Sareen kudeaketa, SNMP eta RMON

Sareen kudeaketa,SNMP eta RMON

Sare eta Zerbitzuak IIBilboko IGET/TelematikaDani Gutiérrez Porset2011ko Azaroa

2

Dokumentu honi buruz

http://creativecommons.org/licenses/by-sa/3.0/

● Erabilpen lizentzia

● Erabilitako edukierak:● Atalako argazkia: The Opte Project (cc by-nc-sa 1.0)● Logotipoak bere jabeen jabetasuna● Liburua: "SNMP, SNMPv2, SNMPv3, and RMON 1 and

2" - William Stallings – Ed. Addison Wesley ● Marivi Higuero Aperribairen apunteak

http://opte.org/maps/

3

Aurkibidea● Sarrera● Sareen kudeaketa● SNMP● SNMPv1● RMON● Secure SNMP● SNMPv2● SNMPv3● SNMP-rako Software

4

PDCA Metodologia

Plan

Do

Check

Act

MonitorizazioaGainbegiratzea

Plangintza

KontrolaKonfigurazioa

http://en.wikipedia.org/wiki/PDCA

Sarrera

5

Ekintzak eta Neurriak

Sarrera

Erreaktiboak Proaktiboak

●Detekzioa●Zuzenketa●Kausen ezagutza

●Aurresana●Prebentzioa●Hobespena

6

Hasiera-egoera● Sarearen nodoak kudeatzeko beharra● Aniztasuna:

● Sareak● Dispositiboak● Fabrikatzaileak: protokoloak eta formatuak

Sareen kudeaketa

7

Zer da sare bat kudeatzea● Eragiketak:

● Monitorizazioa● Software / firmware-ren klonaketa / instalazioa● Software / firmware-ren eguneraketa / partxeoa● Konfigurazioa● Hardware / software-ren zerrenda● Kalitatea eta Segurtasuna

● Hori guztia era automatiko, urrutiko, masibo, seguru batean

Sareen kudeaketa

8

OSI Sarearen kudeaketa eredua● FCAPS eredua:

● Fault: identifikatu, isolatu, zuzendu, erregistratu● Configuration: bildu, bidali, aldaketak erregistratu● Accounting: baliabideen estatistikak,

erabiltzaileen eta baimenen administrazioa● Performance: erabilpen eta erabilgarritasunaren

%, akats tasa, erantzun denborak● Security: autentifikazioa, konfidentzialtasuna,

baimenak

http://en.wikipedia.org/wiki/FCAPS

http://en.wikipedia.org/wiki/Network_management_model

Sareen kudeaketa

9

Prozesaketa

Sarea

Periferikoak

Mix

Nodoen sailkapena● Gaitasun eta adimenaren arabera:

Sareen kudeaketa

10

Irtenbidea● Estandarren bidezko interoperabilitatea● Informazio osagaiak:

● Esanahia = semantika● Irudikapena = Lexikoa, sintaxia: formatuak● Trukea: komunikazio protokoloak

● "De facto" vs "de iure" estandarrak

Sareen kudeaketa

11

Kudeaketako protokolo estandarrak

● CMIP (Common Management Information Protocol) eta CMOT (CMIP Over TCP/IP):● OSI/ISO● Konplexuak eta gutxitan erabilitakoak

● SNMP (Simple Network Management Protocol): Kontrola eta monitorizazioa

● RMON (Remote Monitor): Monitorizazioa

http://en.wikipedia.org/wiki/Common_management_information_protocol

Sareen kudeaketa

12

Kudeaketarako Software

Monitorizazioa

http://en.wikipedia.org/wiki/Network_monitoring_comparison

http://en.wikipedia.org/wiki/Comparison_of_disk_cloning_software

http://en.wikipedia.org/wiki/Comparison_of_open_source_configuration_management_software

http://www.linuxjournal.com/content/readers-choice-awards-2010

Sareen kudeaketa

13

SNMP-rik gabekomonitorizaziorako software

● Nodoetan software instalazioa beharrezkoa da● Tresnak:

