La gestione delle reti ed il protocollo SNMP

Transcript

1 Corso di Laurea Specialistica in Ingegneria Informatica Corso di Reti di Calcolatori II La gestione delle reti ed il protocollo SNMP Simon Pietro Romano

2 Nota di copyright per le slide COMICS Nota di Copyright Questo insieme di trasparenze è stato ideato e realizzato dai ricercatori del Gruppo di Ricerca COMICS del Dipartimento di Informatica e Sistemistica dell Università di Napoli. Esse possono essere impiegate liberamente per fini didattici esclusivamente senza fini di lucro, a meno di un esplicito consenso scritto degli Autori. Nell uso dovranno essere esplicitamente riportati la fonte e gli Autori. Gli Autori non sono responsabili per eventuali imprecisioni contenute in tali trasparenze né per eventuali problemi, danni o malfunzionamenti derivanti dal loro uso o applicazione. Autori: Roberto Canonico, Simon Pietro Romano, Giorgio Ventre

3 Nota di copyright per le slide di Kurose/Ross Nota per l utilizzo: Abbiamo preparato queste slide con l intenzione di renderle disponibili a tutti (professori, studenti, lettori). Sono in formato PowerPoint in modo che voi possiate aggiungere e cancellare slide (compresa questa) o modificarne il contenuto in base alle vostre esigenze. Come potete facilmente immaginare, da parte nostra abbiamo fatto un sacco di lavoro. In cambio, vi chiediamo solo di rispettare le seguenti condizioni: se utilizzate queste slide (ad esempio, in aula) in una forma sostanzialmente inalterata, fate riferimento alla fonte (dopo tutto, ci piacerebbe che la gente usasse il nostro libro!) se rendete disponibili queste slide in una forma sostanzialmente inalterata su un sito web, indicate che si tratta di un adattamento (o che sono identiche) delle nostre slide, e inserite la nota relativa al copyright. Thanks and enjoy! JFK/KWR All material copyright J.F Kurose and K.W. Ross, All Rights Reserved Reti di calcolatori e Internet: Un approccio top-down 4 a edizione Jim Kurose, Keith Ross Pearson Paravia Bruno Mondadori Spa 2008

4 Cos è la gestione della rete? La gestione della rete include il funzionamento, l integrazione e il coordinamento di hardware, software e personale umano per monitorare, verificare, sondare, configurare, analizzare, valutare e controllare le risorse della rete affinché soddisfino le funzionalità in tempo reale e i requisiti di qualità del servizio a un costo accettabile."

5 Approccio top-down (1) Un Provider è innanzitutto una struttura organizzata con scopi di lucro Il mestiere del Provider è di: guadagnarsi nuovi clienti soddisfare i clienti acquisiti farsi pagare Tutto ciò costituisce il suo Core Business Il business viene realizzato dalle persone attraverso un insieme di processi aziendali Business processes Comportamenti Comunicazioni Procedure

6 Approccio top-down (2) Customer Care Billing Service Offer definition Inventory Service Provisioning Service Configuration Assurance Service Monitoring Network planning and provisioning Network

7 Approccio top-down (3)

8 Approccio top-down (4) Aree funzionali di network management (ISO) Configuration Management Fault Management Performance Management Security Management Accounting Management

9 Approccio top-down (5) Mantenere alta la soddisfazione del cliente Mantenere alti i livelli di servizio fornito Good enough quality il cliente non deve risentire di eventuali problemi Le prestazioni fornite devono essere in linea con quanto concordato Concetto di contratto tra cliente e fornitore: Service Level Agreement (SLA) Compromesso tra livello di qualità e costi del processo per mantenerlo (trade-off) Finché il cliente non si accorge di un disservizio: tutt OK!

