Fakultät Informatik, Institut für Systemarchitektur, Professur Rechnernetze. Rechnernetzpraxis. Netzwerkmanagement.

Transkript

1 Fakultät Informatik, Institut für Systemarchitektur, Professur Rechnernetze Rechnernetzpraxis Netzwerkmanagement

2 Einleitung Remote Administration von Switches / Routern? Protokolle? Administration Internet Switch Messung der Datenmengen und Zuordnung zu Kunden? Router Switch Hardware für Serverhosting Welche Aufgaben umfasst Netzwerkmanagement? Eigenschaften / Parameter zur Selektion von Netzwerkmanagementlösungen? Protokolle und Verfahren für das Netzwerkmanagement? 2

3 Einleitung 1. Netzwerkmanagement 2. FCAPS-Modell 3. Out-of-Band- / In-Band-Netzwerkmanagement 4. Eigenschaften und Funktionen von NWM-Lösungen 5. Simple Network Management Protocol Übersicht Management Information Base Structure of Management Information Protokoll SNMPv3 6. Remote Network Monitoring 7. sflow / NetFlow / IPFIX IPFIX-Protokolldetails IPFIX-Beispiel 8. NETCONF 3

4 Netzwerkmanagement Informell: Netzwerkmanagement bezeichnet den zielgerichteten Einsatz von Aktivitäten, Methoden, Prozessen und Werkzeugen, um die Wartung/Pflege von Netzwerken zu realisieren und die Verfügbarkeit/den Betrieb von Netzwerken unter vorgegebenen Rahmenbedingungen zu gewährleisten Netzwerkmanagement umfasst Passive, beobachtende Aufgaben Aktive, beeinflussende Aufgaben Netzwerkmanagement = K O N F I G U R A T I O N Netzwerkmanagementsystem Netzwerküberwachung Abrechnungsdaten Leistungsdaten Fehlermeldungen Netzwerkkonfiguration Konfigurationseinstellungen Anweisungen Netzwerkkomponente Ü B E R W A C H U N G Konfiguration + Überwachung Netzwerk Management System (NMS) Management Information Management Database Agent Agent Agent Router Server Drucker 4

5 FCAPS-Modell FCAPS-Modell ist ein Modell der Internationalen Organisation für Normung zur Festlegung der Aufgabenfelder des Netzwerkmanagements F C A P Fault Management (Fehlermanagement): Erkennung, Isolierung, Diagnose, Korrektur von Fehlern Configuration Management (Konfigurationsmanagement): Identifikation der am Management beteiligten Systeme, Kontrolle über diese, Sammlung relevanter Konfigurationsdaten, Bereitstellung der Konfigurationsdaten Accounting Management (Abrechnungsmanagement): Erfassung und Zuordnung der Ressourcennutzung von Nutzern zu Abrechnungszwecken Performance Management (Leistungsmanagement): Messung und Protokollierung von Ende-zu-Ende Performance und der Performance von Komponenten; Festlegung von Leistungsgrenzwerten S Security Management (Sicherheitsmanagement): Definition von Schutzzielen; Überwachen, Errichten (bzw. Abbauen) von Sicherheitsmaßnahmen 5

6 Out-of-Band- / In-Band-NWM Out-of-Band-Netzwerkmanagement: NWM-System Strikte Trennung von Nutzdaten und Informationen für das Management System System System (separater Anschluss zur Erfüllung Gateway der NWM-Aufgaben) Beispiel: Nicht-IP-basiertes Managementnetzwerk Vorteil: Brückenbildung schwieriger; Separation des Datenverkehrs Nachteile: Zusätzliches Know-how erforderlich Beispiel: IP-Managementnetzwerk Vorteil: Bestehendes Know-how auf Managementnetz anwendbar; Separation des Datenverkehrs Nachteil: Sicherheitsrisiko: Gefahr der Brückenbildung durch Angreifer In-Band-Netzwerkmanagement Nutzdaten und Daten für die Überwachung und Konfiguration werden über gleiche Kanäle übertragen Vorteil: Nutzung bestehender Infrastruktur Kostenreduktion Geringer Installationsaufwand Nachteil: Fehler im regulären Netzwerk beeinträchtigen u.u. Managementnetz 6

