第六章 网络管理与服务

第一节 网络管理概述

• 网络管理是对网络系统中的所有硬件，软件和服务的管理，也是对网络设备的配置，使用，调度，管控，从而对网络资源进行监视，探测，分析，评价和控制，保证网络的正常运行，合理使用资源，满足用户的需求，如实时运行性能，服务质量等。网络管理也简称为“网管”。

一，网络管理系统的概念（识记）

• 从网络管理范畴来分类，可分为对网“路”的管理，即对交换机，路由器等网络传输设备进行管理；对终端设备的管理，即对计算机，服务器等设备的管理；对行为的管理，即用户对网络的使用进行管理；以及对资产的管理等。
• 网络管理系统的定义如下
  1. 系统功能。即一个网络管理系统应具有的功能。
  2. 网络资源的表示。资源分为软硬件以及所提供的服务等，需要在管理系统中有确切的符号表示，有利于计算机管理。
  3. 网络管理信息的表示。网络管理信息的表示方法，传递规则和所采用的协议是一个网络管理系统基本要素。
  4. 系统的结构。可以将其划分为三类。
     1. 第一代网管软件采用命令行方式，并结合一些设备厂商提供的简单网络检测工具来管理，对管理者要求较高。
     2. 第二代网管软件采用了图形化界面。简化了操作，提高了工作效率但由于软件本质未变化，所以会造成设备配置错误或不良，不能充分发挥作用。
     3. 第三代网管软件将网络和管理需求进行了结合，引入智能分析和判断，具有了“自动配置”和“自动调整”的功能。对网络人员的技术操作要求降低。

二，网络管理系统标准（领会）

• 开放系统互连管理是指这样的一些功能：它们能够控制，协调，监视OSI环境下的一些资源，这些网络资源保证了OSI环境下的通信。国际标准化组织（ISO）定义网络管理有五大功能：
  • 配置管理
  • 故障管理
  • 性能管理
  • 计费管理
  • 安全管理
• 网络管理软件分类：
  • 网络配置管理软件
  • 网络故障管理软件
  • 网络性能管理软件
  • 网络计费管理软件
  • 网络服务/安全管理软件

第二节 网络管理系统的功能（领会）

一，配置管理

• 配置管理的作用是初始化网络并配置网络，使网络能够运行并提供服务。
• 配置管理的工作主要是识别，控制和监视组成网络的对象所必要的一组相关功能，使网络能够实现某个特定功能或使网络性能达到最优。

1，配置信息的自动获取

• 在网络设备的配置信息中，根据获取手段可分为三类。
  1. 网络管理协议标准的管理信息库（Management Information Base, MIB）中定义的配置信息。
  2. 不在网络管理协议标准中有定义，但是对设备运行比较重要的配置信息。
  3. 用于管理的一些辅助信息。

2，自动配置，自动备份

• 配置信息自动获取功能相当于从网络设备中“读”信息，除此之外，网络配置管理中还有大量“写”信息的需求，即配置信息的设置和修改。

• 根据手段的不同，网络配置信息可分为以下三类

  1. 通过网络管理协议标准中定义的方法进行配置的信息。
  2. 通过自动登录到设备进行配置的信息。
  3. 需要修改的管理性配置信息。

3，配置一致性检查

• 在网络的配置中，对网络正常运行影响最大的主要是路由器端口配置和路由器信息配置，因此，一致性检查主要是对这两类信息的检查。

4，用户操作记录

• 网络管理系统必须对用户进行的每一配置操作进行记录，使操作行为可追溯。

二，故障管理

• 故障管理是网络管理中最基本的功能之一。
• 网络故障管理的工作内容包括故障检测，隔离和恢复三个方面，具体包含五项内容。
  1. 故障检测：网络管理系统定时主动探测或被动接收网络上的各种事件信息，并识别出其中与网络和系统故障有关的内容，对其中的关键部分保持跟踪，生成网络故障事件记录。
  2. 故障报警：网络管理系统接收故障检测模块传来的报警信息，根据预先设置的报警策略启动不同的报警程序，报警信号可以是警铃，警灯或电子邮件等。
  3. 故障信息管理：网络管理系统通过对事件记录的分析，自动地，智能地确定网络故障并生成故障卡片，记录处理故障的步骤和与故障相关的值班员日志，构造操作过程记录。
  4. 处理支持工具：网络管理系统向处置技术人员提供一系列的实时检测工具，对被管设备的状况进行测试并记录下测试结果以供技术人员分析和排错。
  5. 检索/分析故障信息：网络管理系统以关键字检索查询故障管理系统中所有的数据库记录，定期收集故障记录数据，在此基础上给出被管网络系统，被管线路设备的可靠性参数。