10 Approccio top-down (6) Gestione reattiva: si aspetta la telefonata del cliente per ottenere segnalazioni sullo stato di salute della rete tra l inizio del disservizio e la risoluzione possono passare ore tempi di comunicazione esterna, interna, tempi di indagine, tempi di ripristino Gestione proattiva: si monitora lo stato di salute della rete in permanenza misure, ricezione notifiche si individua la sorgente di eventuali problemi, e si attiva la necessaria procedura di risoluzione idealmente, tutto può avvenire anche prima che il cliente se ne accorga (o che lo segnali, se il ripristino è tempestivo)

11 Approccio top-down (7) La gestione può avvenire su base reclamo telefonata infuriata del cliente su base allarme ricezione di indicazioni asincrone dagli apparati su base misure interrogazioni regolari degli apparati, calcolo di tendenze In ogni caso, gestire vuol dire essenzialmente: aspettare (in maniera più o meno attiva) diagnosticare (appena avvenuta una segnalazione) risolvere (appena fatta la diagnosi) Non sempre è richiesto l intervento di un operatore...

12 Approccio bottom-up (1) Quali sono gli elementi costitutivi di una rete? doppino telefonico, cavi coassiali, fibre ottiche, antenne, parabole, ponti radio, ponti ottici, ripetitori, hub, concentratori (MUX), BSS wireless, satelliti bridge, router firewall, gateway centrali di collegamento, Point of Presence (PoP) software, sistemi di controllo, end-point workstation, file server, stampanti mail server, web server, news server

13 Approccio bottom-up (2) Router (switch) Interfaccia di controllo (porta seriale) Interfacce di rete Da lì partono i cavi coassiali o ottici verso gli altri apparati Dietro ad ogni interfaccia c è una scheda elettronica (che può guastarsi)

14 Approccio bottom-up (3) Controllo apparato attraverso segnali out-of-band : attraverso un interfaccia dedicata (control interface, ad es. linea seriale) per collegarsi bisogna essere fisicamente accanto all apparato attraverso una infrastruttura di controllo: rete parallela di controllo degli apparati bisogna ridondare le linee che accedono agli apparati, e creare una struttura gerarchica di controllo Controllo apparato attraverso segnali in-band : viene usata la stessa infrastruttura trasmissiva per il controllo dell apparato in caso di non raggiungibilità per disservizio a livello trasmissivo, si perde la visibilità sull apparato per la diagnosi e la risoluzione

15 Approccio bottom-up (4) La salute della rete è anche la salute di ognuno dei suoi componenti La gestione dell apparato consiste nel modellare il suo stato di funzionamento, e nel monitoraggio di questo stato Questa informazione va raccolta, aggregata o correlata, e sintetizzata per essere utile ad un operatore o un automa decisionale

16 Strumenti di gestione Strumenti rudimentali: ping, per verificare la raggiungilibità di un indirizzo basato su ICMP, spesso filtrato dai router, ad es. in presenza di NAT traceroute, per verificare il percorso seguito da un pacchetto IP per raggiungere un indirizzo telnet, per accedere ai router e verificare la configurazione e lo stato delle interfacce N.B.: router di marche diverse hanno comandi diversi

17 Necessità di un architettura Cause: eterogeneità apparati numerosità apparati complessità topologica delle reti criticità del mantenimento del servizio Esigenze: separazione dei ruoli modello dati uniforme protocollo di gestione standard protocollo di comunicazione standard architettura di gestione flessibile e scalabile riduzione costi

18 Concetti principali Managed entity/managed object Agent Structure of Management Information (SMI) Management protocol Manager, Management Application

19 Managed Object (1) Una modellizzazione dell oggetto gestito Un informazione di gestione relativa ad un oggetto o una funzione Esempi: data di avvio di un apparato stato (up/down) di un interfaccia tabelle di routing di un router quantità di fogli disponibili in una stampante...

20 Managed Object (2) A managed object is the abstracted view of a resource that presents its properties as seen by (and for the purpose of) management (ISO ) E una rappresentazione astratta di una risorsa reale

21 Agent Un entità software di gestione non è l entità gestita! Permette l accesso all informazione da gestire da parte delle applicazioni esterne Permette la modifica di certi parametri di funzionamento Fornisce funzioni di: Polling Misure Monitoraggio Statistiche

22 MIB - SMI MIB: Management Information Base SMI: Structure of Management Information La MIB: non è una base dati è una specifica di interfaccia impiegabile per accedere all informazione gestita Rappresenta, in maniera strutturata, l insieme delle informazioni oggetti, tabelle, ecc.

