Jiayu Lab
← Back to Learning Notes

教材补充：SNMP 与网络管理

Chinese-language Computer Science 408 note: 教材补充：SNMP 与网络管理. Original source available where applicable.

Computer Science 408Record date10 min read
408Computer Networks
On this page

This note is currently available in Chinese. The original wording, formulas and diagrams are preserved to avoid an unverified technical translation.

NOTE · 补充属性 本文不是 Lecture 12 原始知识图的转写，而是为完整表达计算机网络教材中的网络管理体系新增的教材补充。内容以 SNMP 管理框架为主，区分管理体系、MIB/SMI、协议操作、端口、通知可靠性和版本安全边界；考纲只作为最低覆盖线。

描述：网络管理不是“远程登录设备”的同义词，而是由管理站通过标准化对象模型持续观察、配置和接收设备事件。SNMP 把被管资源抽象为 MIB 中的对象，管理站向代理读取或设置对象，也可由代理主动发送通知。

6.1 网络管理的目标

教材常用 FCAPS 概括网络管理的五类任务：

类别 目标 典型问题
故障管理 Fault 发现、隔离、记录并恢复故障 接口 down、链路误码突增、设备失联
配置管理 Configuration 保存和变更设备参数、核对配置 地址、路由、VLAN、阈值和软件版本
计费管理 Accounting 统计资源使用并支持配额/计费 用户或业务流量、会话时长、资源占用
性能管理 Performance 测量容量、利用率、时延、丢包和趋势 带宽利用率、队列长度、CPU/内存负载
安全管理 Security 控制管理访问并审计安全事件 身份认证、权限、日志、密钥和告警

这五类任务是管理目标，不代表 SNMP 单独完成全部工作。日志、流量遥测、配置协议、命令行和控制器也可参与网络管理。

6.2 管理站、代理与被管设备

组成 职责
管理站/NMS 发起查询或设置、展示状态、保存历史、触发告警与自动化
被管设备 路由器、交换机、主机、服务器、打印机等受管理实体
SNMP 代理 Agent 运行在被管设备上，把本地状态映射为管理对象并处理 SNMP 操作
MIB 按对象标识符组织的“管理信息虚拟存储”，定义可观察或可设置的对象 
flowchart LR
    NMS[网络管理站 / NMS] -->|Get / Set，通常 UDP 161| A1[设备 A 的 SNMP Agent]
    NMS -->|Get / Set，通常 UDP 161| A2[设备 B 的 SNMP Agent]
    A1 --> M1[MIB 对象与本地状态]
    A2 --> M2[MIB 对象与本地状态]
    A1 -.Trap / Inform，通常发往 UDP 162.-> NMS
    A2 -.Trap / Inform，通常发往 UDP 162.-> NMS

MIB 是逻辑对象集合，不等于设备里必须存在一张独立关系数据库。代理可在收到请求时从驱动、内核计数器或硬件寄存器读取当前值。

6.3 SMI、MIB 与 OID

6.3.1 三者分工

  • **SMI（管理信息结构）**规定对象如何命名、允许的数据类型、模块如何书写以及一致性要求。
  • MIB 模块使用 SMI 定义一组相关的被管对象。
  • **OID（对象标识符）**是在全局树形命名空间中的数字路径，用来唯一标识对象类型或对象实例。

OID 可写成点分数字，例如 1.3.6.1.2.1...。它不是 IP 地址：每个数字表示从 OID 树的某个节点走向子节点。标量对象的具体实例常在对象 OID 后加 .0；表对象则在列对象 OID 后附索引值。

6.3.2 常见对象语义

对象类型 例子 注意
标量 系统运行时间、设备名称 具体实例常以 .0 结尾
计数器 Counter 接口累计字节数、丢包数 会回绕；求速率要用两次采样差分并处理回绕
Gauge 当前队列长度、连接数 可升可降，表示瞬时量
表 Table 接口表、路由表 由行、列和索引确定具体单元

“MIB 中存在对象”不等于对象一定可写。访问权限可为只读、可读写或不可访问，并且还受 SNMPv3 访问控制策略限制。

6.4 SNMP 协议操作

操作/PDU 方向 作用 是否期望响应
GetRequest 管理站 -> 代理 读取一个或多个指定对象实例 是
GetNextRequest 管理站 -> 代理 读取词典序上的下一个对象，便于遍历 OID 树或表 是
GetBulkRequest 管理站 -> 代理 SNMPv2 及以后批量取得后续对象，减少逐项往返 是
SetRequest 管理站 -> 代理 请求修改允许写入的对象 是
Response 代理/接收方 -> 请求方 返回值、错误状态和与请求对应的 request-id -
Trap 代理 -> 通知接收器 主动报告事件；不等待协议级确认 否
InformRequest 实体 -> 实体 发送需要确认的通知 是
Report SNMPv3 框架内部常用 报告消息处理或安全相关问题 不按普通管理查询理解

