Jiayu Lab
← 返回学习笔记

教材补充：SNMP 与网络管理

408 学习笔记：教材补充：SNMP 与网络管理。保留原有知识内容、公式与图示；有对应原件时提供查看和下载入口。

408 计算机记录日期约 10 分钟阅读
408计算机网络
本页目录

NOTE · 补充属性 本文不是 Lecture 12 原始知识图的转写，而是为完整表达计算机网络教材中的网络管理体系新增的教材补充。内容以 SNMP 管理框架为主，区分管理体系、MIB/SMI、协议操作、端口、通知可靠性和版本安全边界；考纲只作为最低覆盖线。

描述：网络管理不是“远程登录设备”的同义词，而是由管理站通过标准化对象模型持续观察、配置和接收设备事件。SNMP 把被管资源抽象为 MIB 中的对象，管理站向代理读取或设置对象，也可由代理主动发送通知。

6.1 网络管理的目标

教材常用 FCAPS 概括网络管理的五类任务：

类别 目标 典型问题
故障管理 Fault 发现、隔离、记录并恢复故障 接口 down、链路误码突增、设备失联
配置管理 Configuration 保存和变更设备参数、核对配置 地址、路由、VLAN、阈值和软件版本
计费管理 Accounting 统计资源使用并支持配额/计费 用户或业务流量、会话时长、资源占用
性能管理 Performance 测量容量、利用率、时延、丢包和趋势 带宽利用率、队列长度、CPU/内存负载
安全管理 Security 控制管理访问并审计安全事件 身份认证、权限、日志、密钥和告警

这五类任务是管理目标，不代表 SNMP 单独完成全部工作。日志、流量遥测、配置协议、命令行和控制器也可参与网络管理。

6.2 管理站、代理与被管设备

组成 职责
管理站/NMS 发起查询或设置、展示状态、保存历史、触发告警与自动化
被管设备 路由器、交换机、主机、服务器、打印机等受管理实体
SNMP 代理 Agent 运行在被管设备上，把本地状态映射为管理对象并处理 SNMP 操作
MIB 按对象标识符组织的“管理信息虚拟存储”，定义可观察或可设置的对象 
flowchart LR
    NMS[网络管理站 / NMS] -->|Get / Set，通常 UDP 161| A1[设备 A 的 SNMP Agent]
    NMS -->|Get / Set，通常 UDP 161| A2[设备 B 的 SNMP Agent]
    A1 --> M1[MIB 对象与本地状态]
    A2 --> M2[MIB 对象与本地状态]
    A1 -.Trap / Inform，通常发往 UDP 162.-> NMS
    A2 -.Trap / Inform，通常发往 UDP 162.-> NMS

MIB 是逻辑对象集合，不等于设备里必须存在一张独立关系数据库。代理可在收到请求时从驱动、内核计数器或硬件寄存器读取当前值。

6.3 SMI、MIB 与 OID

6.3.1 三者分工

  • **SMI（管理信息结构）**规定对象如何命名、允许的数据类型、模块如何书写以及一致性要求。
  • MIB 模块使用 SMI 定义一组相关的被管对象。
  • **OID（对象标识符）**是在全局树形命名空间中的数字路径，用来唯一标识对象类型或对象实例。

OID 可写成点分数字，例如 1.3.6.1.2.1...。它不是 IP 地址：每个数字表示从 OID 树的某个节点走向子节点。标量对象的具体实例常在对象 OID 后加 .0；表对象则在列对象 OID 后附索引值。

6.3.2 常见对象语义

对象类型 例子 注意
标量 系统运行时间、设备名称 具体实例常以 .0 结尾
计数器 Counter 接口累计字节数、丢包数 会回绕；求速率要用两次采样差分并处理回绕
Gauge 当前队列长度、连接数 可升可降，表示瞬时量
表 Table 接口表、路由表 由行、列和索引确定具体单元

“MIB 中存在对象”不等于对象一定可写。访问权限可为只读、可读写或不可访问，并且还受 SNMPv3 访问控制策略限制。

6.4 SNMP 协议操作

操作/PDU 方向 作用 是否期望响应
GetRequest 管理站 -> 代理 读取一个或多个指定对象实例 是
GetNextRequest 管理站 -> 代理 读取词典序上的下一个对象，便于遍历 OID 树或表 是
GetBulkRequest 管理站 -> 代理 SNMPv2 及以后批量取得后续对象，减少逐项往返 是
SetRequest 管理站 -> 代理 请求修改允许写入的对象 是
Response 代理/接收方 -> 请求方 返回值、错误状态和与请求对应的 request-id -
Trap 代理 -> 通知接收器 主动报告事件；不等待协议级确认 否
InformRequest 实体 -> 实体 发送需要确认的通知 是
Report SNMPv3 框架内部常用 报告消息处理或安全相关问题 不按普通管理查询理解

多个变量通常放在同一 PDU 的变量绑定列表中。GetNext 依赖 OID 的词典序，不是“读取整数值加一后的对象”；GetBulk 是批量遍历工具，不保证所有设备或所有 SNMP 版本都支持。