● Ekipo gutxi badira, giza interfazea. Adib. web● Ekipo asko badira, automatikoki:

– "Eskuz": script-ak, cron,...– Produktuak:

● Sarea: nagios, mon, sysmon, ntop,...● Logak: logwatch, oak,...

http://www.nagios.org/

https://mon.wiki.kernel.org/

http://www.sysmon.com/

http://www.ntop.org/

http://www.ktools.org/

http://sourceforge.net/projects/logwatch/

Sareen kudeaketa

14

SNMP

Simple Network Management Protocol

v1: Bakarrik 5 komandov2, v3: 7 komando

Helmena: Monitorizazioa eta Kontrolasare zentralizatutak edo banatutak

TCP/IP ereduan,IETF-ren RFC-en bidez finkatuta

http://en.wikipedia.org/wiki/Snmp

SNMP

Baina SNMP ez da perfektua!

15

Historia eta Bertsioak

SNMP

SNMPv1

RMON

SNMPv2

Secure SNMP

SNMPv2uSNMPv2c SNMPv2*

SNMPv3

1988

1993

1992

1998 Gaurko estandarra da(SNMPv1, SNMPv2 zaharrak dira)

16

Espezifikazioaren osagaiak● Nodo motak:

● Nodo kudeatzailea edo estazioa, NMS (Network Management System) softwarez

● Software agenteren bidez kudeatutako nodoa ● Protokoloa● Datuak:

● SMI (Structure of Management Information)● MIB (Management Information Base)

SNMP

17

Nodoen sailkapena● Kudeaketa funtzioaren arabera:

● Nodo kudeatzaileak● Agenteen bidezko kudeaturiko nodoak● Proxy nodoak

Sareen kudeaketa

18

Nodo motak: NMS eta Agentea

MIB

Kudeaturiko dispositiboaNMS (Network management system)

IPv4, IPv6

UDP

SNMP

ProzesuKudeatzailea

IPv4, IPv6

UDP

SNMP

TCP

...

ProzesuAgentea

Prozesu...

MIB

SNMP

●Kudeaturiko nodoekin komunikazioa●Erabiltzaile interfazea funzionalitate gehigarriekin●MIB = kudeaturiko nodoen MIB-en batuketa

19

Nodo motak: Proxy

Proxy Agentea SNMP hitz egiten ez duenkudeaturiko dispositiboa

YYY Protokoloa

XXXProzesua

IPv4, IPv6

UDP

SNMP

AgenteProzesua

YYY Protokoloa

ProxyProzesua

SNMP

20

Protokoloa: SNMP TCP/IP ereduan

1. Fisikoa

2. Lotura

3. Sarea

4. Garraioa

5. Saioa

6. Aurkezpena

7. Aplikazioa

3. Garraioa

4. Aplikazioa

OSI/ISO TCP/IP

SNMP

UDP

ASN.1

http://en.wikipedia.org/wiki/OSI_model

http://en.wikipedia.org/wiki/TCP/IP_model

SNMP

Beste SNMP-ren azpiko protokoloak:●OSI Connectionless Network Service●AppleTalk Datagram-Delivery Protocol (DDP)●Novell IPX●TCP ere

UDP:●TCP baino trafiko gutxiago●Ez da fidagarria, bainabaieztapenak Aplikaziogeruzan bidaltzen dira

21

Protokoloa: Eragiketak eta Primitibak

SNMP

Sinkronoak

Asinkronoak

Irakurketaeskaera

Idazkeraeskaera

GetRequestGetNextRequestGetBulkRequest

SetRequest

Informazioabidalketa

Response

Trap

InformRequest

SNMPv2SNMPv1-eanGetResponse

zenKudeatzailetikAgentera

Agentetik Kudeatzailera

Bi noranzkoetan

SNMPv2-anagente batetik bestera

joan daiteke

22

Protokoloa: Polling vs Trap● Polling = Galdeketa● Trap = Jakinarazpenak, Etenaldiak● Irizpideak:

