3-5：网络安全协议-网络管理协议.ppt

Internet安全体系－网络管理协议 网络管理协议 网络管理协议：应用层协议 支持配置管理、审计和事件记录等管理功能，并且为诊断网络问题提供了工具 包括工作站、服务器、网卡、路由器、网桥和集线器等构成网络的硬件设备的管理 网络管理协议：Internet SNMP Internet网络管理协议的标准 TCP/IP协议族的一部分 SNMP设计时的目标： 功能简单化 易扩充性 结构独立性 健壮性 网络管理协议：Internet SNMP SNMP体系结构模型 为什么要使用管理代理？ 网络管理协议：Internet SNMP 管理信息库MIB 通过网络管理协议可以访问的信息 使用一个层次型,结构化的形式 管理站通过检索MIB目标的值来实现监视任务，通过改变特定对象的值来改变管理代理的配置 网络管理协议：Internet SNMP 管理站 充当网络管理人员进入网络系统的接口,监视和控制网络 与在不同的被管理节点中的代理通信，并且显示这些代理状态的中心设备。 管理数据分析,故障恢复等的应用程序集 把网络管理人员的要求转换为对网络中远程要素实际监视和控制 网络管理协议：Internet SNMP 管理站和管理代理通过网络管理协议进行联接.协议主要包括功能: Get Set Notify SNMPv1 SNMPv1的安全特征 代理对MIB的控制 身份认证服务 访问策略 代理服务 共同体和共同体名称 SNMPv1 认证服务 只为认证提供普通的方案。从管理器到代理的每条消息（获取或发送请求）都包括一个共同体的名称。该名称作为口令，如果发送方知道口令，该条消息就被确认是可信的。 SNMPv1 访问策略 访问控制有两个方面的内容： 1）SNMP MIB 视图：MIB中对象的子集 为每个共同体定义不同的MIB视图 视图中的对象集合不需要属于MIB的单个子树 2）SNMP 访问模式： READ-ONLY/READ-WRITE 每个共同体中都定义了访问模式 SNMPv1 SNMPv1的不足 缺乏对分布式网络管理的支持，不支持管理站-管理站之间的通信，它不允许一个管理系统去了解由另一个管理系统管理的设备和网络的状况。 功能缺陷：基于一种主动轮询的监视机制，轮询间隔短时对网络性能影响很大，不适合大规模的网络管理; 安全缺陷 SNMPv1 SNMPv1的安全缺陷 欺骗 修改信息 信息泄漏 SNMPv2 --分布式网络管理 SNMPv2 SNMPv2功能的改进 增加了两条新命令 Inform GetBulk SNMPv3 SNMPv3 SNMPv3 的安全特征 SNMPv3 不是独立的取代SNMPv1 或SNMPv2 的协议，定义为一种安全能力而与SNMPv2或SNMPv1 联合使用。 SNMPv3 可以被看成是附加了安全和管理能力的SNMPv2。 RFC2570 到2575 描述了整体的SNMPv3。 SNMP协议体系结构 SNMPv3 SNMP体系结构 SNMP实体 实体是代理、管理器或两者的结合 每个SNMP实体包括一个单独的SNMP引擎 SNMP引擎 SNMP引擎实现发送和接收消息的功能，认证和加密解密消息，控制对管理对象的访问 SNMP引擎和所支持的应用程序都是定义成离散模块的集合 SNMP体系结构 典型SNMP管理器 命令生成器程序 通知始发器程序 通知接收器程序 SNMP管理器引擎 调度程序 消息处理子系统 安全子系统 SNMP体系结构 典型SNMP代理 命令响应器应用程序 通知始发器应用程序 代理转发器应用程序 代理引擎 调度程序 消息处理子系统 安全子系统（USM） 访问控制子系统（VACM） 1. SNMPv3调度程序 对于传出的PDU，调度程序从应用程序接收PDU。对每个PDU，调度程序确定消息处理需要的类型(v1,v2或v3),传送给消息处理子系统中合适的处理模块。消息处理子系统返回一条包含了该PDU和正确消息报头的消息，调度程序把消息映像到传输层 对传入的消息，调度程序把它发送给合适的消息处理模块。消息处理子系统返回在该条消息中获得的PDU。调度程序把其送给合适的应用程序 2. SNMPv3消息处理模型 负责从调度程序接收PDU,封装进消息,调用USM在消息报头插入安全相关的参数 接收传来的消息,调用USM处理消息报头的安全相关参数,对调度程序分配封装的PDU 3. SNMPv3用户安全模型 基于用户的安全模型 USM提供了身份认证和保密服务 USM设计是为了防范以下主要威胁: 信息的修改 伪装 消息流修改 泄密 USM不能防范以下两种威胁: 拒绝服务 通信分析 3. SNMPv3用户安全模型 USM privKey和authKey 认证：使用HMAC-MD5-96或HMAC-SHA-96 加密：使用DES CBC