Gestion de réseau SNMP : protocoles et composants

• Le Service SNMP (Simple Network Management Protocol)

TR 811 Administration des Services Réseaux

• Chapitre II porte sur le service SNMP (Simple Network Management Protocol).
• Le cours présenté a été préparé par Dr. H. Zerrouki à l'UABBT, Faculté de Technologie.

Plan de Cours

• Le plan du cours comprend:
• Présentation du protocole SNMP
• Composants de base de SNMP
• Structure de données (MIB) et (SMI)
• Opérations SNMP
• Description du protocole SNMP

Présentation du protocole SNMP

• SNMP (Simple Network Management Protocol) a été défini en 1989.
• L'utilisation du protocole SNMP est devenue une norme pour la gestion de réseaux.
• SNMP facilite l'échange d'informations d'administration entre les entités d'un réseau, permettant ainsi une cartographie du réseau.
• Il permet également de gérer les performances, de détecter et de résoudre les problèmes.
• SNMP est compatible avec toutes les plateformes hétérogènes.
• SNMP est installé sur la plupart des équipements réseau tels que les routeurs et les commutateurs.
• Ce protocole de la famille TCP/IP est utilisé sur tous les réseaux de type Internet.
• SNMP se situe entre la couche 4 (Transport) et la couche 7 (Application) du modèle OSI, utilisant le protocole UDP pour le transport.

Protocoles et Ports SNMP

• SNMP exploite les capacités du protocole UDP.
• UDP fonctionne en mode non connecté, ce qui signifie qu'il n'existe pas de lien persistant entre la station d'administration et l'agent.
• Deux ports sont spécifiquement utilisés pour SNMP :
• Port 161 est utilisé pour les requêtes envoyées à un agent SNMP.
• Port 162 est utilisé pour l'écoute des alarmes (Traps) destinées à la station d'administration.

Les composants de base de SNMP

• Un réseau administré par SNMP dispose de trois composants essentiels:
• Les dispositifs administrés
• Les agents
• Les systèmes d'administration réseau (NMS, Network Management System).

Dispositifs administrés

• Un dispositif administré est un nœud réseau contenant un agent SNMP et résidant sur un réseau administré.
• Ces dispositifs collectent et conservent des informations d'administration, qu'ils rendent disponibles aux NMS.
• Les dispositifs administrés peuvent être des routeurs, des serveurs d'accès, des commutateurs, des hôtes ordinateurs ou des imprimantes.

Agent

• Un agent est un module logiciel d'administration réseau résidant sur un dispositif administré (OS).
• Il possède une connaissance locale des informations d'administration et traduit celle-ci en un format compatible avec SNMP.

NMS (Network Management System)

• Un NMS, ou système de gestion de réseau, est une console permettant aux administrateurs de réaliser des tâches d'administration.
• Il exécute des applications qui surveillent et contrôlent des dispositifs administrés.
• Un NMS fournit l'essentiel des ressources de traitement et de mémoire nécessaires à l'administration réseau.
• Il peut y avoir un ou plusieurs NMS sur un réseau administré.
• SNMP est un protocole d'administration distribuée, permettant à un système d'opérer soit comme un NMS, soit comme un agent, ou les deux.
• Un système fonctionnant comme NMS et agent peut être interrogé par un autre NMS pour fournir un résumé des informations apprises ou rapporter les informations d'administration conservées en local.

Structure de données (MIB) et (SMI)

• L'aspect le plus important de SNMP est sa capacité à décrire un grand nombre de composants de manière standardisée.
• Cette description est faite dans la MIB (Management Information Base).
• La MIB regroupe les informations d'intérêt pour les administrateurs réseau et reflète l'expérience de spécialistes.
• Le modèle utilisé n'est pas un modèle objet au sens informatique traditionnel.
• Les entités modélisées sont plutôt un ensemble de variables typées qui peuvent être lues ou mises à jour.

Nommage des objets

• Chaque objet de la MIB est identifié de manière unique par un nom et un OID (Object Identifier) dans un espace de nommage hiérarchique.
• L'OID est représenté par un arbre inversé où chaque nœud correspond à un objet.

Arborescence des OID

• La MIB d'un agent SNMP contient la MIB-2 et une MIB privée spécifique à l'équipement réseau géré.
• L'arborescence ISO.org.DoD.Internet (1.3.6.1) et objets définis dans le RFC 1155 sont des éléments clés de cette structure.
• Les groupes et objets sont définis dans le RFC 1213.
• La branche dédiée aux MIB privées des constructeurs se trouve sous la branche "enterprises".

Exemple de Nommage d'Objet

• Chaque objet possède un numéro unique situant par rapport au nœud parent et un nom symbolique.
• Le chemin de la racine à l'objet constitue l'OID.
• Par exemple, l'objet décrivant le nom d'une machine s'appelle sysName et a l'OID défini comme suit : sysName OBJECT IDENTIFIER ::= { iso(1) org(3) dod(6) internet(1) mgmt(2) mib-2(1) system(1) sysName(5)}
• En abrégé, l'OID serait noté .1.3.6.1.2.1.1.5.
• L'arbre de nommage est infini, mais SNMP utilise uniquement la partie située sous 1.3.6 (dod).
• La partie supérieure de l'arbre est gérée par l'ISO, qui prévoit un espace pour le DoD (Département de la Défense américain).