● Informazio periodikoa● Trafikoren eraginkortasuna

SNMP

23

Protokoloa: Fluxuak eta Atakak

.../UDP 161/UDP

162/UDP

●Trap●InformRequests

●GetRequest●SetRequest●GetNextRequest●GetBulkRequest

●Response

Kudeatzailea Agentea

.../UDP

SNMP

24

Protokoloa: segurtasuna● M:N Erlazioa, agente eta hauei ekiten dieten

kudeatzaileak● Segurtasun aspektuak:

● Autentifikazioa: nor da kudeatzailea, eta nola egiaztatu

● Sarbidea: objetuen baimenak kudeatzaile bakoitzarentzat

● Proxy-ak: proxy baten bidez kudeatutako sistemen politiken implementazioa

SNMP

25

Protokoloa: segurtasuna● Bertsio guztietan eragiten duten erasoak:

● Indar basatiaren bidez (hiztegia), zeren eta ez dute erronka-erantzuna metodorik

● Zerbitzu ukapena● Fabrikatzaile batzuk ez dute idazketako

baimenarik ematen, segurtasun txarragatik SNMPv3 izan ezik, edo bere dispositiboak SNMP-ren bidez konfiguragarriak ez direlako

SNMP

26

SMI● Egitura hierarkiko (zuhaitza) baten arabera

objetuak irudikatzeko eskema hedagarri bat ematen du

● Bertsioak: SMIv1, SMIv2● Notazioa: ASN.1-en azpimultzoa. Adib:

internet OBJECT IDENTIFIER ::= { iso org(3) dod(6) 1 }

SNMP

http://en.wikipedia.org/wiki/Structure_of_Management_Information

27

SMI-ren osagaiak● Datubase egituraren eta MIB bakoitzaren

zehazpena● Objetu, Modulu eta jakinarazpeen (traps)

definizioak: motak, izenak, sintaxia, MIBak eraikitzeko arauak,...

● BER-en arabera kodifikazioa

SNMP

28

ASN.1● Metahizkuntza edo Notazia hauekin:

● Sintaxia, adib.Esleipenak: A ::= BOharrak: -- zer astuna den ikasgai hau

● Edukierak binariora kodifikatzeko arauak, BER-en arabera

● Programa bat iturritik binariora konpilatzea antzekoa

http://en.wikipedia.org/wiki/Abstract_Syntax_Notation_One

http://en.wikipedia.org/wiki/Basic_Encoding_Rules

http://asn1.org/

SNMP

29

SMI zuhaitza

SNMP

●directory: etorkizunerako erabilpena OSI (X.500) direktorioetarako●management: IAB-n objetu onartuetarako azpizuhaitza●experimental: frogetarakoa●private: fabrikatzaile espezifikoetarakoa

Ez dago nodo erroa

ordena

30

SMI-ko objetuak● Zuhaitzako nodoak: Objetuak=nodo edo

kudeatzeko dispositiboa, eta bere ezaugarriak/bailabideakAdib: Router, bere TCP konexioen taularekin

● Nodo bakoiza bere seme-alabekin talde bat bezala ikus daiteke

● SNMP protokoloa:● Ezin du zuhaitzako egitura aldatu● Bakarrik nodo-hostoak kudea ditzake

SNMP

31

SMI-ko objetuen sintaxia● Identifikazioa eta beste objetuekiko erlazioa● Balio mota:

● Erraztasuna eta interoperabilitatearen alde, bakarrik eskalarrak eta taulak daude; ez dago beste azpiegitura konplexuagorik

● SNMP-k bakarrik tipo eskalarrak irakur/idatz ditzake● Era posibleak (CHOICE)

● Tartea, adib. SYNTAX INTEGER (0..65535)

