、、、、、、、、、、、、、、、、、、、、、、、、 、、、、、、、、、、、、、、、、、、、、、、、、、、 snmp协议详解
一、总体把握
1、基于TCP/IP的网络管理的四个组成部分
(1) 管理信息库（MIB），包含代理进程可能被查询或修改的所有参数，即被管理对象的参数。
(2) 管理信息结构（SMI），管理信息是一个被管理对象的集合，SMI定义了一个设备维护的规则集，用于对被管理对象进行命名和编码。
(3) SNMP协议，管理进程和代理进程之间的通信协议。SNMP协议是应用层协议，其下层协议一般为UDP，管理进程端口号为162，代理进程端口号为161。
(4) 安全机制，在SNMPv1中安全机制很简单，v2和v3在安全机制上作了一些改善。
2、管理信息库和管理信息结构
(1) 管理信息结构之于管理信息库类似于模式之于数据库。管理信息结构定义了每一个对象“看上去像什么”，管理信息库则说明每个对象“是什么”。
(2) 管理信息库的变量。有两种变量，一是简单变量，一是表格。简单变量对应于MIB树中的叶子结点，其标识方法是在其对象标识后面添加“.0”；表格的标识方法是采用联合索引的方式。
3、SNMP协议和安全机制
(1) SNMP协议主要有五种报文get、getnext、set、getresponse，trap。其中前三种报文是管理进程发出的；后两种是代理进程发出的。
(2) 安全机制，SNMPv1采用了“共同体”的字段作为管理进程和代理进程的鉴别密码，只有具有相应的“共同体名”，才有访问权限，这种方式只是简单的明文交换方式；SNMPv2 的安全机制没有本质的改进；SNMPv3提出了新的安全机制，同时还有一套专门的网络安全和访问控制规则。
二、SNMP网络管理工具
1、snmpget
是管理进程从代理进程获取信息的命令。
例如：snmpget -c public localhost system.sysDescr.0
system.sysDescr.0 = Unknown
-c 指明共同体字符串。
2、snmpgetnext
3、snmpset
4、snmptrap
5、snmpwalk
6、snmptranslate
三、SNMP体系结构
1、体系结构可满足的应用需求
(1) 只具有命令应答器和通知产生器应用程序的SNMP实体（传统的代理端Agent）；
(2) 具有代理转发应用程序的SNMP实体（传统的SNMP Proxy Agent）；
(3) 具有命令产生器和通知接收器应用程序的命令行驱动的SNMP实体（传统的管理端Manager）；
(4) 具有命令产生器和通知接收器应用程序，加上命令应答器和通知产生器应用程序的SNMP实体（传统的SNMP中间水平管理器或双重实体）；
(5) 具有命令产生器和通知接收器和其他为了管理大量被管节点的应用程序（传统的（网络）管理站）。
2、本体系结构的目标
(1) 尽可能多的利用现有资源；
(2) 完善对安全机制的支持；
(3)
3、三种安全需求
(1) 主要安全威胁：篡改消息、伪装；
(2) 次要安全威胁：篡改消息流、泄露；
(3) 较小安全威胁：拒绝服务、通信量分解。
4、文档概述
图1所示文档结构定义了SNMP框架。
5、SNMPv3的体系结构
SNMPv3的一个目标是支持一种容易扩展的模块化体系结构，将以前版本中的代理和管理站统一为SNMP实体。SNMP实体由两部分组成：SNMP引擎和SNMP应用程序（如图2）。
SNMP引擎。在同一管理域内，具有唯一的snmpEngineID，SNMP引擎与SNMP实体是一一对应的关系，它包含四个子系统。
l Dispatcher（调度程序）：在一个SNMP引擎中，具有唯一的调度程序，它允许并发支持多版本SNMP消息。主要功能：
1) 从网络上接收或向网络发送SNMP消息；
2) 进行版本确认，并且同相应的消息处理模块交互；
3) 为SNMP应用程序之间传送PDU提供抽象接口。
l Message Processing Subsystem（消息处理子系统）：负责准备要发送的消息和从接收到的消息中提取数据。它包含多个消息处理模型（4个），各个模型对应一个SNMP版本，负责为特定的版本格式准备待发送的消息，和提取特定版本消息的数据。
l Security Subsystem（安全子系统）：包括基于用户的安全模型和基于共同体的安全模型。提供了诸如鉴别、加解密等安全服务。安全子系统定义可防范的威胁，和提供安全服务使用的安全协议。安全协议界定实现机制和过程，以及提供诸如鉴别和加解密服务的MIB对象。
l Access Control Subsystem（访问控制子系统）：包括基于视图的访问控制模型和其他访问控制模型。通过访问控制模型提供授权服务，即确定是否允许访问一个管理对象。访问控制模型为了支持访问权决策，详细定义了访问决策功能。
Applications
五种SNMP实体内部应用程序：
l Command Generator（命令生成器）：生成收集或设置管理数据的SNMP命令；
l Command Responders（命令应答器）：提供对管理数据的访问； l Notification Originators（通知产生器）：初始化Trap或Inform消息；
l Notification Receivers（通知接收器）：接收并处理Trap或Inform消息；
l Proxy Forwarders（代理转发器）：转发SNMP实体之间的消息。 这些应用程序都使用SNMP引擎提供的服务。
包含命令生成器、通知产生器、通知接收器的SNMP实体，即传统的SNMP管理站（如图3）
包含一个或多个命令响应器、通知发生器、代理转发器的SNMP实体，即传统的SNMP代理（如图4）
6、抽象服务接口（Abstract Service Interface）
抽象服务接口描述了SNMP实体内各子系统之间概念接口的，它倾向有助于阐述SNMP实体的外部可见行为，而不倾向于约束内部执行的结构或组织形式，抽象服务接口不能认为是API，它由一组定义了所提供服务和抽象数据元素的原语所
定义。
(1) Dispatcher Primitives（调度程序原语）
调度程序的典型功能是通过PDU调度程序为SNMP应用程序提供服务。 l 产生流出的（Outgoing）请求或通知
PDU调度为应用程序提供如下原语用于向其他SNMP实体发送SNMP请求或通知： statusInformation = -- sendPduHandle if success
-- errorIndication if failure
sendPdu(
IN transportDomain -- transport domain to be used
IN transportAddress -- transport address to be used
IN messageProcessingModel -- typically, SNMP version
IN securityModel -- Security Model to use
IN securityName -- on behalf of this principal
IN securityLevel -- Level of Security requested