7 Eigenschaften und Funktionen von NWM-Lösungen Fernüberwachung Unterstützte Plattformen Ausgabeformate Konfiguration Unterstützte Protokolle Visualisierung Archivierung Überwachung Report-Generierung Kommerziell? Management Lösung Frei? Offen? Geräte-Detektion Erweiterbarkeit Skalierbarkeit Sicherheit Benachrichtigungsformen Alarmbehandlung MehrbenutzerfähigkeitModularisierung Integrationsfähigkeit 3-Schichten Architektur: Graphical User Interface Command Line Interface API Statistics Collector Event Manager Configuration Poller User Management Plugin Infrastructure Simple Network Management Protocol Common Information Model Operations NetFlow/ IPFIX/sFlow NETCONF 7

8 Simple Network Management Protocol (SNMP) - Überblick Simple Network Management Protocol Framework ermöglicht Verwalten von Geräten in IP-Netzen Drei auseinander hervorgegangene Versionen: SNMPv1, SNMPv2c (c=community-based), SNMPv3 SNMPv1 und SNMPv2c werden noch eingesetzt, sind allerdings von der IETF als historic deklariert worden Framework-Spezifikation umfasst vier Fundamente: Spezifikationssprache für Daten (Structure of Management Information (SMI)) Managementinformationen (Management Information Base (MIB)) Protokolloperationen Sicherheits- und Administrationsmechanismen (nur in SNMPv3) Protokoll unterstützt zwei Kommunikationsformen: 1. Synchrone Request/Reply-Kommunikation SNMP Manager Request Reply PDUs: GetRequest SetRequest GetNextRequest GetBulkRequest (+Response) SNMP Agent MIB 2. Asynchrone Kommunikation SNMP Manager Bestätigung SNMP Agent PDUs: Trap (unbestätigt) InformRequest (bestätigt, auch für Manager-to-Manager- Kommunikation) MIB 8 PDU = Protocol Data Unit

9 Management Information Base (MIB) Verwaltete Objekte ( Managed Objects ) werden in MIB-Baum gehalten und für Zugriff zugänglich gemacht RFC 1155 definiert übergeordnete Struktur des für typische Netzwerkkomponenten und für Internetkommunikation relevanten Teils des Baumes Praktisch insbesondere relevante MIB II als Management Information Base for Network Management of TCP/IP-based internets: MIB-II in RFC 1213 definiert Zugriff auf die einzelnen Objekte erfolgt durch einen Object Identifier (OID) OID wird mittels punktseparierter ASCII-Repräsentation oder als punktseparierte Zahlenkette angegeben Z.B.: iso.org.dod.internet.private Wurzel iso(1) org(3) dod(6) internet(1) Teilbaum enterprise ist für geräte-spezifische (und herstellerspezifische) Managementinformationen vorgesehen directory(1) mgmt(2) experimental(3) private(4) mib/mib-2(1) enterprise(1) 9

10 MIB II exemplarische Details Beispiele für den Detailgrad enthaltener Informationen zu Netzwerkprotokollen ip(4) ipforwarding(1) ipdefaultttl(2) ipfragoks(17) ipnettomediatable(22) ipforwarding: Spezifiziert, ob das System als Router fungiert ipdefaultttl: Standardwert für TTL-Feld ipfragoks: Anzahl erfolgreich fragmentierter IP-Datagramme ipnettomediatable: Tabelle mit Einträgen zu Adressauflösungen (IP MAC) Index ipnettomediaifindex(1) ipnettomediatable(22) Index ipnettomediatype(4) ipnettomediaphysaddress(2) ipnettomedianetaddress(3) ipnettomediaifindex: Interface-Index ipnettomediaphysaddress: Physikalische Adresse zur IP-Adresse des Eintrags ipnettomedianetaddress: IP-Adresse dieses Eintrags ipnettomediatype: Art der Zuweisung von IP-Adr. zur Schnittstellen (Werte: dynamic, static, invalid, other) 10