23 Manager Anche chiamato Management Station Punto di raccolta e di elaborazione delle informazioni ricavate dagli Agent degli apparati Funzioni principali: gestione dei dati di topologia della rete (Inventory) raccolta e analisi dei dati di stato e di utilizzo (traffico) strumenti di fault recovery (es: riconfigurazione) presentazione grafica del dominio gestito con informazioni in tempo reale sugli oggetti gestiti

24 Management Protocol Specifica le modalità di comunicazione remota tra l Agent e il Manager: struttura dei messaggi software scambiati formato dei dati trasmessi problema: grande diversità della rappresentazione dei dati! semantica dei messaggi scambiati dinamica degli scambi identificazione dell informazione gestita

25 Architettura di gestione (1) Tanti apparati eterogenei (ruoli, modelli ), ognuno con il proprio agent 1 o N manager per ogni tecnologia/rete insieme omogeneo di ruoli Piattaforma di gestione integrata delle reti Manager of Managers MoM

26 Architettura di gestione (2) Il paradigma Manager-Agent Manager MIB MIB MIB Agent Agent Agent

27 Architettura di gestione (3) Integrated Network Model Manager of Managers Manager to Manager Network Model Network Model Manager Manager Manager Network Model Manager-Agent Rete SDH Rete ATM Rete IP

28 Infrastrutture di gestione Definizioni: Entità di gestione Entità di gestione dati Protocollo di gestione della rete agente dati agente dati oggetto della gestione agente dati oggetto della gestione agente dati oggetto della gestione I dispositivi da gestire contengono gli oggetti della gestione i cui dati sono raccolti in una base di dati di gestione (MIB) oggetto della gestione

29 Gestione degli standard Internet OSI CMIP Common Management Information Protocol (CMIP) Progettato alla fine degli anni ottanta: lo standard che unifica la gestione della rete Standardizzato troppo lentamente SNMP: Simple Network Management Protocol radici di Internet (SGMP Simple Gateway Management Protocol) inizialmente semplice utilizzato rapidamente crescita: dimensione, complessità attualmente: SNMPv3 è lo standard de facto di gestione della rete

30 Panoramica di SNMP: 4 parti chiave Base di dati di gestione (MIB): raccolta di informazioni distribuite per la gestione della rete Struttura delle informazioni di gestione (SMI): linguaggio di specifica dei dati per gli oggetti MIB Protocollo SNMP scambio delle informazioni fra gli agenti di gestione e invio dei comandi alle entità da gestire Funzionalità di sicurezza e amministrazione caratteristiche innovative di SNMPv3

31 SMI: linguaggio di specifica dei dati Scopo: sintassi, semantica chiara e ben definita della gestione dei dati Tipi di dati fondamentali: semplici, tediosi OBJECT-TYPE Tipo di dati, stato, semantica dell oggetto da gestire MODULE-IDENTITY raggruppamento di oggetti affini in un modulo MIB Tipi di dati fondamentali INTEGER Integer32 Unsigned32 OCTET STRING OBJECT IDENTIFIED IPaddress Counter32 Counter64 Gauge32 Time Ticks Opaque

32 SNMP MIB Modulo MIB specificato tramite SMI MODULE-IDENTITY (100 moduli MIB standard e molte altre specifiche private di moduli MIB) MODULO OBJECT-TYPE: OBJECT-TYPE: OBJECT-TYPE: Oggetti specificati tramite SMI Costrutto OBJECT-TYPE

33 SMI: esempio di oggetto e modulo MIB OBJECT-TYPE: ipindelivers ipindelivers OBJECT-TYPE SYNTAX Counter32 MAX-ACCESS read-only STATUS current DESCRIPTION Il numero totale di datagrammi ricevuti e passati ai protocolli IP utente (compreso ICMP) ::= { ip 9} MODULE-IDENTITY: ipmib ipmib MODULE-IDENTITY LAST-UPDATED Z ORGANZATION IETF SNMPv2 Working Group CONTACT-INFO Keith McCloghrie DESCRIPTION Modulo MIB per la gestione delle implementazioni di IP e ICMP, escludendo la loro gestione dei cammini IP REVISION Z ::= {mib-2 48}