三，性能管理

• 性能管理是对网络系统资源的运行状况及通信效率等系统涉及性能的要素进行管理。
• 性能管理包括
  1. 通用性能监控:由管理员确定被管对象及其属性。被管对象包括链路和设备等，被管对象属性包括流量，延迟，丢包率，CPU利用率，温度，内存余量等。对于每个被管对象，启动定时采集程序获得系列性能指标数据，并自动生成性能报告。
  2. 阈值控制:对每一个被管对象的每一条属性设置阈值，阈值可以针对不同的时间段和不同的性能指标分别进行设置，可以是上限，也可以是下限，并设置阈值告警开关来控制是否启动。
  3. 性能分析:对已采集的历史数据进行分析，统计和处理，计算不同被管对象的性能指标，对性能状况作出判断，并生成被管对象属性的性能曲线图，形成性能报告。
  4. 实时监控:实时监控要求对这类性能指标参数实时进行采集，分析和处理。如对流量，负载，丢包，温度，内存利用率，延迟等网络设备和链路的性能指标进行实时检测。
  5. 性能查询：通过列表或按关键字检索被管对象及其属性的性能参数。

四，计费管理

• 计费管理用于记录网络资源的使用情况，制定计费规则，并将其与用户相关联，控制和监测使用网络资源的费用。
• 计费管理包括
  1. 计费数据采集：计费数据采集是计费系统的基础，计费数据包括使用网络的时长，流量等。
  2. 数据管理与数据维护：计费管理涉及较多的人工操作，如用户入网，注册登记，审计，转账，缴费等。
  3. 计费规则制定：涉及政策，商业竞争，促销等各种因素，需要系统能够适应经常的变动，并提供一个制定计费规则的人机界面和实现计费规则的数据模型。
  4. 政策比较与决策支持：计费管理应该提供多套计费政策的数据比较，为政策制订提供决策依据。
  5. 数据分析与费用计算：利用采集的网络资源使用数据，联网用户的详细信息以及计费政策，计算网络用户资源的使用情况，并计算应缴纳的费用。
  6. 数据查询：提供给每个网络用户关于自身使用网络资源情况的详细信息，如时段或单价等。用户根据这些信息计算，核对自己的收费情况。

五，安全管理

• 安全一直是网络中薄弱环节之一，因此网络安全管理非常重要，在网络中主要有以下几大安全问题。
  • 网络数据的私有性（保护网络数据不被入侵者非法窃取）
  • 授权（防止入侵者在网络上发送错误信息）
  • 访问控制（控制对网络资源的访问）

1，网络安全管理机制

1. 管理员身份认证：采用基于公开密钥的证书认证机制。
2. 管理信息存储和传输的加密与完整性：Web浏览器和网络管理服务器之间采用安全套接字层（SSL）传输协议，对其进行加密并保证其完整性；对于内部存储的机密信息，也需进行加密，切忌采用明文存储。
3. 网络管理用户分组管理与访问控制：网络管理系统的用户按任务的不同分成若干用户组，不同的用户组中有不同的权限范围，保证用户不能越权使用网络管理系统，管理上做到三员（管理员，安全员，审计员）分离。
4. 系统日志分析：记录用户所有操作，使系统的操作和对网络对象的修改有据可查，同时也有助于故障的跟踪与恢复。