11 Management Information Base - Tabellen Eine oder mehrere Spalten können als Index einer Tabelle deklariert werden OID: BasisOID.Tabelle.1.selektierteSpalte.Index Vierte Hierarchiestufe setzt sich aus dem Inhalt aller als Index deklarierten Spalten der adressierten Zeile zusammen Beispiel: Verwendung einer IP-Adresse als Index In der 4. Hierarchieebene erfolgt nicht die Angabe einer einzelnen Zahl, sondern von vier durch Punkte separierte Zahlen (1) (2) (3) Tabelle(6) Spaltendefinitionen (inkl. Typangaben)(immer: 1) (1) (2) (3) (4) Zelle(1) Zelle(2) Zelle(3) Zelle(1) Zelle(2) Zelle(3) Zelle(1) Zelle(2) Zelle(3) Zelle(1) Zelle(2) Zelle(3) Zelle(3) BasisOID Zelle(1) BasisOID

12 Structure of Management Information Version 2 (SMIv2) MIB wird mittels Structure of Management Information Version 2 (definiert in RFCs 2578, 2579, 2580) beschrieben SMI bildet Untermenge der Abstract Syntax Notation One (ASN.1), ein Standard für die Repräsentation und Kodierung von Daten in der Telekommunikation und in Rechnernetzen Im Kern ermöglicht SMI die Definition und Gruppierung von Objekten, Datentypangaben, Spezifikation, ob ein Objekt verpflichtend ist und Angabe von Meta-Informationen zu Objekten bzw. Objektgruppen (= Modulen ) Beispiele aus RFC 1231, Seite 38 f. ipnettomediaentry OBJECT-TYPE SYNTAX IpNetToMediaEntry ACCESS not-accessible STATUS mandatory DESCRIPTION "Each entry contains one IpAddress to 'physical' address equivalence." INDEX { ipnettomediaifindex, ipnettomedianetaddress } ::= { ipnettomediatable 1 } Typdeklaration der Tabelle (durch Struktur IpNetToMediaEntry ) 12

13 SMI - Beispiele IpNetToMediaEntry ::= SEQUENCE { ipnettomediaifindex INTEGER, ipnettomediaphysaddress PhysAddress, ipnettomedianetaddress IpAddress, ipnettomediatype INTEGER } Definiert die Typen der Elemente der vier Tabellenspalten ipnettomedianetaddress OBJECT-TYPE SYNTAX IpAddress ACCESS read-write STATUS mandatory DESCRIPTION "The IpAddress corresponding to the media-dependent 'physical' address." ::= { ipnettomediaentry 3 } Spezifikation von Zugriffsform ( read-write ) und Verpflichtung zur Angabe ( mandatory ) in der MIB Beispiel für eine Trap-Definition (aus RFC 1907, S. 9) coldstart NOTIFICATION-TYPE STATUS current DESCRIPTION "A coldstart trap signifies that the SNMPv2 entity, acting in an agent role, is reinitializing itself and that its configuration may have been altered." ::= { snmptraps 1 } 13

14 Simple Network Management Protocol (SNMP) PDUs werden in eine SNMP-Nachricht gekapselt, die Informationen für Verschlüsselung und Authentifizierung enthalten kann Bevorzugtes Transportprotokoll: UDP Sieben PDU-Typen werden unterschieden (siehe Folie 8) SNMP PDU PDU Type Request ID Error Status Error Index Variable Bindings Variable1 Value1 VariableN ValueN get( ) response(error-status=noerror; => 5) get( ; ; ) response(error-status=noerror; => 5; => 1; => 2) set( => my-printer) Response(error-status=noError; => my-printer) set( => my-printer, => 0) Response(error-status = nosuchname; error-index=2) 14

15 SNMPv3-Architektur SNMPv3-Architektur (Kapitel 3 aus RFC 3411) ist hochgradig modular und flexibel, wodurch mit wenig Aufwand eine minimale spezifikationskonforme Implementierung erzielt werden kann Besonderer Fokus nach Negativerfahrungen der Vorgängerversionen wurde auf Sicherheit gelegt Komponenten werden in zwei Teilbereiche untergliedert Anwendungseinheiten ( Application Entities ), Protokolleinheiten ( Protocol Entities, Teil der SNMP-Engine) SNMP Entity SNMP Applications Command Generator Notification Receiver Command Responder Proxy Forwarder Notification Originator Other SNMP Engine Security Subsystem Dispatcher Access Control Subsystem Message Processing Subsystem 15