34 MIB: esempio di modulo UDP ID dell oggetto Nome Tipo Descrizione UDPInDatagrams Counter32 Numero di datagrammi UDP recapitati UDPNoPorts Counter32 Numero di datagrammi UDP ricevuti per i quali non c erano applicazioni alla porta di destinazione UDPInErrors Counter32 Numero di datagrammi UDP ricevuti, ma non recapitati (per motivi diversi dal precedente) UDPOutDatagrams Counter32 Numero di datagrammi UDP inviati dall entità UDPTable SEQUENCE Sequenza di oggetti UdpEntry, uno per ogni porta di applicazione, con l indirizzo IP e il numero di porta dell applicazione

35 Denominazione SNMP domanda: come chiamare un oggetto standard qualsiasi (protocollo, dato...) in una rete standard qualsiasi? risposta: albero di identificazione degli oggetti ISO: denominazione gerarchica di tutti gli oggetti ogni ramo ha un nome e un numero ISO Ente riconosciuto da ISO US DoD Internet udpindatagrams UDP MIB-2 management

36 Albero di identificazione degli oggetti OSI Cfr. sito: /objectid/top.html

37 Protocollo SNMP Due modalità per trasportare le informazioni MIB: Entità di gestione Entità di gestione richiesta risposta messaggio trappola agente dati agente dati oggetto della gestione Modalità richiesta-risposta oggetto della gestione Modalità messaggio trappola

38 Protocollo SNMP: tipi di messaggi Tipo di messaggio GetRequest GetNextRequest GetBulkRequest InformRequest SetRequest Response Trap Funzione Dal manager all agente per richiedere i valori di oggetti MIB (istanza, prossimo nella lista, blocco) Da manger a manager: fornisce un valore MIB Da manger a agent: imposta il valore MIB Da agente a manager: valore, risposta alla richiesta Da agente a manager: informa il manager di un evento inatteso

39 Il messaggio InformRequest di SNMPv2 Fonte: The TCP/IP Guide

40 Protocollo SNMP: formati dei messaggi

41 Struttura della PDU SNMP Message Version Community SNMP PDU PDU Type Request ID Error Status Error Index Variable Bindings SNMP PDU Name 1 Value 1 Name 2 Value 2.. Name n Variable bindings Value n

42 Campi della PDU (1) Version: vale 1 per SNMPv1, 2 per SNMPv2, ecc.. Community: password di autenticazione in chiaro PDU Type: non è un vero campo del messaggio, ma una meta-informazione di tipo ASN.1 del messaggio cfr slide seguenti Request ID: ID univoco per ogni richiesta; permette di appaiare le risposte (in caso di perdita di sequenza) Error Status: vale 0 nelle richieste, e nelle risposte fornisce un esito della richiesta: noerror (0) nosuchname (2) readonly (4) toobig (1) badvalue (3) generr (5)

43 Campi della PDU (2) Error Index: vale 0 nelle richieste nelle risposte, è non-nullo in caso di errore, e dà l indice della prima variabile che ha causato l errore Variable Bindings (varbinds): lista di coppie nome/valore Nelle GetRequest e GetNextRequest il valore è nullo. è quindi possibile richiedere più variabili in contemporanea viene eseguita la stessa operazione (get, get-next, set) su tutte le variabili permette di limitare il numero di richieste da fare e gli scambi manager-agent utilizzato molto per la scansione delle tabelle...

44 Struttura della Trap SNMP Message Version Community SNMP PDU PDU Type Enterprise Agent Addr. Generic-trap Specific-trap Timestamp SNMP PDU Variable Bindings Name 1 Value 1 Name 2 Value 2.. Name n Variable bindings Value n

45 Campi della trap Enterprise: basato sulla variabile sysobjectid permette di individuare il tipo di apparato/sottosistema originario Agent Address: indirizzo IP dell agent generatore Generic Trap: tipo di trap tra un insieme predefinito coldstart (0) linkdown (2) authenticationfailure (4) warmstart (1) linkup (3) egpneighborloss (6) enterprisespecific (6) [per le trap proprietarie cfr campo successivo] Specific Trap: tipo di trap non standard Timestamp: indica il momento in cui è stata inviata la trap Variable bindings: come per le altre PDU

46 SNMP GetRequest (1) Manager Agent get MIB response

47 SNMP GetRequest (2) Permette di richiedere il valore di una o più variabili di MIB Possibili errori: nosuchname: l oggetto non esiste o non è una foglia dell albero toobig: la risposta non sta nella PDU di risposta generr: errore generico, tutti gli altri casi