2，网络对象的安全管理

1. 网络资源的访问控制：通过设置路由器和部分三层交换机的访问控制列表，完成对网络链路使用的限制，即从网络层和传输层控制对网络资源的访问，保护网络内部的设备和应用服务，防止外来的攻击。
2. 告警事件分析：接收网络对象所发出的告警事件，分析与安全相关的信息，实时地向管理员告警，并提供历史安全事件的检索与分析机制，及时地发现正在进行的攻击或可疑的攻击迹象。
3. 主机系统的安全漏洞检测：实时地检测主机系统的重要服务的状态，提供安全检测工具，以搜索系统可能存在的安全漏洞或安全隐患，并给出补漏的措施。

第三节 网络管理协议

一，网络管理协议类别（识记）

1，SNMP

• 简单网络管理协议（SNMP），是作为一种可提供最小网络管理功能的临时方法开发的，它具有以下两个优点
  1. 与SNMP相关的管理信息结构（SMI）以及管理信息库（MIB）非常简单，从而能够迅速，简便地实现。
  2. SNMP是建立在SGMP基础上的，SNMP采用加密传输，在安全性方面有了极大的改善。

2，CMIS/CMIP

• 公共管理信息服务/公共管理信息协议（CMIS/CMIP）是OSI提供的网络管理协议簇。
• CMIS定义了每个网络组成部分提供的网络管理服务，CMIP则是实现CMIS服务的协议。
• CMIS/CMIP的功能与结构跟SNMP很不相同，SNMP是按照简单和易于实现的原则设计的，而CMIS/CMIP则能够提供一个完整网络管理方案所需的功能，相对比较复杂。
• CMIS/CMIP的整体结构是建立在使用ISO网络参考模型的基础上的，网络管理应用进程使用ISO参考模型中的应用层。

3，CMOT

• 公共管理信息服务与协议（CMOT）是在TCP/IP协议簇上实现CMIS服务，这是一种过渡性的解决方案。
• CMIS使用的应用协议并没有根据CMOT而修改，CMOT仍然依赖于CMISE，ACSE和ROSE协议，这和CMIS/CMIP是一样的。但是，CMOT并没有直接使用参考模型中表示层实现，而是要求在表示层中使用另一个协议即轻量表示协议（LPP），该协议提供了目前最普遍应用的两种传输层协议TCP和UDP的接口。

4，LMMP

• 局域网个人管理协议（LMMP）是为LAN环境提供一个网络管理方案。LMMP以前被称为IEEE802逻辑链路控制上的公共管理信息服务与协议（CMOL）。它可以不依赖于任何特定的网络层协议进行网络传输。
• 由于不要求任何网络层协议，LMMP比CMIS/CMIP或CMOT都易于实现，然而没有网络层提供路由信息，LMMP信息不能跨越路由器，从而限制了它只能在局域网中发展。

二，简单网络管理协议（领会）

1，SNMP概述

• 设计目标
  1. 保持管理代理（Agent）的软件成本尽可能低。
  2. 最大限度地保持远程管理的功能，充分利用Internet的网络资源。
  3. 体系结构必须有扩充的余地。
  4. 保持SNMP的独立性，不依赖于具体的计算机，网关和网络传输协议。
• SNMP中的四类管理操作
  1. get操作用来提取特定的网络管理信息。
  2. get-next操作通过遍历来提取管理信息。
  3. set操作用来管理信息进行控制（修改，设置）。
  4. trap操作来报告重要的事件。

2，SNMP管理控制框架与实现

• SNMP管理控制框架
  1. SNMP定义了管理进程（Manager）和管理代理（Agent）之间的关系，这个关系称为共同体（Community）。
  2. 位于网络管理工作站（运行管理进程）上的进程和各网络元素（设备等）利用SNMP相互通信，从而实现对网络进行管理的软件统称为SNMP应用实体。
  3. SNMP的应用实体对Internet管理信息库中的管理对象进行操作。一个SNMP应用实体可操作的管理对象子集称为SNMP管理信息库授权范围。
  4. SNMP体系结构中要求对每个共同体都规定其授权范围及其对每个对象的访问方式，记录这些定义的文件称为“公共体定义文件”。
  5. SNMP的报文源自每个应用实体，报文中包括该应用实体所在的共同体的名字。这种报文在SNMP中称为“有身份标志的报文”，共同体名字是在管理进程和管理代理之间交换管理信息报文时使用的。
  6. SNMP实现方式为了提供便遍历管理信息库的手段，SNMP在其管理信息库中采用了树状命名方法对每个管理对象实例命名。