16 SNMPv3-Architektur Auf Grundlage der Architektur können traditionelle SNMP-Manager und SNMP-Agenten konstruiert werden SNMP-Manager: SNMP-Entität, die einen oder mehrere Command-Generator- und/oder Notification-Receiver-Anwendungen umfasst SNMP-Agent: SNMP-Entität, die einen oder mehrere Command-Responder- und/oder Notification-Originator-Anwendungen umfasst Beispiel: Umsetzung eines SNMP-Agenten auf Grundlage der Architektur SNMP Agent Access Control Subsystem MIB Command Responder Notification Originator Proxy Forwarder Dispatcher Message Processing Subsystem Security Subsystem UDP IPX 16

17 Remote Network MONitoring (RMON) Auf SNMP und die MIB II aufbauender Standard für Monitoring und Protokollanalyse Dient vorrangig dazu, statistische Informationen zentral zu sammeln und aufzubereiten bevor sie an Manager weitergeleitet werden Übersicht in RFC 3577 verfügbar Statistische Informationen können sich nicht nur auf einzelnes Gerät, sondern auf ganzes Teilnetz beziehen Zielsetzungen: Offline Operationen (Datensammlung) Reduktion der Netzwerklast hierarchisches Netzwerkmanagement Proaktives Monitoring / Management und folglich eine frühzeitige Problemerkennung Statistische Aufbereitung anfallender Daten Teilnetz 1 Teilnetz 2 Switch mit RMON Router mit RMON Netzwerk Management System Entferntes Netz Router mit RMON 17

18 sflow / NetFlow / IPFIX SNMP ist ungeeignet für die kontinuierliche Übermittlung von Informationen zu Kommunikationsdaten, die ein Netzwerkgerät / eine Schnittstelle passieren an eine zentrale Instanz Z.B. Zielsetzungen einer solchen Aggregation: Abrechnungszwecke Auswertung durch Intrusion-Detection-System zur Angriffserkennung Verbreitete Ansätze: sflow: durch Sampling hochskalierbarer Ansatz zur Übermittlung von Zählerwerten und von Informationen zu selektierten Datenflüssen (Paketen) NetFlow/IPFIX: Ansatz/Protokoll zur Übermittlung von Informationen zu Datenflüssen (Paketen) mit optionaler Sampling-Unterstützung Zähler (z.b. Paketzähler) sflow Polling Sampling Übertragung Sampling Filterung Caching Übertragung z.b. TCP-Pakete NetFlow 18

19 Internet Protocol Flow Information Export (IPFIX) IP-Datenverkehr Metering-Prozess an einem Beobachtungspunkt Paket-Header-Capturing Zeitstempelerzeugung Sampling (ggf. 1:1) Beobachtungspunkt IPFIX ist ein in RFCs spezifiziertes Push-Protokoll zur Übermittlung von Informationen zu Datenflüssen ( Flows ) Auf Grundlage von NetFlow entwickelt Definition Flow nach RFC 7011: A Flow is defined as a set of packets or frames passing an Observation Point in the network during a certain time interval. All packets belonging to a particular Flow have a set of common properties. Konkrete Instanzen eines Flows werden als Flow-Records bezeichnet, z.b. Anzahl von zwischen zwei Kommunikationsendpunkten ausgetauschten Paketen Filterung + Flow-Record- Export IPFIX (über SCTP, TCP oder UDP) Analyse der Flows Kollektor Beispielsweise für Anomalieerkennung oder Abrechnungszwecke Zentrale Sammelstelle für Flow-Records 19

20 IPFIX - Protokolldetails 0 31 Version (10) Nachrichtenlänge Exportzeitstempel Sequenznummer Observation-Domain-ID Set ID Länge Record Nachrichten- Header Es können pro Nachricht mehrere Mengen von Records übermittelt werden Sets bestehend aus Set ID (z.b. 2 für Template-Set), Längenangabe und Einträgen Data-Set Template-Set Nachrichten- Header Kollektor Gemeinsam mit Daten können Templates übertragen werden, die die Struktur und den Typ der Daten spezifizieren Durch Templates kann ein Sender einem Kollektor für ihn unbekannte Arten von Flows übermitteln Vergrößerte Flexibilität des Ansatzes 20