多个变量通常放在同一 PDU 的变量绑定列表中。GetNext 依赖 OID 的词典序，不是“读取整数值加一后的对象”；GetBulk 是批量遍历工具，不保证所有设备或所有 SNMP 版本都支持。

6.5 运输层与端口

教材和常见部署通常按以下模型理解：

用途 常用运输层与端口
管理站向代理查询/设置，代理返回 Response UDP 161
Trap/Inform 发往通知接收器 UDP 162

IANA 同时登记了 TCP 161/162，但基础教材、408 题目和绝大多数经典 SNMP 流程默认 UDP。端口 161/162 是目的服务端口的常见值，响应报文按请求的源地址和源端口返回，不能机械地把每个方向的源端口也写死。

UDP 无连接、开销小，但不替 SNMP 保证交付、顺序或无重复：

  • 管理站对 Get/Set 超时后可重试，并用 request-id 匹配 Response；重试可能造成重复请求，因此 Set 操作的设计应考虑幂等性和实际设备语义。
  • Trap 本身不确认，丢失后管理站可能不知道事件发生过。
  • Inform 需要接收方返回 Response，可靠性高于 Trap，但仍需超时与重传策略。

6.6 轮询与事件通知

SNMP 通常把两种机制组合使用：

  1. 轮询 polling：管理站周期性 Get/GetBulk，适合采集利用率、计数器和当前状态；频率过高会增加设备、网络和管理站负载，过低则可能错过短暂异常。
  2. 事件通知 notification：代理在接口状态变化、阈值越界等事件发生时发送 Trap 或 Inform，时效高；仅靠 Trap 又会受丢包和配置错误影响。

成熟的监控一般用通知快速发现事件，再通过查询确认当前状态，并用周期轮询弥补通知丢失。

6.7 版本与安全边界

版本 主要特点 安全边界
SNMPv1 基本 Get、GetNext、Set、Response、Trap 常用 community 字符串，缺少现代认证、完整性和保密保护
SNMPv2c 增加 GetBulk、改进错误处理和计数器/通知能力 仍以 community 为主，不应把它当作强身份认证或加密
SNMPv3 模块化消息处理、安全与访问控制 可用 USM/VACM 提供认证、完整性、重放防护、隐私和细粒度授权

SNMPv3 常见安全级别：

  • noAuthNoPriv：不认证、不加密。
  • authNoPriv：认证并保护完整性，但不加密载荷。
  • authPriv：认证、完整性保护并加密载荷。

因此“使用 SNMPv3”本身不等于一定加密，仍要看实际安全级别和算法配置。USM 负责用户身份、消息完整性、及时性/重放防护与隐私；VACM 根据安全主体、上下文和视图限制可读写的 OID 范围。

6.8 一次查询与一次告警

sequenceDiagram
    participant M as 管理站
    participant A as 设备 Agent
    M->>A: GetRequest(sysUpTime.0, request-id=K)
    A-->>M: Response(request-id=K, value=...)
    Note over M,A: request-id 用于把响应与请求对应
    A-->>M: Trap(linkDown)
    Note over M,A: Trap 不等待确认；管理站可再查询接口表核实

若管理站要遍历接口表，可先从相应表的起始 OID 发 GetNext，或用 GetBulk 批量取回多行。返回的 OID 与值必须一起检查，不能只假定代理一定返回预期列。

6.9 高频边界与易错点

  • SNMP 是应用层管理协议；MIB/SMI 是信息模型和定义规则，三者不能混为一个概念。
  • 管理站通常主动查询，代理也能主动通知；不能把代理理解成只会被动回复。
  • UDP 161 通常接收查询/设置，UDP 162 通常接收通知；不是“Trap 发到代理 161”。
  • Trap 不确认，Inform 期望 Response；两者都不等于 TCP 式可靠字节流。
  • OID 是树形对象标识，不是 IP 地址；标量实例常见的末尾 .0 不能随意省略。
  • GetNext 返回词典序下一个可访问对象；GetBulk 是批量 GetNext 思想，不是一次读取整个 MIB。
  • Set 只能修改代理实现、对象权限和访问控制都允许的对象，不能绕过设备自身校验。
  • 计数器绝对值不是速率；速率要用两个采样点之差除以时间，并考虑计数器回绕和接口复位。
  • SNMPv1/v2c 的 community 不应视为加密口令；跨不可信网络应使用恰当配置的 SNMPv3 或额外安全边界。

相关知识

6.10 本节复盘

  • 网络管理由管理站、被管设备、代理和管理信息模型协同完成，目标可按 FCAPS 分类。
  • SMI 规定管理信息的定义框架，MIB 组织被管对象，OID 唯一标识对象类型或实例。
  • Get/GetNext/GetBulk 读取，Set 修改，Response 应答；Trap 不确认，Inform 需要确认。
  • 常见查询/设置使用 UDP 161，通知接收使用 UDP 162；UDP 丢包由超时、重试、轮询和 Inform 等机制补偿。
  • SNMPv3 只有在正确选择认证/隐私级别并配置访问控制时，才提供相应的身份、完整性、重放防护、保密和授权能力。

参考标准