第四节 网络管理的实现方式（领会）

• 网络管理分为
  • 集中式网络管理
  • 分布式网络管理
  • 分层式网络管理

一，集中式网络管理

• 集中式网络管理比较适合传统的局域网，局域网中管理的对象数量和种类是有限的，因此，网络管理从以下三方面着手：了解网络，运行网络以及维护网络。

1，了解网络

1. 记录硬件情况
2. 绘制拓扑结构
3. 确定互联关系
4. 确定负载定位

2，运行网络

1. 配置网络
2. 配置网络服务器
3. 网络安全设置

3，维护网络

1. 网络故障检测和修复
2. 网络巡检
3. 网络升级

二，分布式网络管理

• 传统方法使用网络探测器进行网络设备和结构的识别，其设计基础是认为整个网络为一个共享网络。某些网络设备厂商把RMON（Remote Network Monitoring，RMON，网络探测器）软件固化到交换机或网卡上，在完成正常网络的传输工作以外，同时收集关联设备和网段的数据，并在适当的时候或定期将这些数据传送到指定的服务器上，这种管理方式称为分布式的RMON。在此基础上实现的网络管理称为分布式网络管理。
• 分布式网络管理特点

  • 基于策略的自适应管理

    • 基于策略的自适应管理降低了计算机网络管理的强度。

  • 分布式查找与监测

    • 分布式查找与监测是将网络管理任务进行分解，将设备查找，拓扑监测和状态轮询等工作由网管工作站移到一个或多个远程工作站或代理工作站中，减少中央管理工作站的工作负载以及网络链路中的数据流量。

  • 智能过滤

    • 分布式网络管理采用四种过滤器过滤，即查找过滤器，拓扑过滤器，映像过滤器和告警与事件过滤器。

  • 分布式阈值监控

    • 阈值监测可以让管理员能够在网络故障发生之前发现问题，并将出现故障或问题的域进行隔离。

三，分层式网络管理

• 针对传统SNMP集中式网络管理的不足，分层式网络管理模型被提出来，该模型在网络管理中采用了代理技术，提出了中层管理站的概念，解决了传统网络管理中资源占用和动态拓展性差的问题，提高了大规模网络管理的效率。
• 电信网是典型的分层式网络结构，核心交换机只负责高速传送数据包至分布站点，然后这些站点再把数据包传送至适合的边界交换机，边界交换机连接的是最终用户。分层式体系结构取消了边界路由器的路由工作，在网内建立了一个骨干通道来确保高效的数据传输。分层体系结构在骨干通道上提供了高速的数据包运输，同时通过独立的分布站点和最少的路程段，尽快地把数据传输到适当的用户。
• 分层式网络必须具备较高的灵活性，在末端能够增加或删除用户及设备，但又不会影响到网络的其他部分，也不降低网络的性能。
• 分层式体系结构能提供安全访问，支持用户权限的划分，保证用户间的隔离。

第五节 网络服务概述（识记）

• 网络服务目前分为两大类：网络服务提供者（简称ISP）与网络（信息）内容提供者（简称ICP）。
• 同时又将网络服务提供者（ISP）分为提供内容服务的网络服务提供者和提供网络接入服务的网络服务提供者。
• 我们所指的“网络服务”是指组成一个网络的系统在运行时能够提供的技术服务。典型的网络服务有DHCP（Dynamic Host Configuration Protocol），DNS(Domain Name System)，FTP(File Transfer Protocol)，Web，Telnet，WINS(Windows Internet Naming Server)，SMTP(Simple Mail Transfer Protocol)等。它们主要分为三个大类：工具类，讨论类，信息查询类。