● Sarbide baimenak (read-only, read-write,...) eta derrigortzea (mandatory, optional)

● DeskribapenaSNMP

32

SMI-ko objetuen identifikazioa● Identifikadore bakarra:

● OBJECT IDENTIFIER tipoa, ASN.1-n● Puntuen bidez banandutatako zenbaki osoen

sekuentzia; zenbaki oso bakoitzak bere adarraren nodoak adierazten ditu

● Noizbehin, dagozkion izenen sekuentzia

Adib.1.3.6.1.2.1.4iso.org.dod.internet.mgmt.mib_2.ip

SNMP

http://www.faqs.org/rfcs/rfc1902.html

33

SMI-ko objetu mota● Eskalarrak:

● 4 Univertsalak: – INTEGER: -231-tik 231-1-etara– OCTET STRING: 0-tik 65535 byte-etara– OBJECT IDENTIFIER– NULL

● Beste tipo bereziak aurrekoetan oinarrituta, APPLICATION klasera elkartutak.

● SMIv2-tan tipo gehiago daude

SNMP

http://www.faqs.org/rfcs/rfc2012.html

34

SMI-ko objetu mota● APPLICATION klaserekin lotutako objetuak:

● NetworkAddress: bakarrik IpAddress dago zehaztuta● IpAddress: 32 bit helbidea● Counter: 0-tik a 232-1-etara (4.294.967.295). Balorea

bakarrik handi daiteke● Gauge: 0-tik to 232-1-etara. Balorea handi edo txiki

daiteke● TimeTicks: segundo-ehunenak, aro batetik● Opaque: edozein datu edozein formatutan, OCTET

STRING bezala kodifikatuta

SNMP

http://www.faqs.org/rfcs/rfc1155.html

35

SMI-ko objetu mota● Array bidimentsionalak (= taulak) hauen bidez:

● SEQUENCE-OF: elementu guztiak mota berdinekoak

● SEQUENCE: elementuak mota berdinekoak edo ez● INDEX hitza lerroak bereizteko.

Adib: tcpConnTable taula

SNMP

http://www.faqs.org/rfcs/rfc2012.html

tcpConnState tcpConnLocalAddress tcpConnLocalPort tcpConnRemAddress tcpConnRemPort

listen(2) 0.0.0.0 21 0.0.0.0 0

listen(2) 0.0.0.0 22 0.0.0.0 0

listen(2) 0.0.0.0 25 0.0.0.0 0

listen(2) 0.0.0.0 80 0.0.0.0 0

established(5) 127.0.0.1 1031 127.0.0.1 1030

established(5) 127.0.0.1 1032 127.0.0.1 1033

36

SMI-ko objetuen definizioa● Mailak:

● Makroren definizioa, ej. OBJECT-TYPE● Makro instantzia, tipoak zehazteko,

adib. tcpMaxConn tipoa definizioa OBJECT-TYPE makroren bidez

● Makro instantziaren balorea, entitate baten baloreak adieraztekoadib. tcpMaxConn balorea, TCP konexio konkretu batean

http://www.faqs.org/rfcs/rfc1212.html

http://www.faqs.org/rfcs/rfc2012.html

SNMP

37

SMI-ko Moduluak● Erlazionatutako zehazpen taldeak adierazten

dituzte● Motak:

● MIB Moduluak, erlazionatutako objetuak definitzeko

● Adostasuneko sententziak, standard bat bete behar diren objetu taldeak

● Gaitasunetako sententziak, agente baten gaitasunak ezagutarazten dizkioten kudeatzaile bati

SNMP

38

SMI eta ASN.1-ri buruzko software

● Adib. implementazioa: libsmi

Debian-en eta deribatuetan:

apt-cache search libsmi apt-cache search ASN.1

SNMP

39

MIB-ak● Erabilpen konkretuetarako SMI-ren adarrak● SMI eta MIB-en arteko desberdintasunak:

● SMI = zehazteko eskema + zuhaitz orokorra● MIBs = azpi-zuhaitz espezifikoak

(semantika+lexikoa), zuhaitz orokorraren barruan

SNMP

http://en.wikipedia.org/wiki/Management_information_base

40

MIB motak● Estandarrak: IETF edo IEEE-k mantenduta.

