2010/06/28 第 20 章 SNMP (Simple Network Management Protocol) 大木研究室飯野 4 年生亨太
目次 1. SNMPの概要 2. SNMPの仕組み 3. MIBについて 4. SNMPのプロトコル 5. SNMPの機能拡張 6. SNMPの将来性 7. まとめ
SNMP の概要
SNMP の概要 (1/6) 背景 インターネットの規模が拡大し IP ネットワーク管理についての統一的な規格が必要となった インターネットを管理するための簡単なシステム 異なるベンダーの装置が混在する多数のネットワークを制御するために 標準方式の管理システムとして SGMP(Simple Gateway Management Protocol) が作られた (RFC1028) しかし インターネットが成長するにつれて より汎用性の高いプロトコルが求められるようになる
SNMP の概要 (2/6) SNMP の登場 SGMP を基盤とした現在の SNMP(Simple Network Management Protocol) が作成された IAB(Internet Architecture Board) は IP と TCP を実装する場合 必ずネットワーク管理ができるようにすること および SNMP を実装することを推奨している SNMP は OSI 管理プロトコルが用意できるまで ネットワーク管理の要求を暫定的に満たすものとして考えられていた しかし OSI 管理プロトコルの提供はすでに時機を失っていているとされている
SNMP の概要 (3/6) SNMP の管理タスク 管理タスクは以下の 5 種類に分類される 1. 障がい管理 2. アカウンティング管理 3. 機器構成管理 4. パフォーマンス管理 5. セキュリティ管理
SNMP の概要 (4/6) 管理タスクの詳細 障がい管理ネットワーク障がいの検出と 可能な場合にはその修復を行う しかし 障がいの修復は非常に困難である アカウンティング管理ネットワークの使用についての統計情報の収集を行う ネットワークのアクセス 課金等の方針を決定するのに有効 機器構成管理ネットワークを構成する 機器の制御と監視を行う
SNMP の概要 (5/6) パフォーマンス管理ネットワークパフォーマンスの統計情報を集め 分析する ネットワークのボトルネックを割り出すことなどに有効である セキュリティ管理さまざまな管理対象装置へのアクセスを制御して ネットワークの安全を確保し 侵入者が検出された場合に管理ステーションに警告を出す
SNMP の概要 (6/6) RFC と SNMP SNMP とその構成要素に関連した RFC はたくさんあるが もっとも重要な 3 つの RFC の以下のものである RFC1155 SNMP が扱う管理情報 MIB の表現法を示してある RFC1157 SNMP の実際のプロトコルと動作を詳しく示した文章 RFC1213 SNMP 準拠装置がサポートすべき 171 種類の MIB オブジェクトを示している (MIB-I)
SNMP の仕組み
SNMP の仕組み (1/5) SNMP と MIB SNMP は MIB(Management Information Base) と呼ばれる情報を UDP を使ってやり取りする MIB はツリー型の構造をもったデータベースで それぞれの項目には数字が付けられている SNMP は この構造体に値を代入したり取り出すことで 装置の情報を収集している MIB PC,WS, サーバー LAN,WAN MIB SNMP マネージャー ルーター 参照 書き込み要求 応答 MIB スイッチ SNMP エージェント
SNMP の仕組み (2/5) SNMP マネージャー SNMP エージェント SNMP マネージャーとエージェント マネージャー側 管理ステーションがサポートすべき機能は 1. SNMP/IPスタックをサポート 2. 統計結果を表示するグラフィカルインターフェース (GUI) 3. 管理される全ての装置のデータベース 4. 各装置がサポートするそれぞれのMIBのデータベース などである よって SNMP マネージャー側のネットワーク管理アプリケーションは複雑で巨大になる
SNMP の仕組み (3/5) SNMP マネージャー SNMP エージェント エージェント側管理ステーション側に比べて エージェント側の装置がサポートする管理機能は以下の理由で小さなものでなければならない 本来の機能 ( トラフィック転送 ) を邪魔しないため SNMPツールを開発する際の理由など これらの理由から SNMP では 強制コマンドのサポートを採用しないようにしている ( 装置をリモートで再起動した場合はコマンドを追加するのではなく MIB のオブジェクトの値の設定で行う )
