返回首页
当前位置: 网站首页>>网络安全>>防火墙>>

构建网络安全长城之安全设备的管理

时间:2006-11-02 来源:CISCO 作者: 点击:
构建安全的网络长城,除了坚实的“城墙”、机警的“烽火台”,还要有“内明军纪,赏罚分明”的“检测官”才能管理好部下的工作。作为一个优秀的网管,不仅要对来自内外的入侵活动随时监控,而且要对自己内部的网络设备的使用情况保持关注。随着网络建设的扩大,或许我
  

构建安全的网络长城,除了坚实的“城墙”、机警的“烽火台”,还要有“内明军纪,赏罚分明”的“检测官”才能管理好部下的工作。作为一个优秀的网管,不仅要对来自内外的入侵活动随时监控,而且要对自己内部的网络设备的使用情况保持关注。随着网络建设的扩大,或许我们的网络内部已经有了几个路由器、一个核心交换机、四五个汇聚层交换机、数十个接入交换机,那么 我们怎么样来及时检测它们的工作情况呢?随着网络的建设,我们原本空闲的汇聚层交换机是否已经不堪负载了呢?这段时间的一场雷雨,是否对我们的网络设备造成了破坏呢?而且这些设备大多在物理上分散于不同区域,以笔者管理的网络而言,它们常常是散布在办公室、教学楼、家属区各地,为我们的检测工作带来很大的困难。那是不是就只能这样呢?

事实上,生产网络设备的商家早为我们考虑到了这一点。在目前的网络设备中,大多已经包含了SNMP服务。利用它,我们就能方便地获知网络设备的工作情况了。

下面先介绍几个概念:

SNMP(Simple Network Management Protocol): SNMP开发于九十年代早期,是一种简单网络管理协议, 广泛使用于帮助网管人员管理TCP/IP网络中各种装置,没有繁复的指令,概念上只有fetch-store(存-取)两种命令,其优点为简单,稳定及灵活.其目的是简化大型网络中设备的管理和数据的获取。

NMS(Network Management Station): 通常为一台专用计算机,装有网络管理软件, 使用SNMP指令对路上的各种设备作监视与控制, 并接收SNMP Trap。目前,许多与网络有关的软件包,如HP的OpenView和Nortel Networks的Optivity Network Management System,还有Multi Router Traffic Grapher(MRTG)之类的免费软件,都使用SNMP服务来简化网络的管理和维护。

简单来说,NMS通过专门的软件,利用SNMP协议与网络设备通信,从网络设备那里获得他们的硬件信息并归类、整理、显示出来。方便网管进行检测和评估网络运行情况。其结构示意图如(图一)所示:





图一

如上图所示,我们在一台NMS上就能通过SNMP来获取各个网络设备的情况了。再也不用疲于奔波了。

在介绍了这么多令各位网管激动兴奋的特性后,就让我们一起来亲手塑造一位这样优秀的网络检测官NMS吧!

上面有提到过HP的OpenView和Nortel Networks的Optivity Network Management System,还有Cisco Works以及华为公司的网管软件等都能满足我们的需要,但以上都是商业产品,在没有足够经费的情况下(事实上对公司BOSS而言,网络部门都属于只出不进的烧钱部门,因此要经费是很困难的),我个人采用Multi Router Traffic Grapher(MRTG)这个免费软件构造了一个满足自己需要的NMS,下面与大家分享构造过程。(事实上,用免费产品经过自己的修改优化大多能取得比商业软件更好的效果。不少免费软件的质量与商业产品相比毫不逊色,如Apache、Sendmail、Bind等等)。

实现原理:利用SNMP服务,每隔一定时间从网络设备上取得它们当前的工作情况,利用mrtg制作成图表反映出来。由于需要记录长期以来的工作情况,所以还需要将以前的记录保存,每隔一段时间取出的数据加以汇总进行数据分析和绘图工作(当然,这些都让mrtg这个软件替我们代劳了,我们什么都不用做的,只需要打开浏览器访问查看就行了)

下面是我们构建NMS所需要的程序和它的主页地址:

操作系统:首先是对操作系统的选择,目前MRTG可以运行于WINNT平台和UNIX两种平台上。由于NMS主要是起对各个网络设备的流量、工作负载等情况的持续跟踪,因此对操作系统的稳定性要求比较高。因为笔者就个人使用经历中接触到的Unix/Linux操作系统在稳定性方面更好一些。因此我们还是继续采用RedHat 9.0 作为操作系统,关于安装它的方法很简单,遇到问题可以在www.redhat.com上寻求帮助(记得在安装的时候一定要安装上snmp、HTTP、crontabs 、PERL、zlib、gd、libpng这几个软件包;其中snmp是为了和自己、以及其他网络设备通信取得其资料、crontabs是为了定时执行mrtg命令,跟windows下的任务计划很类似,http、perl、zlib、gd和libpng都是mrtg所需要的)

MRTG: http://www.mrtg.org 这就是我们的主角了。它有rpm包和源程序包两种,按理在RedHat上用rpm包的方便快捷,但是我在安装后使用过程中生成index那里遇到错误,而使用源程序包的时候没有发生这样的情况,因此,我们这里仍然选用源程序包来安装。目前最新的版本为2.10.5版本的,在 http://people.ee.ethz.ch/~oetiker/webtools/mrtg/pub/mrtg-2.10.5.tar.gz 这里可以下载。

SYSSAR:通过它可以方便地获得CPU和内存等资源的使用情况,RH9自带它,安装的时候记得选上就好;

lm_sensors: 通过它可以方便地获得主板上CPU和系统等资源电压/风扇转动速度和温度的情况,RH9自带它,安装的时候记得选上就好;