IN contextEngineID -- data from/at this entity
IN contextName -- data from/in this context
IN pduVersion -- the version of the PDU
IN PDU -- SNMP Protocol Data Unit
IN expectResponse -- TRUE or FALSE
)
l 处理引入的（Incoming）请求或通知PDU
PDU调度通过如下原语将SNMP PDU传送给应用程序
processPdu( -- process Request/Notification PDU IN messageProcessingModel -- typically, SNMP version IN securityModel -- Security Model in use
IN securityName -- on behalf of this principal IN securityLevel -- Level of Security
IN contextEngineID -- data from/at this SNMP entity IN contextName -- data from/in this context IN pduVersion -- the version of the PDU
IN PDU -- SNMP Protocol Data Unit
IN maxSizeResponseScopedPDU -- maximum size of the Response PDU IN stateReference -- reference to state information ) -- needed when sending a response
l 产生流出的（Outgoing）响应
PDU调度为应用程序返回SNMP响应PDU给PDU调度提供了如下原语： result = -- SUCCESS or FAILURE
returnResponsePdu(
IN messageProcessingModel -- typically, SNMP version IN securityModel -- Security Model in use
IN securityName -- on behalf of this principal IN securityLevel -- same as on incoming request IN contextEngineID -- data from/at this SNMP entity IN contextName -- data from/in this context
IN pduVersion -- the version of the PDU
IN PDU -- SNMP Protocol Data Unit
IN maxSizeResponseScopedPDU -- maximum size sender can accept IN stateReference -- reference to state information -- as presented with the request
IN statusInformation -- success or errorIndication ) -- error counter OID/value if error
l 处理引入的（Incoming）响应PDU
PDU调度通过如下原语将引入的SNMP响应PDU传送给应用程序：
processResponsePdu( -- process Response PDU
IN messageProcessingModel -- typically, SNMP version
IN securityModel -- Security Model in use
IN securityName -- on behalf of this principal
IN securityLevel -- Level of Security
IN contextEngineID -- data from/at this SNMP entity
IN contextName -- data from/in this context
IN pduVersion -- the version of the PDU
IN PDU -- SNMP Protocol Data Unit
IN statusInformation -- success or errorIndication
IN sendPduHandle -- handle from sendPdu
)
l 为操作的SNMP PDU注册职责(响应性)
应用程序可以通过PDU调度的原语为一个特定的contextEngineID或特定的pduType注册或注销职责，可以注册的特定的pduType清单由Message Processing Model（消息处理模型）决定。
statusInformation = -- success or errorIndication
registerContextEngineID(
IN contextEngineID -- take responsibility for this one
IN pduType -- the pduType(s) to be registered
)
unregisterContextEngineID(
IN contextEngineID -- give up responsibility for this one
IN pduType -- the pduType(s) to be unregistered
)
注，实现registerContextEngineID或unregisterContextEngineID抽象服务接口，要为注册各种可能的contextEngineId或pduType参数值的应用程序提供具体实现方式。
(2) Message Processing Subsystem Primitives（消息处理子系统原语） 调度程序为了处理特定版本的SNMP消息，同消息处理子系统进行交互。 l 准备外流的SNMP请求或通知消息
消息处理子系统提供了准备外流的SNMP请求或通知消息的服务原语。 statusInformation = -- success or errorIndication
prepareOutgoingMessage(
IN transportDomain -- transport domain to be used
IN transportAddress -- transport address to be used IN messageProcessingModel -- typically, SNMP version IN securityModel -- Security Model to use