SNMP の仕組み (4/5) SNMPの3 種類の操作 1. 参照要求 2. 設定要求 3. イベント通知 SNMP マネージャー 参照要求 (GetRequest) 設定要求 (SetRequest) 応答(Response) イベント通知(Trap) SNMP エージェント トラップ (Trap) あらかじめエージェントにトラップを設定しておくことで 何らかの原因でエージェントの状態が変化した場合に そのイベントをマネージャに通知することができる トラップの場合には エージェントは問い合わせが無くてもイベントの通知を行う MIB ポーリング (Polling) 管理ステーションが管理対象のクライアントに対して情報収集を行う場合は 各装置を特定に順番で聴取していく このように通信機器やソフトウェアが一つ一つ相手に聞いて回る方式をポーリングという
SNMP の仕組み (5/5) 認証機構 管理ステーションの管理対象装置へのアクセスをすべて チェックなしで行われるのは好ましくない RFC1157 は以下のような認証方法を定義している エージェントと管理ステーションの組み合わせをSNMPコミュニティとして定義し コミュニティ名という文字列で定義している 管理対象装置のプログラムにより 特定のコミュニティ名の文字列で 読み出しのみ (Read-Only) 書き込みのみ(Write- Only) など 一定レベルのアクセスができるようにする コミュニティ名の文字列は暗号化されないので セキュリティ能力は低いとされている
SNMP の仕組み -MIB-
MIB(1/7) MIB(Management Informaiton Base) MIB は管理オブジェクトを定義するツリー型の構造を持ったデータベースである どのオブジェクトもオブジェクト識別子 (OID) で示されている OID は非負の整数で この数字の列でパスを表している オブジェクトは階層構造の Root を起点に指定するか 任意の階層からの相対パスで位置を示す 1 絶対パス 1.3.6.1.2.1.1 2 2 相対パス {Mgmt 1} 1
MIB(2/7) 主に SNMP で問題となるのは internet サブツリーである 特に重要なのは mgmt グループと private グループの 2 つ グループ名 directory ( 標準 MIB) mgmt ( 標準 MIB) experimental ( 標準 MIB) private ( 拡張 MIB) 説明 OSI ディレクトリ構造の利用方法を記述する ただし 現在までに実装されたことはない 標準 MIB にあるオブジェクトの定義に使う 新しい機能の実験に使用する 通常の使用で利用することはない ベンダー固有のオブジェクトを定義するサブツリー ベンダーが独自に定義した拡張 MIB に分類される
MIB(3/7) MIB には標準 MIB と拡張 MIB があり 拡張 MIB には private サブツリーが含まれる
MIB(4/7) mgmt サブツリーについて 標準 MIB の mgmt ブランチの下にある mib サブツリーには 11 のグループがあり これらの中には全部で 171 のオブジェクトがある グループ番号グループ名説明 1 system SNMP エージェントに関する情報 2 interface インターフェースに関する情報 3 at IP アドレスと物理的なアドレスとの変換テーブル 4 ip IP アドレスに関する情報 5 icmp ICMP に関する情報 6 tcp TCP に関する情報 7 udp UDP に関する情報 8 egp EGP に関する情報 9( 未使用 ) cmot OSI プロトコルの CMOT に関する情報 10 transmission 直接定義されたオブジェクトは持たず ネットワークの送受信をするモジュールに関するグループに置かれてる 11 snmp SNMP に関する情報
MIB(5/7) Private サブツリーについて 拡張 MIBのPrivateブランチの下にはenterpriseと呼ばれるサブツリーがあり その下にベンダーが独自の構造を定義することができる ベンダーはプライベートエンタープライズナンバー (PEN) の割り当てを受け 個別に識別される PEN 2 IBM ベンダー名 9 Cisco 18 Wellfeet 33 Xyplex 43 3Com 59 S.Graphics 63 Apple 74 AT&T PEN の一例