一，网络基础服务（领会）

• 最基础的是动态主机配置协议（DHCP）
• 计算机要在网络上能够被识别，必须有自己的标识。在不同的网络环境下计算机的标识是不同的，在Internet上，一般是以一个四字节的地址来表示，称为IP地址。这个地址的标识可以由用户自己设定，也可以由网络系统的管理者来分配。
• 在使用动态主机配置协议（DHCP）的网络里，用户的计算机可以从DHCP服务器那里获得上网的参数，主要是IP地址和DNS。这一过程中用户几乎不需要做任何手动的配置。一般情况下，DHCP服务器会尽量保持一台计算机使用同一个IP地址上网。如果计算机长时间没有活动或配置为使用动态地址上网，DHCP服务器就会把这个IP地址分配给其他计算机。IP地址的数量是有限的，为了更好的利用这些资源，一般都会使用动态分配IP地址的方式。

二，DNS域名解析（领会）

• DNS（Domain Name System或Domain Name Service）指域名系统或域名服务。域名系统为Internet上的主机分配域名和IP地址。用户使用域名，DNS就会自动把域名转为IP地址。

1，Internet的域名管理

• Internet的每一个主机必须有一个网络地址，称为IP地址。在IPv4的系统里，一个IP地址由4个字节组成。其中的每个字节都被句点分隔开来，表示为0~255的十进制数字，如127.0.0.1。

• Internet地址有四种类型。

  

  • A类地址适用于主机较多的网络。
  • B类地址适用于主机数和子网络数适中的网络。
  • C类地址适用于子网络数多的场合。
  • D类用于广播，多播等特殊应用。

2，地址转换

• DNS通常完全是由其他的应用层协议所使用，以将用户提供的ASCII字符的主机名解析为IP地址。
• DNS给使用它的Internet应用带来了额外的时延，若DNS服务器在网络上距离用户比较远，有时时延会很明显。为此，网络上一般分布有多个DNS服务器，而且离用户比较近，经常访问的IP地址通常缓存在上面，这有助于减少DNS的网络流量和平均时延。

第六节 电子邮件E-mail（领会）

一，电子邮件的概念

• 电子邮件是一种异步通信媒介，人们可以在任何时候收发数据，无须与其他人的操作进行同步或协调。
• 特点
  • 速度快
  • 异步传输。电子邮件是一种异步方式进行传送的。即使邮件接收方当时不在场，发送方也可以发送邮件给他。接收用户可以根据自己的工作安排处理接收到的邮件。
  • 费用低

二，结构和服务

• 主要由3个部分组成：

  • 用户代理（User Agent）

  • 邮件服务器（Mail Server）

  • 简单邮件传输协议（Simple Mail Transfer Protocol）

• STMP是一组由源地址到目标地址传送邮件的规则，它控制着邮件的发送，中转或分发方式。SMTP属于TCP/IP协议簇，用于电子邮件系统在发送，中转或分发邮件时找到下一个目的地。通过SMTP所指定的服务器，发件人就可以把电子邮件寄到收件人的服务器上。SMTP服务器是遵循SMTP，专门用来发送，中转或分发邮件的服务器。

第七节 文件传输协议FTP（领会）

一，FTP概念

• FTP（File Transfer Protocol）协议是文件传输协议，运行在TCP上。FTP使用了两个并行的TCP连接：
  • 控制连接（Consol Connection）
    • 控制连接用于在两主机之间传输控制信息。如用户标识，密码等，改变远程目录的命令以及“put”和“get”命令。
  • 数据连接（Data Connection）。
    • 数据连接用于传输文件本身的数据。因为FTP使用分离的控制和连接，因此，也称FTP是控制信息带外（Out-of-Band）传送的。

二，FTP的工作原理

• FTP是一个客户/服务器系统。用户运行一个客户端程序FTP，连接到运行服务器程序的远程主机上，用户通过客户端程序向服务器程序发出控制信息，服务器程序执行用户所发出的控制信息。
• 在Internet上利用FTP传送文件有一个限制，用户必须有相应的基本的权限。
• 当客户机与服务器开始FTP会话前，FTP的客户机首先与服务器在21号端口上建立一个用于操作控制的TCP连接，FTP的客户机通过该连接发送用户标识和控制信息，也在其上发送改变远程目录的指令。当FTP的服务器从该控制连接上收到一个文件传输的指令后，就启动初始化一个到客户机的数据连接，使用该数据连接传送文件，传送完毕后该连接关闭。如果在同一次会话中，用户还需要传输另一个文件，那么用户用操作控制连接指令打开另一个数据连接并进行传输。