Adib:● MIB-2: TCP/IP dispositiboen kudeaketa● TCP-MIB: TCP-rako espezifikoa● Ethernet-MIB

● Pribatuak (interoperabilitatea gutxitzen dute):● Fabrikatzaileak NMS-rako testu edo deskribapen

formala ematen du● Arazoa: 3 bertsio; nagusia: RFC 1212

SNMP

http://en.wikipedia.org/wiki/Management_information_base

41

MIB-en adibideak

SNMP

● Debian paketea snmp-mibs-downloader

● Direktorioak:● IANA MIB-ak : /var/lib/mibs/iana● IETF MIB-ak: /var/lib/mibs/ietf● RFC-ak: /usr/share/doc/mibrfcs

42

MIB-2

SNMP

system(1)

interfaces(2)

at (3)

transmission (10)

ip (4)

icmp (5)

tcp (6)

udp (7)

snmp (11)

egp (8)

● TCP/IP dispositiboen kudeaketa● 1.3.6.1.2.1 = iso.org.dod.internet.mgmt.mib_2● 10 nodo = taldeak

http://en.wikipedia.org/wiki/Exterior_Gateway_Protocol

Exterior Gateway Protocol (zaharra)

Zaharra; MIB-1-ekin konpatibilizatzeko mantenduta

Lotura geruzaren datuak

43

MIB-2-ko objetuen baldintzak

SNMP

● Erroreak edo konfigurazioa kudeatzeko premiazkoa izatea

● Kontrol objetu bat bada, "ez arriskutsua" izatea● Erabiltzeko ebidentzia● Erredundantziak sahiesteko, beste objetuetatik

deribatutako objetuak ez sartu● Objetu espezifikoak baztertu, adib. BSD UNIX-

erakoak● Kontrol askorekiko kode sekzio kritikoak sahiestu

(bakarrik kontadore 1)

44

SNMPv1: PDU-ak

PDU type request-id error-status error-index variable-bindings

PDU type enterprise agent-addr generic-trap variable-bindingsspecific-trap time-stamp

PDU type request-id 0 0 variable-bindings

SNMPv1

GetRequest, GetNextRequest, SetRequest

GetResponse

Trap

izen1 balore1 izen2 balore2 izenN baloreN...

●bertsio: 1●community: segurtasunerakoa

version community

IP header UDP header SNMP data

SNMP header SNMP PDU

45

SNMPv1: PDU-ak● request-id: eskaerak eta erantzunak

korrelatzeko; bietan balore berdina erabiltzen da

● error-status, error-index: akatsen kudeaketa● Jakinarazpena:

● enterprise: sortzen duen objetu mota, sysObjectID-en arabera

● agent-addr: sortzen duen objetuaren helbidea● generic-trap, specific-trap: motak eta kodeak● time-stamp: azken sare hasierapenatik; sysUpTime

daukaSNMPv1

46

SNMPv1: PDU-ak● Operazioak:

● Irakurketarako PDU-en (GetRequest, GetNextRequest, Trap) bidezko monitorizazioa

● Idazketarako PDU-en (SetRequest) bidezko kontrola. Objetu espezifiko batzuen baloreak aldatuz, komandoak exekutatzen ditu

SNMPv1

47

SNMPv1: PDU-ak● GetRequest, GetNextRequest eta SetRequest:

● GetResponse-ren bidez baieztatzen dira● Aldagarri bat baino gehiagotan jardun dezakete● Eragiketa atomikoak dira: aldagarriren batean

txarto egiten badute, ez dute beste inon jarduten● Trap: ez da GetResponse-ren bidez baieztatzen