IN securityName -- on behalf of this principal IN securityLevel -- Level of Security requested IN contextEngineID -- data from/at this entity IN contextName -- data from/in this context IN pduVersion -- the version of the PDU
IN PDU -- SNMP Protocol Data Unit
IN expectResponse -- TRUE or FALSE
IN sendPduHandle -- the handle for matching -- incoming responses
OUT destTransportDomain -- destination transport domain OUT destTransportAddress -- destination transport address OUT outgoingMessage -- the message to send
OUT outgoingMessageLength -- its length
)
l 准备外流的SNMP响应消息
消息处理子系统提供准备外流的SNMP响应消息的服务原语。
result = -- SUCCESS or FAILURE
prepareResponseMessage(
IN messageProcessingModel -- typically, SNMP version
IN securityModel -- same as on incoming request IN securityName -- same as on incoming request IN securityLevel -- same as on incoming request IN contextEngineID -- data from/at this SNMP entity IN contextName -- data from/in this context IN pduVersion -- the version of the PDU
IN PDU -- SNMP Protocol Data Unit
IN maxSizeResponseScopedPDU -- maximum size able to accept
IN stateReference -- reference to state information -- as presented with the request
IN statusInformation -- success or errorIndication -- error counter OID/value if error
OUT destTransportDomain -- destination transport domain OUT destTransportAddress -- destination transport address OUT outgoingMessage -- the message to send
OUT outgoingMessageLength -- its length
)
l 从引入的SNMP消息准备数据元素
消息处理子系统提供从引入的SNMP消息抽象数据元素的服务原语。
result = -- SUCCESS or errorIndication
prepareDataElements(
IN transportDomain -- origin transport domain
IN transportAddress -- origin transport address
IN wholeMsg -- as received from the network
IN wholeMsgLength -- as received from the network
OUT messageProcessingModel -- typically, SNMP version
OUT securityModel -- Security Model to use
OUT securityName -- on behalf of this principal
OUT securityLevel -- Level of Security requested
OUT contextEngineID – data from/at this entity
OUT contextName -- data from/in this context
OUT pduVersion -- the version of the PDU
OUT PDU -- SNMP Protocol Data Unit
OUT pduType -- SNMP PDU type
OUT sendPduHandle -- handle for matched request
OUT maxSizeResponseScopedPDU -- maximum size sender can accept OUT statusInformation -- success or errorIndication
-- error counter OID/value if error
OUT stateReference -- reference to state information
-- to be used for possible Response
)
(3) Access Control Subsystem Primitives（访问控制子系统原语）
应用程序相对于访问控制子系统服务是典型客户机程序。访问控制子系统通过如下原语检查是否允许某个访问。
statusInformation = -- success or errorIndication isAccessAllowed(
IN securityModel -- Security Model in use
IN securityName -- principal who wants to access IN securityLevel -- Level of Security
IN viewType -- read, write, or notify view
IN contextName -- context containing variableName IN variableName -- OID for the managed object
)
(4) Security Subsystem Primitives（安全子系统原语） 消息处理子系统相对于安全子系统服务器是典型的客户机程序。 l 产生一条请求或通知消息
安全子系统通过如下原语产生一条请求或通知消息。
statusInformation =
generateRequestMsg(
IN messageProcessingModel -- typically, SNMP version IN globalData -- message header, admin data
