网络协议之SNMP

概述

SNMP（Simple Network Management Protocol，简单网络管理协议）是 TCP/IP协议族中用于远程监控与管理网络设备的标准应用层协议。它由 IETF（互联网工程任务组）制定，最早发布于 1988 年。

核心目标：提供一种轻量、通用、跨厂商的机制，让网络管理员能集中监控和管理大量异构网络设备（如路由器、交换机、服务器、打印机、网络摄像头等）。

SNMP 核心思想与关键组成

SNMP的核心思想是：通过网络管理站去收集被管理设备上的状态信息和性能数据，并能够远程修改设备配置或触发动作。

✅ 关系图：
NMS ←→ Agent ↔ MIB
NMS 通过 SNMP 协议与 Agent 通信；Agent 从 MIB 中读取/写入数据。

一个生动的比喻：
想象一家医院的中央监控室。

管理站就是中央监控室的电脑屏幕。
被管理设备就是每个病房的病人。
代理就是病人身上的各种生命体征监测仪（心率、血压仪）。
MIB就是一本标准的医学手册，规定了“心率”对应哪个编号、正常范围是多少。
SNMP协议就是护士按照手册，去每个床位读取数据或调整仪器设定的标准化流程。

SNMP的核心组件

SMI

SMI定义了组织管理信息的规则。它规定了：

如何命名管理对象（使用OID）。
如何定义管理对象的类型（如整数、字符串、IP地址等）。
如何对管理对象进行编码（用于网络传输）。

MIB

MIB是一个逻辑上的数据库，它描述了被管理设备上所有可被管理的对象。每个对象都有一个唯一的标识符—— OID（Object Identifier）。

MIB文件：一个文本文件，按照SMI的规则，定义了一组相关的管理对象。
常见MIB： IF-MIB（接口信息）、IP-MIB、TCP-MIB、HOST-RESOURCES-MIB（主机资源）等。

🔍 查看 MIB：可通过 MIB Browser 工具加载厂商提供的 .mib 文件进行可视化浏览。

OID

OID是SNMP世界的全局唯一标识符，采用树形层次结构。

结构：从根开始，用一串以点分隔的整数表示。
- 例如：1.3.6.1.2.1.1.1 表示 sysDescr（系统描述）。
树的路径：
- iso(1).org(3).dod(6).internet(1) 这是固定的前缀。
- .mgmt(2).mib-2(1) 这是标准MIB-2库的节点。
- .system(1).sysDescr(1) 这是系统描述对象。

作用：管理站通过指定OID来“问”代理：“请告诉我 1.3.6.1.2.1.1.1 这个对象的值是什么？”
示例：

iso(1)
 └── org(3)
     └── dod(6)
         └── internet(1)
             └── mgmt(2)
                 └── mib-2(1)
                     ├── system(1) → sysDescr = 1.3.6.1.2.1.1.1
                     ├── interfaces(2)
                     └── ip(4)

sysDescr 的完整 OID：1.3.6.1.2.1.1.1
表示设备描述信息（如 “Huawei NE40E”）

SNMP报文

SNMP报文运行在UDP 161 和 162 端口上。

161端口：代理监听，用于接收Get/Set请求。
162端口：管理站监听，用于接收Trap消息。

一个SNMP报文主要包含三部分：

版本号： SNMPv1, v2c, v3。
共同体名/团体名：一个类似密码的字符串（v1/v2c），用于简单认证。
协议数据单元：真正的操作和数据，即Get/Set/Trap等。

SNMP 版本对比

特性	SNMPv1	SNMPv2c	SNMPv3
发布年代	1990	1996	1999
核心改进	原始版本，定义了基本框架	增强了性能和大块数据传输	增加了强大的安全模型
访问控制	全局读/写	全局读/写	VACM（基于视图的访问控制）
新增功能	基础操作	GetBulk、Inform、Counter64	安全模型 + 精细化权限
安全性	极弱。使用明文“团体名”认证，无加密。	同v1。使用明文“团体名”认证，无加密。	强大。支持用户名/密码认证，支持数据加密和完整性校验。
现状	基本淘汰	目前最常用（在可控内网中）	推荐用于生产环境，尤其是跨公网管理

⚠️ 安全建议：

避免在公网使用 v1/v2c（团体名如 public/private 易被嗅探）

生产环境优先使用 SNMPv3

SNMP 操作类型（PDU）

SNMP 定义了多种协议数据单元（PDU），用于不同操作：

PDU 类型	方向	说明	支持版本
GetRequest	NMS → Agent	获取一个或多个对象值	v1/v2c/v3
GetNextRequest	NMS → Agent	获取指定 OID 的下一个对象值（用于遍历）	v1/v2c/v3
GetBulkRequest	NMS → Agent	批量获取多个对象（高效替代多次 GetNext）	v2c/v3
SetRequest	NMS → Agent	修改 MIB 中的可写对象值	v1/v2c/v3
Response	Agent → NMS	对上述请求的响应，返回数据或错误信息	所有版本
Trap	Agent → NMS	主动告警，用于通知管理站发生了特定事件（如接口宕机、重启），无需确认（不可靠）	v1/v2c/v3
InformRequest	Agent → NMS	可靠告警，需 NMS 回复确认	v2c/v3

⚠️ Trap vs Inform：

Trap 发出后不关心是否收到；

Inform 若未收到确认，会重发（更可靠但开销大）。

SNMPv3 安全机制

SNMPv3 引入两大安全模型：

1. USM（User-based Security Model）

用户身份验证（Authentication）：确保消息来自合法用户
数据加密（Privacy）：防止中间人窃听
支持安全级别：
- noAuthNoPriv：无认证无加密（等同 v2c）。安全性差。
- authNoPriv：仅认证。使用HMAC-MD5或HMAC-SHA进行身份验证）。保证消息来源可信和完整性。
- authPriv：认证 + 加密（在auth基础上，使用DES或AES加密数据）。最高安全级别，推荐使用。

2. VACM（View-based Access Control Model）

将用户与 MIB 视图（View）绑定
可限制用户只能访问特定 OID 子树
实现最小权限原则（例如只允许读取接口状态，不能修改配置）

🛡️ 示例：
用户 monitor 只能读取 1.3.6.1.2.1.2（interfaces）下的节点，无法访问 system 或执行 set 操作。

工作流程

工作流程示意图（以v2c为例）：

+----------------+      (1) GetRequest OID=1.3.6.1.2.1.1.1      +------------------+
|                | ------------------------------------------>  |                  |
|   管理站        |                                              |    被管理设备     |
|   (NMS)        |      (2) GetResponse Value="Cisco Router..." |   (SNMP Agent)   |
|                | <------------------------------------------  |                  |
+----------------+                                              +------------------+
        ^                                                              |
        |                                                              | (监控到事件，如断电)
        |                                                              |
        |                       (3) Trap OID=1.3.6.1.6.3.1.1.5.3       |
        +--------------------------------------------------------------+

NMS 查询设备接口状态

NMS 发送 GetRequest(PDU) 到 Agent（UDP 161）
- 包含 OID：1.3.6.1.2.1.2.2.1.8.1（ifOperStatus.1）
Agent 验证：
- 版本匹配？
- 团体名/用户凭证正确？
- 是否有权限访问该 OID？
Agent 从 MIB 中查询对应值（如 up = 1）
Agent 返回 Response(PDU) 给 NMS
NMS 解析结果并展示（如 Web 界面显示“接口正常”）