SNMPv1

48

SNMPv1: PDU-ak● GetNextRequest:

● Aldagarri bakoitzarako hurrengo nodo-hostoa lortzen du, orden lexikografikoan

● MIB egitura aurki daiteke dinamikoki

SNMPv1

49

SNMPv1: Segurtasuna● "Komunitateak" kontzeptua: agenteak eta

hauen gainean lan egiten duten kudeatzaile multzoak

● Segurtasun aspektuak:● Komunitatearen izenean onarritutako

autentikazioa. Partekatzen den testu argian dagoen password bat da, normalean "public" edo "private". Oso eskema pobrea.

● Bistetan (MIB view) eta moduetan (ACCESS MODE adib. Read-only) oinarritutako sarbidea

● Biak konbinatzen dira "community profile" batean

SNMPv1

50

RMON● Remote Monitor sare informazioa

monitorizatzeko agenteetarako MIB espezifikoa

● Errendimendu handiagoa sarea (versus dispositiboak) monitorizatzeagatik, adib:Konektibitate faltak edo kongestioaren jakinarazpenak RMON daukaten dispositiboei delegatzea (bestela, dispositibo guztiak jakinarazpenak bidaliko lituzkete)

http://en.wikipedia.org/wiki/Remote_monitoring

RMON

51

RMON● Agentera software batean datza:

● Dispositibo (dedikatu edo ez) batean exekutatzen da, zunda ("probe") deituta. Adib. Switch batean

● Modo promiskuoan funzionatzen da, paketeak harrapatzen

● Ohizko erabilpena: RMON agente bat sare segmentu bakoitzean

● Begiratu MIB-ak eta RFC-ak wikipedian

http://en.wikipedia.org/wiki/Remote_monitoring

RMON

52

RMON● Operazioak:

● Datu taulen bidezko monitorizazioa:– Trafiko txostenak eta akatsen estatistikak– Gerorako analisietarako paketeak bilketa

● Kontrol tauletako lerroen bidez konfigurazioa● Ekintzak objetuen bidez martxan jarri dira.

Objetuak komandoak adierazten dute, eta egoera aldatzen bada martxan jartzen dira

● Polling baino gehiago, jakinarazpenak erabiltzen dira

RMON

53

RMON: MIB-ak● RMON-erako MIB identifikatzailea:

iso.org.dod.internet.mgmt.mib-2.rmon1.3.6.1.2.1.16

● Bertsioak:● RMON1: lotura eta geruza fisikoekin lotuta, bere

MIB-ak 10 objetu talde bereizten ditu: estatistikak, alarmak, iragazkiak, gertaerak,...

● RMON2: sare eta goiko geruzekin lotuta, bere MIB-ak beste 10 objetu talde zehazten ditu

● Bi kasuetan dispositiboak ez ditu objetu guztiak inplementatzen

RMON

54

RMON: sarbide konkurrentea● Arazoak egon daitezke kudeatzaile asko batera

sartzen direnean:● Monitorearen gaitasuna gainditzen da● Monitorearen bailabideak okupatuta/blokeatuta

denbora luze, barruko akats batengatik edo kanpoko kudeatzaile batengatik

RMON

55

RMON: sarbide konkurrentea● Ebazpena: "jabetasun etiketa" zutabea kontrol

tauletan:● Bere jabea adierazten du● Read-write jabearentzat, Read-only besteentzat

● Nodo kudeatzaile batek bere jabea zehazten du, eta askapena berarekin negozia dezake

● Operadore batek askapen aldebakarra egin dezake

RMON

56

Secure SNMP● Autentikazioa eta enkriptazioa ematen du● Ez da SNMPv1-rekin bateragarria, goiburuaren

formatua aldatzen delako:IP header UDP header SNMP data

SNMP header SNMP PDU

privDst authInfo dstParty srcParty SNMP PDU

Enkriptatuta egon daiteke

Authentication Info

Secure SNMP

http://tools.ietf.org/html/rfc1351

57

SNMPv2● SNMPv1-i buruzko aldaketak:

● Sare banatuekin erlazionatuta, managerren arteko komunikazioari esker (RMON bezalako ideia)

● Trafiko eraginkortasun handiagoa balore anitzak lortzeko mezuen bidez

● Segurtasun hobea S-SNMP-etan oinarrituta, baina oso konplexua izateagatik ez zen onartu: SNMPv2 vs SNMPv2c (c=community)

● SMIv2 sortzen da, eta MIB berri bat: 1.3.6.1.6● Tauletan lerroak sortu eta ezabatu ahal dira

● Ez da SNMPv1-rekin konpatiblea, baina proxyak eta ingurune dualak erabil daitezke

SNMPv2

58

SNMPv2: Protokoloa● SNMPv1-i buruzko aldaketak:

● Mezuen goiburuak Secure SNMP-en bezala● PDU-ak:

– Berriak: GetBulkRequest, InformRequest– GetResponse aldatuta: Response– Trap egitura aldatuta. Berdinak: GetRequest,

GetNextRequest, SetRequest, Trap, InformRequest:

– GetRequest, GetNextRequest eta SetRequest ez dira atomikoak, mezuaren aldagarri batzuetan (eta ez guztietan) jardun dezakete

● NMS-en artean trafiko jakinarazpenak daude

PDU type request-id 0 0 variable-bindings

SNMPv2

59

SNMPv2: GetBulkRequest● Datu kopuru handia lortzeko trukeak

txikiagotzeko erabiltzen da● PDU:

● Lehenengo N (non-repeaters) aldagarrietarako GetNextRequest PDU kasuan bezalakoa da, ondorengo bat bakarrik itzultzen

● Beste R aldagarrietarako, ondorengo batzuk (M=max-repetitions) itzultzen dira

PDU type request-id non-repeaters max-repetitions variable-bindings

N+R aldagarriakN M

SNMPv2

60

SNMPv2: GetBulkRequest

Adib:

● GetBulkRequest:– [ non-repeaters = 1, max-repetitions = 2 ]– ( sysUpTime, ipNetToMediaPhysAddress, ipNetToMediaType )

● Response:– sysUpTime.0 = "123456"– ipNetToMediaPhysAddress.1.9.2.3.4 = "000010543210"– ipNetToMediaPhysAddress.2.10.0.0.51= "000010012345"– ipNetToMediaType.1.9.2.3.4= "dynamic"– ipNetToMediaType.2.10.0.0.51= "static"

Interface-Number Physical-Address Network-Address Type1 00:00:10:54:32:10 9.2.3.4 dynamic2 00:00:10:01:23:45 10.0.0.51 static3 00:00:10:98:76:54 10.0.0.15 dynamic

SNMPv2

61

SNMPv2: InformRequest● Trap antzekoa baina Manager-etik baieztapena

behar du. Hau jasotzen ez bada, InformRequest berriro bidaltzen da

● Irizpideak:● Trafiko eraginkortasuna eta memoria baliabideak:

Trap● Hartzeko segurtasuna: InformRequest

SNMPv2

http://www.cisco.com/en/US/docs/ios/11_3/feature/guide/snmpinfm.html

62

SNMPv3● SNMPv2-ri buruzko aldaketak:

● Segurtasuna:– Mezuen osotasuna– Konfidentzialtasuna, paketeak enkriptatuz– Autentizitatea– IP Spoofing: UDP IP spoofing-ekiko (jatorri helbidea

aldaketa) ahula da dispositiboak suplantatzeko, eta SNMPv3-k sahiezteko tresnak dauzka

● Framework edo arquitektura berri bat, hedagarria eta SNMPv1 eta SNMPv2-rekin bateragarria