MIB(6/7) SMI(Structure of Management Information) SMI は ネットワーク管理でアクセスされる MIB オブジェクト (MIB 変数 ) の表現方法について定めている SMI は OSI プロトコルのプレゼンテーション層を記述するための言語 ASN.1(Abstract Syntax Notation 1) で表わされる MIB オブジェクトは 次のフォーマットを持っている フォーマット名 OBJECT SYNTAX DESCRIPTION ACCESS STATUS 説明 オブジェクト ID(OID) とオブジェクトタイプを記述する データタイプを記述する オブジェクトについての説明を文字列で記述する アクセス状態を記述する 読み出しのみ (Read-Only) 書き込みのみ (Write-Only) 読み書き (Read-Write) アクセス不可 (Not=Accessible) の 4 種 オブジェクトに求められる格付け 必須 任意 廃用の指定ができる
MIB(7/7) SIM で記述されたオブジェクトの例 以下は RFC1213 より SMI の要求通りに正式にすべてのフォーマットを利用したオブジェクトである sysobjectid OBJECT-TYPE SYNTAX OBJECT IDENTIFIER ACCESS read-only STATUS mandatory DESCRIPTION ::= { system 2 } オブジェクト ID とオブジェクトタイプ データタイプ ( 整数値や IP アドレス 文字列などを指定する ) アクセス ( ここでは読み出しのみ ) "The vendor's authoritative identification 格付け ここでは of Mandatory( the network 必須 ) となっている management subsystem contained in the entity. This value is allocated within the オブジェクトについての説明 SMI enterprises subtree (1.3.6.1.4.1) and provides an easy and unambiguous means for determining `what kind of box' is being managed. For example, if vendor `Flintstones, Inc.' was assigned the subtree 1.3.6.1.4.1.4242, it could assign the identifier 1.3.6.1.4.1.4242.1.1 to its `Fred Router'. このオブジェクトが存在する MIB 上でのバス
SNMP の仕組み - プロトコル -
SNMP のプロトコルについて (1/10) SNMP の UDP データグラム SNMP 交信は完全に独立したメッセージとして UDP データグラムで運ばれる UDP ポート番号は通常の要求と応答に 161 番が トラップの聴取用に 162 番が使われる SNMP の記述形式 SNMP は ASN.1 符号化を使い PDU には可変長ヘッダを使う 記述される内容はバージョン番号 コミュニティストリング データ領域で どれも同じパターンになる
SNMP のプロトコルについて (2/10) SNMP の PDU の種類 SNMP の PDU は実際の操作に対応した以下の 5 種類が存在する 参照要求(GetRequest) 設定要求(SetRequest) MIB SNMP マネージャー 応答(Response) イベント通知(Trap) SNMP エージェント PDU 名 GetRequest PDU GetNextRequest PDU GetResponse PDU SetRequest PDU Trap PDU 説明 管理対象装置に質問するために 管理ステーションが作成する 一つの PDU で複数のオブジェクトの読み取りが可能である 応答は常に GetResponse PDU のみ ルーティングテーブルのような長さ不明のテーブルを調べるときに使用する 指定した値の次に位置する値を返すように要求する 応答は常に GetResponse PDU のみ 要求に対する応答に用いられる PDU の構造は他の Request プロトコルと同じである 管理者がオブジェクトの値を設定しようとするときに用いられる 一つの PDU で複数のオブジェクトを操作することができる 生成するのは管理対象装置のみ 応答は不要で PDU のフォーマットも他の PDU とは異なる
SNMP のプロトコルについて (3/10) ANS.1 によるプロトコルフォーマット Message ::= SEQUENCE{ version } INTEGER{ version-1 (0) }, community OCTET STRING, data ANY バージョン番号は現在 1 バージョン 1 は (0) で示される 認証に用いられるコミュニティ名を示す文字列 データ領域