48 SNMP SetRequest (1) Manager Agent set MIB response

49 SNMP SetRequest (2) Per assegnare un valore a istanze di variabili già esistenti, o per comandare azioni Possibili errori: nosuchname: l oggetto non esiste o non è una foglia dell albero badvalue: valore fornito inadeguato per il tipo toobig: la risposta non sta nella PDU di risposta generr: errore generico, tutti gli altri casi

50 SNMP GetNextRequest (1) Manager Agent get-next MIB response

51 SNMP GetNextRequest (2) Restituisce il nome e il valore della successiva istanza di variabile della MIB È usata per accedere alla struttura della MIB, e per navigare tabelle Possibili errori: nosuchname: la MIB è stata scandita interamente toobig: la risposta non sta nella PDU di risposta generr: errore generico, tutti gli altri casi

52 MIB di Esempio Device (1) Address (1) Info (2) iproutetable (3) Name (1) Uptime (2) Printer iproutedest (1) iproutenexthop (2) iproutemetric1 (3)

53 Approfondimento get-next (1) Un engine SNMP deve essere in grado di interpretare qualsiasi OID e stabilirne la posizione (ordine) rispetto agli OID implementati Lo stesso algoritmo si applica indipendentemente su tutte le variabili della stessa richiesta Esempio: get-next(1, 1.1, 1.2, 1.2.2) ( , , Printer-1, ) A che serve la get-next? Come usarla (bene)?

54 Approfondimento get-next (2) Per scandire una MIB intera: oid = 1 while true: (oid, value) = getnext(oid) print oid + = + value; Il prossimo OID utilizzato nella get-next è quello ritornato dal comando get-next appena realizzato Un OID restituito dalla get-next è sempre un OID foglia; la get-next su quell OID ci restituisce sempre la prossima foglia (nell ordine lessicografico della MIB)

55 Approfondimento get-next (3) SNMP walk Device (1) Address (1) Info (2) iproutetable (3) valore (0) Name (1) Uptime (2) iproutedest (1) iproutenexthop (2) iproutemetric1 (3) valore (0) valore (0)?

56 SNMP Trap (1) Manager Agent MIB trap

57 SNMP Trap (2) Segnala un evento La ricezione di una trap non è confermata (unreliable) Gli Agent possono essere configurati in modo da: non emettere traps emettere traps solo verso manager specifici

58 Impatto dell uso di UDP UDP è connectionless e unreliable (non affidabile): l invio di un messaggio non significa la garanzia della sua consegna fatta una richiesta SNMP, la risposta arriva in maniera asincrona, senza garanzia Vanno messi in piedi meccanismi di timeout e di retry per simulare una interazione affidabile (quello che fa TCP) Ciò rimane a carico dello strato SNMP (più leggero di TCP) Il fatto di rimanere su UDP dà robustezza al meccanismo in particolare, in condizioni critiche, quali sono quelle di una rete in situazione di crisi

59 Interazione SNMP: scenario 1 Manager Agent richiesta risposta OK!

60 Interazione SNMP: scenario 2 Manager Agent richiesta risposta OK!

61 Interazione SNMP: scenario 3 Manager Agent richiesta OK! risposta ignora...

62 Interazione SNMP: scenario 4 Manager Agent richiesta KO!

63 Interazione SNMP: parametri Timeout: tempo trascorso prima di ritentare non deve essere troppo lungo, per consentire un rinvio rapido in caso di non risposta, né troppo corto per evitare rinvii inutili (vedi scenario 3) Retry count: numero di tentativi prima di dichiarare fallita la connessione non deve essere troppo basso, per dare un minimo di affidabilità, né troppo alto, per non sovraccaricare la rete di richieste

64 Proxy Management Manager Proxy Agent Oggetti gestiti SNMP MIB proxy in inglese = nel nome di qualcuno un proxy agent è un agent SNMP di cui la MIB non rappresenta informazioni di gestione dell apparato su cui gira traduce un protocollo proprietario in SNMP aggrega le informazioni di basso livello in informazioni di più alto livello

65 Meccanismi di monitoraggio Un manager SNMP monitora lo stato degli apparati attraverso una interrogazione periodica di opportune variabili di stato (polling) Trade-off sulla scelta della periodicità e delle variabili interrogate (traffico generato in rete vs. qualità delle informazioni) Le trap SNMP vengono in aiuto (in maniera unreliable) in quanto segnalano i casi eccezionali nel momento in cui accadono Trap-directed polling: il manager adegua la sua politica di polling su ricezione di trap (ad es. interrogazione completa + aumento frequenza di polling, ecc.)