Modules de MIB

• Les objets sont décrits par des "modules de MIB" qui sont classés sous la branche "internet".
• "mgmt(2)" contient les modules de MIB standard établis par l'IETF, le groupe de travail sur l'ingénierie Internet.
• « Expérimental (3) » comprend des modules MIB établis de manière expérimentale par l'IETF, susceptibles d'être ultérieurement intégrés de manière définitive sous « mgmt ».
• "private(4)" contient les modules de MIB développés en dehors des standards IETF, souvent par des entreprises ou des centres de recherche et communément appelés « MIB privées ».

Extension de la MIB

• Avec le temps, les variables initialement choisies pour la MIB (et MIB-2) se sont avérées insuffisantes, conduisant à l'introduction de deux autres types de MIB : private MIB et les MIB R-MON (Remote network Monitoring).
• Les privates MIB sont représentées par .1.3.6.1.4 dans la structure SMI, permettent aux entreprises d'ajouter des variables pour une implémentation particulière des agents SNMP, ajoutant ainsi de nouvelles variables en fonction des applications souhaitées.
• Les MIB R-MON permettent de placer des agents SNMP sur des supports physiques, comme une sonde R-MON connectée à un câble pour enregistrer le trafic et permettre à l'administrateur d'interroger les données sur les collisions et les débits.

Description des objets : (SMI)

• La structure SMI (Structure of Management Information) décrit les règles de description de l'information.
• permet d'identifier de façon unique un objet de la MIB géré par un agent SNMP.
• SMI concerne la représentation des données (et leur type) pour chaque objet de la MIB, déclaré et défini en langage ASN.1 (Abstract Syntax Notation 1), un langage de représentation de données.
• Les objets définis avec ASN.1 peuvent être :
  • des types, utilisant des types simples comme INTEGER ou BOOLEAN.
  • des listes (SEQUENCE) et des tableaux (SEQUENCE OF),
  • des valeurs, basées sur un type précédemment défini,
  • des macros, qui étendent les définitions et créent de nouveaux types.

Conventions et Types ASN.1

• Par convention :
  • les types commencent par une majuscule,
  • les valeurs par une minuscule
  • les macros sont tout entières en majuscules
  • Les commentaires sont précédés de deux tirets.
• SNMP utilise une partie spécifique du langage ASN.1.
• Au niveau des types :
  • Integer : valeur entière sur 32 bits en complément à 2
  • Octet String : chaîne de caractères
  • IpAddress : adresse IP.
  • PhysAddress : adresse MAC (6 octets pour Ethernet).
  • Counter : entier de 32 bits non signé (0 à 2^32 -1).
  • TimeTicks : compteur de temps sur 32 bits non signé en 1/100 de seconde.

Syntaxe des objets MIB SNMP

• La MIB SNMP est composée de différents objets :
  • objets partiels, servant à construire l'arborescence de la MIB, n'ayant pas de type mais un OID (ex. System OBJECT IDENTIFIER ::= { mib-2 1 })
  • objets scalaires, avec une instance unique et un type simple (syntaxe ASN.1 de base) ou défini dans SMIv1/SMIv2
  • objets tabulaires, décrivant une table comme une séquence de lignes, elles-mêmes séquences d'objets.

Opérations SNMP

• Le protocole SNMP prend en charge trois types de requêtes : GET, SET et TRAP.
• Il utilise les opérations suivantes pour la gestion du réseau :

Lire les informations (GET)

• Get Request: Permet aux stations de gestion d'interroger les objets gérés et les variables de la MIB des agents pour accéder à une variable précise, avec l'entrée MIB (nom) passée en paramètre.
• Get-Next Request: Permet aux stations de gestion de recevoir la prochaine instance, succédant à l'objet nommé (passé en paramètre) dans la MIB pour balayer les tables et accéder à plusieurs variables simultanément.
• Get Response: Retourné pour chaque envoi de message (sauf pour les TRAP). L'agent répond toujours par GetResponse. Toutefois, si la variable demandée n'est pas disponible, le GetResponse sera accompagné d'une erreur, soit NoSuchObject (variable introuvable), soit NoAccess (droits d'accès insuffisants).
• Get Bulk Request :(SNMP v2 et v3)
  • Améliore le SNMP.
  • Permet aux managers d'interroger les objets gérés et les variables de la MIB des agents, permettant ainsi à la station de gestion de récupérer efficacement de grandes quantités de données.

Modifier les informations (SET)

• SetRequest : Permet aux stations de gestion de modifier une valeur de la MIB et de lancer des périphériques (ex. manager mettant à jour une table de routage). SetRequest provoque aussi le retour de GetResponse.