SNMP のプロトコルについて (4/10) PDU の符号化 SNMP の符号化は次のフォームで符号化される [ 識別子 ] [ データ長さ ] [ データ ] 次に示すのは ANS.1 で使う識別子と それに対応する 16 進数値である ASN.1 基本タイプ SNMP 基本タイプ SNMP 文脈固有タイプ データタイプ ID データタイプ ID データタイプ ID Integer ( 整数 ) Octet String ( オクテットストリング ) 02 IP Address (IP アドレス ) 04 Counter ( カウンタ ) 40 GetRequest A0 41 GetNextRequest A1 Null( ヌル ) 05 Gauge ( ゲージ ) 42 GetResponse A2 Object Identifier ( オブジェクト識別子 ) Sequence ( シーケンス ) 06 Time Ticks ( タイムチック ) 30 Opaque ( 不透明 ) 43 SetRequest A3 44 Trap( トラップ ) A4
SNMP のプロトコルについて (5/10) PDU の符号化例
SNMP のプロトコルについて (6/10) PDU の符号化例 Get/GetNext/Set Request PDU と GetResponsePDU の 4 つの PD U で用いる TrapPDU だけで用いる セキュリティのためのコミュニティ名
SNMP のプロトコルについて (7/10) 要求 ( 応答 )PDU の符号化例その 1 RequestID ::= INTEGER ErrorStatus ::= INTEGER { noerror(0), toobig(1), nosuchname(2), badvalue(3), readonly(4) generr(5) } ErrorIndex ::= INTEGER 可変結合にエラーが検出されたか示す 要求を送るときは値は 0 エラーがあった場合は非 0 特定の値に設定される 照合に使用する識別子 VarBind ::= SEQUENCE { name } ObjectName, value ObjectSyntax VarBindList ::= SEQUENCE OF VarBind OID と値の組 可変結合のエラー検出位置 可変結合のリスト
SNMP のプロトコルについて (8/10) 要求 ( 応答 )PDU の符号化例その 2 RequestID ::= INTEGER ErrorStatus ::= INTEGER { noerror(0), toobig(1), nosuchname(2), badvalue(3), readonly(4) generr(5) } ErrorIndex ::= INTEGER 説明 noerror TooBig nosuchname badvalue readonly GenErr 説明エラーなし VarBind ::= PDUサイズが制限を越え SEQUENCE { たら値が0name になる要求されたオブジェクトが ObjectName, 存在しない value SetRequest ObjectSyntax に矛盾する値が含まれている } 未定義 VarBindList ::= 定義されていないエラー SEQUENCE OF VarBind
SNMP のプロトコルについて (9/10) トラップ PDU の符号化例その 2 Trap-PDU ::= IMPLICIT SEQUENCE { enterprise OBJECT IDENTIFIER, agent-addr NetworkAddress, 企業 エージェントアドレス generic-trap INTEGER { coldstart(0), warmstart(1), linkdown(2), linkup(3), authenticationfailure(4), egpneighborloss(5), enterprisespecific(6) }, specific-trap INTEGER, time-stamp TimeTicks, variable-bindings VarBindList } 汎用トラップタイプ 企業固有のトラップコード エージェントの最新の初期化からの経過時間 追加情報