● MIB berriak 1.3.6.1.6 adarrean

SNMPv3

63

SNMPv3: Segurtasuna● Bi segurtasun gaitasun zehazten dira:

● USM (User-based Security Model):– Autentikazio eta konfidentzialtasun (enkriptazio)

funtzioak ematen ditu– Mezu mailan dago

● VACM (View-based Acess Control Model):– Ekintza desberdinak egiteko MIB-eko objetuen

sarbideko baimena finkatzen du– PDU mailan dago

SNMPv3

64

SNMPv3: Arkitektura● "SNMP entitate"aren kontzeptua: kudeatzaile,

agente edo biak bezala izan daiteke, inplementatzen dituen moduluen arabera

● Bi geruzen araberako eskema:● Aplikazio bat edo gehiago: goiko geruzak PDU-ak

sortzen eta jasotzen ditu● Motor bat: beheko geruza:

– Aplikazio eta beheko geruzetako PDU-etarako bitartekoa da: SNMP bertsioa, protokoloak,...

– Segurtasuna kudeatzen du: autentikazioa, enkriptazioa eta sarbidea

SNMPv3

65

SNMPv3: ArkitekturaKudeatzaile bakarrik Kudeatzaile eta Agente

Notification generator

Agente bakarrik

Ap

lik

azio

ak

Command generator Comand responder

Mo

tor

Proxy forwarder

Notification responder

PDU dispatcher

Message dispatcher

Transportmapping (UDP,..)

Message processingsubsystem (v1, v2, v3)

Security subsystem Access subsystem

Dis

pat

c he

r

SNMPv3

66

SNMPv3: Mezu formatua

msgVersion

msgId

msgMaxSize

msgFlags

msgSecurityModel

msgSecurityParameters

contextEngineID

contextName PDU

MsgGlobalData= goiburua

Segurtasun ereduanzehaztuta eta erabilita

MsgData= ScopedPDU

Enkriptazioesparrua

3

SNMPv2-enakerabiltzen dira

SNMPentitate batenidentifikatzaile

unibokoa

Igorleakerabilitako

eredua

Eskaerak etaerantzunak

koordinatzeko

Mezuaren igorleak jasotzen duenmezu neurri handiena (byte-tan)

Segurtasun sistemaksortutak

●Noiz bidali “Report PDU”●Mezua enkriptatuta badagoen●Autentikazioa erabili bada●...

SNMPv3

67

SNMP-rako software● Inplementazio librearen adibidea: Net-SNMP● Komandoak:

● snmpget - > GetRequestadib:snmpget -v1 -c public localhost 1.3.6.1.2.1.1.1

● snmpgetnext, snmpwalk -> GetNextRequest● snmpset -> SetRequest● snmptrap -> Trap

SNMP-rako Software

http://www.net-snmp.org/

http://net-snmp.sourceforge.net/wiki/index.php/FAQ

68

SNMP-rako software● Ubuntu paketeak:

● Agente (snmpd) eta kudeatzaileko (snmp) oinarrizko softwarea

● Lengoaia batzuetarako lotura eta runtime liburutegiak : C, java, php, perl, python, ruby

● Interfazeak: kontsola, kontsola propioa (scli, snimpy), idazmahaiarako applet, bezero grafikoa, web

● Programa espezifikoak: cacti, collectd, FusionInventory, mrtg, munin, nagios, netdisco, netwox, zabbix

● Dispositiboak: AP, Cisco, UPS,● Besteak: scanner, MIBs downloader, trap-en kudeatzaileak,

tresna batzuk

SNMP-rako Software

69

SNMP-rako software

Software Lizentzia GUI Plataformak

tkmib Askea Tk GNU/Linux

SnmpB Askea Qt GNU/Linux, Windows,...

mbrowse Askea Gtk GNU/Linux, Windows,...

iReasoning Privatiboa Java GNU/Linux, Windows,...

MG-SOFT Privatiboa Windows Windows

● MIB browser dohainak

SNMP-rako Software