Variablen besitzen eindeutigen Namen (OID=object identifier) Die Menge aller Managed Objects eines Systems bildet die Management Information Base des Systems. (ISO ) SNMPv1: Der SNMPv1: Die Management Information Base () nimmt Anfragen von einem Manager entgegen, bearbeitet sie und sendet entsprechende Antworten realisiert die Managed Objects durch Zugriff auf die realen Betriebsmittel meist auf geringen Speicher- und Rechenleistungsverbrauch hin optimiert verwaltete Ressourcen sind: Hosts, Kommunikations- und Druckserver, Drucker, Router, Bridges, Hubs, etc. Proxy-en bank, mit baumartiger Struktur sämtliche Knoten einer Ebene werden durch eine Nummer eindeutig identifiziert object identifier (OID) = Nummernfolge, die sich durch den Pfad von der Wurzel der zu einem Knoten ergibt -II legt die wichtigsten OID fest Structure of Management Information (SMI) beschreibt Aufbau der Abstract Syntax Notation One (ASN.1) dient als Beschreibungssprache

4 3.2.3 SNMPv1: Die Management Information Base -II als Beispiel directory (2) mgmt (2) mib-2 (1) iso (1) org (3) dod (6) internet (1) experimental (3) private (4) enterprises (1) 3.3 SNMPv1: Funktionen Get GetNext Set PE AE NMS AE PE Get GetNext Set PE AE Proxy- system (1) interface (2) at (3) ip (4) icmp (5) MO MO MO NC NC NC IpDefaultTTL (2) Beispiel: OID von IpDefaultTTL = NMS: Network Management System MO: Managed Object AE: Application Entity NC: Network Component PE: Protocol Entity 3.3 SNMPv1: Funktionen Befehl Beschreibung 3.3 SNMPv1: Nachrichtenformat Get - GetNext - Set Get GetNext Set dient zum Lesen einer oder mehrerer Objektinstanzen erlaubt das Lesen der nächsten Objektinstanz aus einer Liste/Tabelle des en aufeinanderfolgende GetNext-Operationen erlauben das Durchlaufen einer ohne Kenntnis der Struktur schreibt Werte in eine oder mehrere Objektinstanzen dient zum Erzeugen neuer -Instanzen informiert ein NMS über ein eingetretenes Ereignis der Empfang wird nicht bestätigt Konfiguration der en bezüglich des -Versandes SNMP- Nachricht Version Community Protocol Data Unit (PDU) GetRequest; GetNextRequest; SetRequest PDU Type Request-ID 0 0 Variable Bindings Name 1 Value 1 Name 2 Value 2... Name n Value n GetResponse PDU Type Request-ID Error Status Error Index Variable Bindings

5 3.3 SNMPv1: Nachrichtenformat 4 Änderungen in SNMPv2 und SNMPv3 SNMP- Nachricht: Version Community Protocol Data Unit (PDU) PDU Type Enterprise Address Generic Specific Timestamp Variable Bindings SNMPv2 zwei neue Befehle: GetBulk Inform zwei unterschiedliche Nachrichtenformate für GetBulk und alle anderen Möglichkeit zur Verschlüsselung und Authentifizierung Name 1 Value 1 Name 2 Value 2... Name N Value N SNMPv3 neues Architekturmodell (Modularisierung) erweiterte Sicherheitsfunktionen 3.4 SNMPv1: Vor- und Nachteile von SNMPv1 4.1 SNMPv3: Architekturmodell Vorteile: einfach zu installieren und einfach zu bedienen geringe Ansprüche an den en weit verbreitet (Quasi-Standard) zusätzliche Belastung des Netzes bleibt marginal Nachteile: große Sicherheitsschwächen (keine Möglichkeit zur Authentifizierung und Verschlüsselung) noch nicht detailliert genug und zu wenig strukturiert Command Generator PDU Transport Mappings Manager Notification Receiver Processing v1mp v2mp v3mp other MP Notification Originator Security Community User-based Other Command Responder PDU Transport Mappings Instrumentation Access Control View-based Access Control Processing v1mp v2mp v3mp other MP Notification Originator Proxy Forwarder Security Community User-based Other UDP IPX UDP IPX

6 4.2 SNMPv3: Sicherheitsproblematik Fragen,die vor Ausführung einer Operation beantwortet werden müssen: 4.3 SNMPv3: Sicherheitsmechanismen Sicherung gegen unbefugtes Abhören Sender Empfänger 1) Ist die empfangene Nachricht authentisch? 2) Wer möchte die Operation ausgeführt bekommen? 3) Welche Objekte sind von der Operation betroffen? 4) Welche Rechte hat derjenige, der die Operation ausgeführt bekommen möchte? DES DES Die Fragen 1 und 2 werden durch Maßnahmen zur Sicherung der Nachricht beantwortet (Authentifikation, Verschlüsselung) Die Fragen 3 und 4 werden durch ein Model zur Zugriffskontrolle beantwortet User verschlüsselte User verschlüsselte 4.3 SNMPv3: Sicherheitsmechanismen integrität und Authentifikation Sender Empfänger Hash-Funktion MAC Hash-Funktion MAC =? User MAC User MAC 4.3 SNMPv3: Sicherheitsmechanismen View-based Access Control SecurityModel who GroupName SecurityName where contextname SecurityModel ViewName how SecurityLevel why viewtype what object type VariableName which object instance yes/no

7