浅析SNMP三个阶段的安全机制

陈建伟 莫静

一、SNMP的基本概念

　　网络管理中的简单网络管理协议（SNMP）模型由4部分组成：管理节点（managementnode）、管理站（management station）、管理信息库（MIB：Management Information Base）和管理协议（management protocol）。

　　管理节点可以是主机、路由器、网桥、打印机以及任何可以与外界交流状态信息的硬件设备。为了便于SNMP直接管理，节点必须能运行SNMP进程，即SNMP代理（SNMP agent）。每个代理都要维护一个本地数据库，以存放管理节点的状态和历史并影响其运行。

　　管理站实际上是一台运行特殊管理软件的计算机，一个或多个管理进程通过SNMP与代理通信，发送命令以及接收应答，完成网络管理。管理进程和代理之间的信息交换以SNMP信息的形式进行，SNMP信息的负载可以是SNMP v1或SNMP v2的协议数据单元（PDU）。协议数据单元表示某一类管理操作（例如取得和设置管理对象）和与该操作有关的变量名称。SNMP v3规定了可以使用信息头的用户安全模块，与安全有关的处理在信息一级完成。

　　大多数实际网络都采用了多个制造商的设备，为了使管理站能够与所有这些不同的设备进行通信，必须严格定义这些设备所保持的信息。SNMP极为详细地规定了每种代理应该维护的确切信息以及所提供信息的确切格式。每个设备都具有一个或多个变量来描述其状态，在SNMP中，这些变量叫做对象（object），网络的所有对象都存放在MIB中。

　　在SNMP中，管理站具有了解以及关闭它所控制的众多节点的能力。因此，对于代理来说很重要的一点是，必须验证那些宣称来自管理站的查询的真实性。在SNMP v1中，管理站通过在每条信息中设置一个明文密钥来证明自身。在SNMP v2中，使用了现代加密技术，但大大增加了协议的复杂性，最后只能弃置不用。SNMP v3则通过简明的方式实现了加密和验证功能。

二、安全机制比较

　　网络管理中一般都采用代理／管理站模型，SNMP也是如此。

　　SNMP代理是一个软件，它能够回答SNMP管理站关于MIB中定义信息的各种查询。每一个为管理站提供MIB信息的网络设备都有一个SNMP代理，每个代理不但要控制自己本地的MIB，而且必须控制多个管理站对该MIB的使用。这种控制包含3个方面：

·认证服务：代理可以把对MIB的访问限制在授权的管理站