1、登陆:

请确保您在进行以下操作的时候以下的操作具有root权限

2、下载软件:

先新建立一个目录

[root@netserver home]# cd /root

[root@netserver root]# mkdir nms

[root@netserver root]# cd nms

[root@netserver nms]# wget http://people.ee.ethz.ch/~oetiker/webtools/mrtg/pub/mrtg-2.10.5.tar.gz

3、安装软件

[root@netserver nms]# tar vzxf mrtg-2.10.5.tar.gz

[root@netserver nms]# cd mrtg-2.10.5

[root@netserver mrtg-2.10.5]#./configure--prefix=/usr/local/mrtg --with-gd=/usr/include --with-gd-lib=/usr/lib --with-gd-inc=/usr/include --with-png=/usr/include --with-zlib=/usr/include (其中以上几个参数中—prefix表示安装目录,--with表示相关的库文件和头文件从相应的目录去寻找,以上写成一行)

[root@netserver mrtg-2.10.5]#make;make install

好,完成了以上几步,我们就已经把mrtg安装到了/usr/local/mrtg目录下了。

4、配置MRTG

mrtg可以同时为多个设备生成图表,此处为方便示范,我以获取内网中的一台192.168.100.1的交换机的资料为例。

A.在www服务的目录中建立mrtg目录,

[root@netserver mrtg-2.10.5]#mkdir –p /var/www/html/mrtg/switch100

以上-p参数,可以方便地建立多级目录(即上级目录不存在的情况下,可以连上级目录和该目录一起创立)我使用的RedHat默认安装的apache,所以WWW主页的放置地点为/var/www/html,请按照你的系统来设定,由于我们内网中可能存在多台需要管理的机器,因此我在mrtg目录下又单独建立了一个switch100目录(因为交换机的ip的c段为100)以方便管理。

[root@netserver mrtg-2.10.5] #cp images/* /var/www/html/mrtg/switch100

(由于mrtg是免费软件,作者在它的作品上打打广告当然我们也应该高高兴兴地接受,所以把图片copy过来吧)

B.配置好关于获取交换机的cfg,并生成页面

[root@ netserver mrtg-2.10.5]# cd /usr/local/mrtg/bin

[root@ netserver bin]# ./cfgmaker public@192.168.100.1 > /var/www/html/mrtg/switch100/mrtg.cfg

以上这句中,public@192.168.100.1 表示我们以SNMP协议获取162.168.100.1这个交换机资料的时候使用public这个通信字符串(一般来说,网络设备出厂的时默认以public作为只读权限和private作为读/写权限,具体情况请根据您的网络设备设置进行改进)

为图方面,我以上使用的cfgmaker没有带参数,因此默认生成的mrtg.cfg中并不太完美,我们来手工修改得更适合一些:

[root@ netserver bin]#vi /var/www/html/mrtg/switch100/mrtg.cfg

修改以下几行为(没有的请添加)

WorkDir: /var/www/html/mrtg/switch100/

Options[_]:growright,bits #默认的mrtg图表是以左方为坐标轴,加上这句以换成我们习惯的右上坐标系。

Language:chinese #这里有不少站推荐用GB2312但我发现chinese更完美一些。

Refresh: 300 #表示每300秒自动刷新客户的浏览器一次,至于为什么是300秒呢?因为snmp访问的时候是需要网络设备传输资料的,会消耗网络设备的资源,因此如果时间定得太短,会让网络设备的传输受到影响;而如果时间间隔太长,又不能比较准确地反映出网络设备的即时流量。而且一般来说,在检测到5分钟内的数据中如果存在平均的网络流量超过最大流量的75%,就说明在这5分钟内,有一些瞬间的流量是达到上限了的。因此只要每5分钟抓取一次流量,就可以根据网络公式来分析网络设备的负载情况了。

WriteExpires: Yes

WithPeak[_]: ym

C.运行mrtg

执行以下命令3次(前两次会提示一些警告信息,不用理会)

[root@ netserver bin]#./mrtg /var/www/html/mrtg/switch100/mrtg.cfg

之后会发现在/var/www/html/mrtg/switch100/ 目录下生成了很多文件html和png文件(前提当然是你这个网络设备是要运行着的咯)

接下来生成主页面index.htm

[root@ netserver bin]#./indexmaker --title='楼宇交换机统计' --output='/var/www/html/mrtg/switch100/index.htm' /var/www/html/mrtg/switch100/mrtg.cfg

以上的命令中 –-title表示的是生成的html的标题,--output表示输出的文件名。

好了,现在打开 http://你的ip/mrtg/switch100/ 目录,应该就能看到(图二)所示的画面了。





图 二

啊~~为什么我的页面上没有你这样的流量走线呢??别急。我不是说过么,我们是需要每5分钟抓一次流量来形成走线图的,也就是说,要将mrtg命令每5分钟执行一次。那不是很麻烦?不用,linux中,我们使用crontabs就能很容易做到这点了。(请在服务中,将crond服务打开)

[root@ netserver bin]# crontab –e

然后添加任务,输入下面一行:

5,10,15,20,25,30,35,40,45,50,55 * * * * /usr/local/mrtg/bin/mrtg /var/www/html/mrtg/switch100/mrtg.cfg > /dev/null 2>&1(请写成一行,并且空格的地方只能空一格,不可以多空格)

[1] [2] [3] [4] 下一页  

------分隔线----------------------------
顶一下
(0)
0%
踩一下
(0)
0%
------分隔线----------------------------
最新评论 查看所有评论
发表评论 查看所有评论
请自觉遵守互联网相关的政策法规,严禁发布色情、暴力、反动的言论。
评价:
表情:
用户名: 密码: 验证码:
推荐内容