IN maxMessageSize -- of the sending SNMP entity IN securityModel -- for the outgoing message
IN securityEngineID -- authoritative SNMP entity IN securityName -- on behalf of this principal IN securityLevel -- Level of Security requested
IN scopedPDU -- message (plaintext) payload
OUT securityParameters -- filled in by Security Module OUT wholeMsg -- complete generated message
OUT wholeMsgLength -- length of the generated message )
l 处理引入的消息
安全子系统通过如下原语处理引入的消息
statusInformation = -- errorIndication or success
-- error counter OID/value if error
processIncomingMsg(
IN messageProcessingModel -- typically, SNMP version
IN maxMessageSize -- of the sending SNMP entity
IN securityParameters -- for the received message
IN securityModel -- for the received message
IN securityLevel -- Level of Security
IN wholeMsg -- as received on the wire
IN wholeMsgLength -- length as received on the wire
OUT securityEngineID -- authoritative SNMP entity
OUT securityName -- identification of the principal
OUT scopedPDU, -- message (plaintext) payload
OUT maxSizeResponseScopedPDU -- maximum size sender can handle OUT securityStateReference -- reference to security state
) -- information, needed for response
l 产生应答消息
安全子系统通过如下原语产生应答消息。
statusInformation =
generateResponseMsg(
IN messageProcessingModel -- typically, SNMP version IN globalData -- message header, admin data
IN maxMessageSize -- of the sending SNMP entity IN securityModel -- for the outgoing message
IN securityEngineID -- authoritative SNMP entity IN securityName -- on behalf of this principal
IN securityLevel -- for the outgoing message
IN scopedPDU -- message (plaintext) payload
IN securityStateReference -- reference to security state -- information from original request
OUT securityParameters -- filled in by Security Module OUT wholeMsg -- complete generated message
OUT wholeMsgLength -- length of the generated message )
(5) 公用原语（Common Primitives）
如下原语是多个子系统公用的原语。
l Release State Reference Information（释放状态索引信息）
所有传送状态索引信息的子系统同时提供了释放状态索引的原语，用于释放存放索引内存。
stateRelease(
IN stateReference -- handle of reference to be released
)
(6)方案图
l 命令生成器或通知产生器
这张图反映命令生成器或通知产生器应用程序如何请求、PDU如何发送以及应答如何返回给应用程序的。
l 命令应答器应用程序的方案图
本张图给出命令应答器或通知接收器应用程序如何注册PDUType处理，在接收到SNMP消息后如何将PDU调度到应用程序，以及响应如何回送到网络。
7、SNMP管理框架被管对象的定义
(1)SNMP管理框架中用到的文本协定
l SnmpEngineID：是一个SNMP引擎管理的唯一标识，它只用来标势不用于选址，即使使用了地址。它的值不能全0也不能全1或者为空，其初始值可由控制台配置，也可由算法生成，推荐使用算法生成方式。
l SnmpSecurityModel：是在一个SNMP管理体系中唯一标识安全模型的标识符。它的值通过如下方式分配：0不标识任何安全模型；1—255（包括255）保留给IANA；大于255分配给各个企业安全模型。
l SnmpMessageProcessingModel：是在一个SNMP管理体系中唯一标识消息处理模型的标识符。它的值通过如下方式分配：0—255(包括255)保留给IANA；大于255指派给各个企业消息处理模型。
l SnmpSecurityLevel：SNMP消息在哪个安全水平上可以被发送或被处理。它的值有：noAuthNoPriv，AuthNoPriv，AuthPriv。
l SnmpAdminString：一个包含管理信息可被人识别的八位字符串。
(2)管理分配
l snmpFrameworkAdmin
l snmpFrameworkMIBObject l snmpFrameworkConformance
(3)snmpEngine组
l snmpEngine
l snmpEngineID：
l snmpEngineBoots
l snmpEngineTime
l snmpEngineMaxMessageSize
(4)鉴别和加解密协议的注册点
l SnmpAuthProtocols
l SnmpPrivProtocols
(5)一致性信息（conformance information） l SnmpFrameworkMIBCompliances l SnmpFrameworkMIBGroup