Type de non sollicités

• Les alarmes TRAP : Lorsqu'un périphérique détecte une condition anormale, l'agent SNMP envoie une notification (Trap SNMP) au gestionnaire SNMP. Les Types de Trap peuvent être
• Link Up ou Link Down (lorsque l'interface devient active ou au contraire passive),
• Cold start (démarrage à froid)
• Warm start (démarrage à chaud)
• Authentication failure (échec d'authentification, lorsqu'un nom de communauté incorrect est spécifié dans une requête),
• Loss of EGP Neighbor (perte de voisin EGP)
• InformRequest :(SNMP v2 et v3)
• Facilite la communication d'information entre les stations de gestion de réseau. Si activé, cela permet à l'agent d'informer les autres agents de son existence.

Format des PDUs (messages) SNMP

• Une requête SNMP se compose comme suit :
  • Version : Version de SNMP (0 : SNMPv1, 1 : SNMPv2, 2 : SNMPv3).
  • Community : Nom de la communauté (mot de passe).
  • PDU type : Type de PDU (Protocol Data Units). (0 : GetRequest, 1 : GetNextRequest, 2 : SetRequest, 3 : GetResponse, 4 : Trap, etc.)
• Request-id : Utilisé pour différencier les messages.
• Le champ identificateur de la requête est défini par le manager lors de l'envoi d'une requête et est repris par l'agent dans sa réponse afin d'associer celle-ci à la requête, étant donné l'utilisation du protocole UDP.
• Error-status : Indique une erreur (0 si aucune erreur). Positionné par l'agent.
  • Si le résultat est à zéro, une réponse GetRespose s'est bien passée.
  • Statut d'erreur :
    • 0 noError : pas d'erreurs,
    • 1 tooBig : réponse trop grande,
    • 2 noSuchName : variable inconnue,
    • 3 badValue : écriture d'une valeur invalide,
    • 4 readOnly : tentative de modification d'une variable en lecture seule,
    • 5 genErr : autre erreur.
• Variable-bindings: Liste d'objets avec leurs valeurs, présentés sous forme de couples (Identifiant : valeur).
• Enterprise indique l'équipement qui génère l'alerte
• Agent-addr est l'adresse IP de l'émetteur de l'alarme
• Indique un identificateur d'alarme spécifique pour identifier un Trap.
• Time-stamp : Temps écoulé depuis la dernière réinitialisation de l'entité, exprimé en centièmes de secondes, basé sur la variable sysUptime.
• Generic-trap : Identificateur d'alarme, entier traduisant l'une des sept alertes SNMP possibles :
  • 0 coldStart : initialisation de l'agent,
  • 1 warmStart : réinitialisation de l'agent,
  • 2 linkDown : passage de l'interface à l'état bas,
  • 3 linkUp : passage de l'interface à l'état haut,
  • 4 authenticationFailure : émission par le manager d'une communauté invalide,
  • 5 egpNeighborLoss : passage d'un homologue EGP à l'état bas (avec l'adresse IP de l'homologue),
  • 6 enterpriseSpecific : champ spécifique pour l'information.

Communauté

• La communauté est un mot de passe pour la sécurité réseau.
• Un agent SNMP a la possibilité d'être finiment paramétrable suivant le système ou le réseau, permettant à l'administrateur de créer des règles comme lecture/écriture (RW) ou lecture seule (RO).
• Chaque groupe doit avoir un mot de passe, par défaut elle sont public et private.
  • public : droit de lecture des informations de la MIB (RO)
  • private : droit de lecture et d'écriture (RW).
• La communauté publique ce sont les informations non sensibles.

Les différentes versions de SNMP

• Différentes versions du protocole ont été créées, y compris :
  • SNMPv1 : La première version, définie dans le RFC 1157 avec une sécurité basée sur une chaîne de caractères ''community''.
  • SNMPsec : Ajoute une sécurité au protocole SNMPv1, en utilisant des groupes.
  • SNMPv2p : Mise à jour de SNMPv1 avec améliorations des opérations et des types de données, conservant la sécurité basée sur les groupes de SNMPsec.
  • SNMPv2c : Appelé "community stringbased SNMPv2", améliore les opérations de protocole et types de données de SNMPv2p, utilisant la sécurité basée sur la chaîne de caractères "community" de SNMPv1.
  • SNMPv2u : Utilise les opérations et les types de données de SNMPv2c et sécurise les utilisateurs.
  • SNMPv2* : Combine les meilleures parties de SNMPv2p et SNMPv2u, bien que les documents descriptifs n'aient jamais été publiés dans les RFC.
  • SNMPv3 : Standard actuel, combinant la sécurité basée sur les usagers et les opérations de SNMPv2p, et introduisant des notions de sécurité comme l'authentification/intégrité basée sur DES, la confidentialité des données et le contrôle d'accès par la MIB.

Ce questionnaire porte sur les composants de base d'un réseau administré par SNMP, la fonction des agents SNMP et l'interaction des dispositifs administrés. Il aborde également le rôle du protocole SNMP, l'unité de temps de l'objet sysUpTime et la couche OSI.