66 SNMPv1: Sicurezza (1) La gestione della sicurezza da parte del protocollo SNMPv1 è estremamente elementare. Approcci più adeguati sono definiti per le versioni successive: SNMPv2 e SNMPv3 Il concetto fondamentale è quello di community, a cui sono associati dei diritti di accesso READ- ONLY o READ-WRITE La gestione delle community non viene specificata dagli standard ed è quindi lasciata all implementazione. Lo standard specifica solo che la community è una stringa che va trasmessa con il messaggio SNMP La community viaggia in chiaro sulla rete...

67 SNMPv1: Sicurezza (2) Per limitare i rischi, alcune misure: utilizzare password non banali, e cambiare spesso configurare l Agent ad inviare le trap di authenticationfailure configurare la rete (con filtri o firewalls) per impedire il traffico SNMP al di fuori dai percorsi Manager-Agent Nella realtà, gli apparati forniscono anche meccanismi di ACL (Access Control List), dove vanno inseriti gli indirizzi dei manager di fiducia

68 SNMPv3: sicurezza e amministrazione cifratura: messaggio SNMP criptato con DES autenticazione: calcola, invia MIC(m,k): esegue l operazione hash (MIC) sul messaggio (m) con chiave segreta condivisa (k) protezione dagli attacchi di replica: usa i nonce controllo dell accesso L entità SNMP conserva il database dei diritti e delle politiche di accesso per vari utenti Il database stesso è accessibile come oggetto gestito!

69 Il problema della presentazione D: una copia perfetta dei dati da memoria a memoria può risolvere il problema della comunicazione? R: non sempre! struct { char code; int x; } test; test.x = 256; test.code= a test.code test.x a test.code test.x a Formato dell host 1 Formato dell host 2 problema: formati di dati e convenzioni di memorizzazione differenti

70 Un problema di presentazione nella vita reale:

71 Presentazione: soluzioni possibili 1. Il mittente impara il formato del destinatario. Il mittente traduce il formato in quello del destinatario. Il mittente trasmette. analogia con il mondo reale? pro e contro? 2. Il mittente trasmette. Il destinatario impara il formato del mittente. Il destinatario traduce nel suo formato. analogia con il mondo reale? pro e contro? 3. Il mittente traduce in un formato indipendente dall host e trasmette. Il destinatario traduce nel suo formato. analogia con il mondo reale? pro e contro?

72 Problema della presentazione 1. Tradurre il formato specifico di un host in un formato indipendente dall host 2. Trasmettere i dati in un formato indipendente dall host 3. Tradurre il formato indipendente dall host nel formato dell host remoto

73 ASN.1: sintesi della notazione sintattica 1 Standard ISO X.680 Largamente utilizzato in Internet Come mangiare le verdure; è bene conoscerlo! Tipi di dati definiti, costruttori di oggetti come SMI BER: Basic Encoding Rules (regole base per la codifica) specifica come trasmettere gli oggetti di dati definiti secondo ASN.1 ogni oggetto trasmesso ha una codifica TLV (Tipo, Lunghezza, Valore)

74 Codifica TLV Idea: i dati trasmessi sono auto-identificati T: Tipo di dati, uno dei tipi definiti da ASN.1 L: Lunghezza dei dati in byte V: Valore dei dati, codificati secondo lo standard ASN.1 Etichetta Tipo Boolean Integer Bitstring Octet string Null Object Identifier Real

75 Codifica TLV Valore, 259 Lunghezza, 2 byte Tipo = 2, integer Valore, 5 ottetti (caratteri) Lunghezza, 5 byte Tipo = 4, octet string

76 Un esempio di MIB browser

77 Dietro le quinte: get-request (1/2)

78 Dietro le quinte: get-response (2/2)