6.5 运输层与端口

教材和常见部署通常按以下模型理解：

用途 常用运输层与端口
管理站向代理查询/设置，代理返回 Response UDP 161
Trap/Inform 发往通知接收器 UDP 162

IANA 同时登记了 TCP 161/162，但基础教材、408 题目和绝大多数经典 SNMP 流程默认 UDP。端口 161/162 是目的服务端口的常见值，响应报文按请求的源地址和源端口返回，不能机械地把每个方向的源端口也写死。

UDP 无连接、开销小，但不替 SNMP 保证交付、顺序或无重复：

  • 管理站对 Get/Set 超时后可重试，并用 request-id 匹配 Response；重试可能造成重复请求，因此 Set 操作的设计应考虑幂等性和实际设备语义。
  • Trap 本身不确认，丢失后管理站可能不知道事件发生过。
  • Inform 需要接收方返回 Response，可靠性高于 Trap，但仍需超时与重传策略。

6.6 轮询与事件通知

SNMP 通常把两种机制组合使用：

  1. 轮询 polling：管理站周期性 Get/GetBulk，适合采集利用率、计数器和当前状态；频率过高会增加设备、网络和管理站负载，过低则可能错过短暂异常。
  2. 事件通知 notification：代理在接口状态变化、阈值越界等事件发生时发送 Trap 或 Inform，时效高；仅靠 Trap 又会受丢包和配置错误影响。

成熟的监控一般用通知快速发现事件，再通过查询确认当前状态，并用周期轮询弥补通知丢失。

6.7 版本与安全边界

版本 主要特点 安全边界
SNMPv1 基本 Get、GetNext、Set、Response、Trap 常用 community 字符串，缺少现代认证、完整性和保密保护
SNMPv2c 增加 GetBulk、改进错误处理和计数器/通知能力 仍以 community 为主，不应把它当作强身份认证或加密
SNMPv3 模块化消息处理、安全与访问控制 可用 USM/VACM 提供认证、完整性、重放防护、隐私和细粒度授权

SNMPv3 常见安全级别：

  • noAuthNoPriv：不认证、不加密。
  • authNoPriv：认证并保护完整性，但不加密载荷。
  • authPriv：认证、完整性保护并加密载荷。

因此“使用 SNMPv3”本身不等于一定加密，仍要看实际安全级别和算法配置。USM 负责用户身份、消息完整性、及时性/重放防护与隐私；VACM 根据安全主体、上下文和视图限制可读写的 OID 范围。

6.8 一次查询与一次告警

sequenceDiagram
    participant M as 管理站
    participant A as 设备 Agent
    M->>A: GetRequest(sysUpTime.0, request-id=K)
    A-->>M: Response(request-id=K, value=...)
    Note over M,A: request-id 用于把响应与请求对应
    A-->>M: Trap(linkDown)
    Note over M,A: Trap 不等待确认；管理站可再查询接口表核实

若管理站要遍历接口表，可先从相应表的起始 OID 发 GetNext，或用 GetBulk 批量取回多行。返回的 OID 与值必须一起检查，不能只假定代理一定返回预期列。

6.9 高频边界与易错点

  • SNMP 是应用层管理协议；MIB/SMI 是信息模型和定义规则，三者不能混为一个概念。
  • 管理站通常主动查询，代理也能主动通知；不能把代理理解成只会被动回复。
  • UDP 161 通常接收查询/设置，UDP 162 通常接收通知；不是“Trap 发到代理 161”。
  • Trap 不确认，Inform 期望 Response；两者都不等于 TCP 式可靠字节流。
  • OID 是树形对象标识，不是 IP 地址；标量实例常见的末尾 .0 不能随意省略。
  • GetNext 返回词典序下一个可访问对象；GetBulk 是批量 GetNext 思想，不是一次读取整个 MIB。
  • Set 只能修改代理实现、对象权限和访问控制都允许的对象，不能绕过设备自身校验。
  • 计数器绝对值不是速率；速率要用两个采样点之差除以时间，并考虑计数器回绕和接口复位。
  • SNMPv1/v2c 的 community 不应视为加密口令；跨不可信网络应使用恰当配置的 SNMPv3 或额外安全边界。

相关知识

6.10 本节复盘

  • 网络管理由管理站、被管设备、代理和管理信息模型协同完成，目标可按 FCAPS 分类。
  • SMI 规定管理信息的定义框架，MIB 组织被管对象，OID 唯一标识对象类型或实例。
  • Get/GetNext/GetBulk 读取，Set 修改，Response 应答；Trap 不确认，Inform 需要确认。
  • 常见查询/设置使用 UDP 161，通知接收使用 UDP 162；UDP 丢包由超时、重试、轮询和 Inform 等机制补偿。
  • SNMPv3 只有在正确选择认证/隐私级别并配置访问控制时，才提供相应的身份、完整性、重放防护、保密和授权能力。

参考标准