SNMP のプロトコルについて (10/10) トラップ PDU の符号化例その 2 タイプ名 coldstart 説明 Trap-PDU ::= IMPLICIT SEQUENCE { enterprise OBJECT IDENTIFIER, warmstart linkdown linkup agent-addr NetworkAddress, authenticationfail ure egpneighborloss enterprisespecific 送信プロトコルエンティティの再初期化を検知した そのためエンティティの実装が変更された可能性がある 送信プロトコルエンティティの再初期化を検知したが エンティティの実装に変更はない 通信 link の障害を検知 通信 link の回復を検知 コミュニティー名の一致しない SNMPメッセージの受信 EGP ピアのノードダウン Generic に定義されていない Trap generic-trap INTEGER { coldstart(0), warmstart(1), linkdown(2), linkup(3), authenticationfailure(4), egpneighborloss(5), enterprisespecific(6) }, specific-trap INTEGER, time-stamp TimeTicks, variable-bindings VarBindList }
SNMP の仕組み - 機能改善と将来 -
SNMP の機能改善 (1/2) RMON(Remote Monitoring MIB) SNMP の機能改善の努力のうち もっと大きな部分は 管理そのものから生じるトラフィックを減少させる試みである RFC1757 2021 で定義されている RMON は SNMP エージェントが通信状況を蓄積して MIB データベースに保存しておき 遠隔地の SNMP マネージャからの要求に応じて蓄積したデータを転送することでこの試み実現している 現在のところ 9 つのグループのデータが RMON MIB 用に定義されている
SNMP の機能改善 (2/2) RMON MIB のグループ RMONグループ統計 statistics 履歴 history 警告 alarm ホスト hosts hosttopn マトリックス matrix フィルタ filter パケット収集 capture イベント event 説明 観察したフレーム数を基に統計情報を記録する 設定された時間内に観察したフレーム数を基に統計情報を集める 設定された時間内に設定された値を超えた場合イベントを生成する 検出したホストのアドレスと創出されたフレーム数を報告する どの検出ホストのフレーム送出数が多いかに基づき統計情報を提供する 2 台のホストシステム間の交換についての統計情報を報告する フレームを照合する基準を示す あらかじめ定めたフィルタ条件を満たすフレームの収集を可能とし そのフレームはプローブが要求するまで装置に保存される イベントの発生方法と通知方法を制御する
SNMP の将来性 (1/2) 現在の SNMP について 堅牢なアプリケーションプロトコルとして機能し ほとんどのすべてのネットワーク装置の統計データや設定データを提供することができる しかし 1. MIBが企業固有領域に大きく依存しているため 汎用性がそれほど高くないという欠点もある 2. セキュリティがほとんどないことである という欠点もある
SNMP の将来性 (2/2) MIB におけるベンダーや企業固有の領域に関して 汎用グループが次々に追加され リピータやブリッジなどの 標準装置の機能を報告するために使われ始めている セキュリティに関して SNMPの安全性を高めるために PDUのいくつかの要素を暗号化する議論が多少行われている これらの文書はいくつか作られていて 完全に認められたものではないにしても SNMP の新しいバージョン (SNMPv2) が 利用可能となっている しかし 古いバージョンとの互換性がないため 実際の市場ではまだ受け入れれてないようである
SNMP のまとめ
SNMP のまとめ (1/2) SNMP の仕組みについて SNMP では 管理対象装置は MIB という一連の統計変数や構成変数として扱われる MIB は各種オブジェクトと値の組による階層構造のデータベースで SNMP マネージャーは各装置に要求 PDU をポーリングする このやり取りで このオブジェクトの値を読み取ったり書き換えることで各エージェントの状態を聴取および操作する MIB PC,WS, サーバー LAN,WAN MIB SNMP マネージャー ルーター 参照 書き込み要求 応答 MIB スイッチ SNMP エージェント
SNMP のまとめ (2/2) SNMP の仕様について MIB と PDU は ASN.1( 抽象構文記法 1) によって記述される 新しいタイプの装置が追加されても MIB は一般もしくは拡張 MIB の変更や拡張によって対応することできる PDU も可変長なため MIB の変更に対しても 柔軟に対応できる ASN.1 を使う構造は必要ならば簡単に OSI 管理プロトコルに変換が可能である点も長所である まとめ SNMPはこれまで説明したとおり 完全なものではないが IP 装置の管理手段として広く受けられている スケールの変化に対する柔軟性と 今後見込まれるインターネットの成長に対応することが可能である