21 IPFIX - Beispiel Beispiel zeigt ein Template Record und ein Data Record Data Record führt die Anzahl von IP-Paketen von einer vorgegebenen IP-Quelladresse zu einer IP-Zieladresse auf Set ID = 2 Länge = 20 Template ID = 260 Anzahl Felder = 3 Typ=destinationIPv4Address(12) Länge = 4 Byte Typ = sourceipv4address (8) Länge = 4 Byte Typ = packetdeltacount (3) Länge = 8 Byte Set ID = 260 Länge = 20 Record 1, Feld 1 = Record 1, Feld 2 = Record 1, Feld 3 = 42 Pakete Von der IANA definierter Typ oder private (=unternehmensspezifische Typen) können verwendet werden Zum Template 260 passender Data Record Für verbreitete Typen innerhalb eines Template Records wurden von der IANA Werte festgelegt: Nach einem Template können mehrere Data Records folgen 21

22 NETCONF Netzwerkmanagementprotokolle wie SNMP sind sehr verbreitet, weisen aber in der Praxis einige Schwächen auf Für Übersicht zu Schwächen verbreiteter Protokolle, siehe RFC 3535, z.b.: The SNMP transactional model and the protocol constraints make it more complex to implement MIBs, as compared to the implementation of commands of a command line interface interpreter. There is too little deployment of writable MIB modules. SNMP does not support easy retrieval and playback of configurations. Für die Konfiguration von Netzwerkgeräten sind Command-Line- Interfaces dominierend Zielsetzung von NETCONF: Bereitstellung eines auf aktuellen Technologien aufsetzenden Protokolls zum Bereitstellen, Verändern und Löschen von Konfigurationsinformationen von Netzwerkgeräten Weiterentwicklungen aktuell schwer abzuschätzen Content Operations Messages Secure Transport NETCONF-Schichten nach RFC 6241, S. 8 z.b. Konfigurationsinformationen z.b. <edit-config> z.b. <rpc>, <rpc-reply> z.b. SSL/TLS, HTTPS siehe z.b. vom

23 NETCONF Konfiguration wird über einen RPC-Mechanismus zum Austausch von XML-Daten realisiert Das Basisprotokoll unterstützt neun Operationen (siehe Sektion 7 in RFC 6241): get, get-config, edit-config, copy-config, delete-config, lock, unlock, close-session, kill-session Unterscheidung zwischen Konfigurations- und Zustandsdaten (z.b. Statistiken, unveränderliche Werte) Durch Protokoll kann Zugriff auf Configuration Datastore eingeschränkt werden (lock) und Daten in diesem verändert werden Beispiel aus RFC 6241: Setzen der MTU eines Ethernet-Int erfaces auf 1500 <rpc message-id="101 xmlns="urn:ietf:params:xml:ns:netconf:base:1.0"> <edit-config> <config> <top xmlns=" <interface> <name>ethernet0/0</name> <mtu>1500</mtu> </interface> </top> </config> </edit-config> </rpc> 23

24 Zusammenfassung F C A P S Fault Management (Fehlermanagement) Configuration Management (Konfigurationsmanagement) Accounting Management (Abrechnungsmanagement) Performance Management (Leistungsmanagement) Security Management (Sicherheitsmanagement) Managementansätze umfassen meist: Schemabeschreibungs-spra che Vorgegebene Datenschemata Kommunikationsprotokoll Sicherheitsmechanismen und protokolle Graphical User Interface Command Line Interface API Statistics Collector Event Manager Configuration Poller User Management Plugin Infrastructure Simple Network Management Protocol Common Information Model Operations NetFlow/ IPFIX/sFlow NETCONF Konfiguration + Überwachung Überwachung / Traffic Metering effiziente Konfiguration 24

25 Literatur / Links Ausgewählte RFCs Structure and Identification of Management Information for TCP/IP-based Internets Structure of Management Information Version 2 Specification of the IP Flow Information Export (IPFIX) Protocol Overview of the 2002 IAB Network Management Workshop Network Configuration Protocol (NETCONF) 25