三，FTP的功能

• FTP主要完成Internet上主机之间的文件传输。在典型的FTP会话中，用户位于本地主机，向远程主机上传或下载文件。
• FTP还可以利用其建立的控制连接通道，使用操作系统提供的内部命令实现一些特殊功能，如改变文件传输模式，实现多文件传输等。

第八节 Web服务（领会）

一，WWW与Internet

• Internet，也就是因特网，是全世界最大的国际互联网络。不同的计算机和不同的计算机局域网，广域网都可以与Internet相连。Web是Internet上发展最快的网络服务，是Internet上最主要的服务之一。
• 通常Internet是指物理网络，由计算机，路由器，交换机等组成；Web是以HTTP按超文本方式在Internet互联网上提供的内容服务。

二，Web的工作原理

• 用户首先要在浏览器的网址栏上输入网页的统一资源定位符（URL：Uniform Resource Locator）。
• 有了URL后，首先是解析URL服务器，通过域名系统DNS解析，并根据解析结果引导进入哪一个IP地址。
• 取得IP地址后，浏览器向那个IP地址上的服务器发送一个HTTP请求。服务器上安装有HTTP的服务，得到请求后，将用户所需的HTML、文本，图片和构成该页面的一切其他文件发送回用户本地。
• 浏览器接下来的工作是把HTML，CSS和其他接收到的文件所描述的内容，加上图像，链接和其他必需的资源，在浏览器中显示给用户。

三，URL

URL由三个部分组成：协议，页面所在服务器的DNS名字（必要时要加端口号），路径和文件名。

第九节 代理服务（领会）

一，代理服务器

• 代理服务器（Proxy Server）是网络上的一种特殊服务器。
• 当用户设置代理服务器后，用户的计算机向DNS询问IP地址，得到IP地址后，浏览器会先向代理服务器询问是否有这个网站的资料，如果有，代理服务器会直接把网站内容回传用户，如果没有，则有代理服务器向网站主站请求资源并回传给用户，同时代理服务器也会保存一份副本，以备其他用户使用。
• 代理服务器的主要功能
  1. 设置用户验证和记账功能。
  2. 对用户进行分级管理，赋予不同用户不同的访问权限，对外部或内部的网络地址进行过滤。
  3. 设置缓冲区（Cache），对用户频繁访问的网站创建缓冲区，缓存该网站的数据，提高了访问效率。
  4. 连接外网与内网时，代理服务器还可以充当防火墙（Firewall）。
  5. 节省IP资源。代理服务器对外网只呈现一个IP，避免了内网的用户每人都申请一个IP地址，节约资源及费用。

二，代理服务器的应用

• 在Internet上作为网关使用，它工作在会话层，起到防火墙的作用，为内网提供一种安全机制。
• 作为HTTP的代理，Web应用通常位于代理服务器的80，3128，8080端口上。
• 代理服务器中，采用socks协议进行通信的代理服务器称为socks服务器。socks是个底层网关，不要求应用程序依赖特定的操作系统，socks代理与应用层代理，HTTP层代理是不同的，socks代理只是简单地传递数据包，它不关心网络的上层是什么应用协议。因此，socks代理比其他应用层代理要快得多。通常绑定在代理服务器得1080端口上。

IP资源。代理服务器对外网只呈现一个IP，避免了内网的用户每人都申请一个IP地址，节约资源及费用。

二，代理服务器的应用

• 在Internet上作为网关使用，它工作在会话层，起到防火墙的作用，为内网提供一种安全机制。
• 作为HTTP的代理，Web应用通常位于代理服务器的80，3128，8080端口上。
• 代理服务器中，采用socks协议进行通信的代理服务器称为socks服务器。socks是个底层网关，不要求应用程序依赖特定的操作系统，socks代理与应用层代理，HTTP层代理是不同的，socks代理只是简单地传递数据包，它不关心网络的上层是什么应用协议。因此，socks代理比其他应用层代理要快得多。通常绑定在代理服务器得1080端口上。