ＳＭＯＮ技術(shù)在交換式網(wǎng)絡(luò)管理中的應(yīng)用研究

摘要：指出RMON技術(shù)在現(xiàn)代TCP~P網(wǎng)絡(luò)管理中，無法對交換機的每一個點對點端口的流量進行管理，無法適應(yīng)VLAN流量的監(jiān)控，無法對QoS分類定義進行管理，無法對鏈路聚合情況進行實時監(jiān)控等缺陷，分析了導(dǎo)致這些缺陷存在的根本原因。在此基礎(chǔ)上，重點研究了關(guān)鍵技術(shù)SMON的原理及具體實現(xiàn)方法，提出了從基于共享式網(wǎng)絡(luò)的RMON管理技術(shù)升級到基于交換式網(wǎng)絡(luò)的SMON管理技術(shù)的具體方案。

關(guān)鍵詞：RMON；SMON；MIB；監(jiān)控；共享式網(wǎng)絡(luò)；交換式網(wǎng)絡(luò)

0 引言

SNMP是一組應(yīng)用于TCP／IP網(wǎng)絡(luò)環(huán)境的協(xié)議標(biāo)準(zhǔn)，由管理信息庫(MIB)、管理信息結(jié)構(gòu)(sMI)和管理通信協(xié)議(sNMP)三部分組成，提供了一種監(jiān)控和管理計算機網(wǎng)絡(luò)的系統(tǒng)方法。SNMP是基于無連接的通信、伸縮性差、認證機制簡單、管理中頻繁的輪詢操作會產(chǎn)生大量的通信流量，增加了網(wǎng)絡(luò)的負擔(dān)而提出的。針對SNMP存在的不足，IETF于1991年11月推出了RMON(Remote Monitoring，遠程監(jiān)視)技術(shù)。早期的網(wǎng)絡(luò)一般工作在共享模式下，RMON技術(shù)發(fā)揮了對共享式網(wǎng)絡(luò)管理的優(yōu)勢。近年來，隨著以交換機設(shè)備為主的交換式網(wǎng)絡(luò)的普遍使用，RMON技術(shù)存在的缺陷逐漸暴露出來。在此情況下，在美國Lucent(朗訊)科技公司和以色列LAN交換集團(LSG-I，原Lannet公司)的共同努力下，在RMON基礎(chǔ)上推出了SMON(switch Monitoring，交換機的遠程監(jiān)控)技術(shù)標(biāo)準(zhǔn)，隨后被IETF采納，在RFC 2613文檔中進行了詳細描述。RMON和SMON的基礎(chǔ)是SNMP，都是通過對MIB功能的擴展以適應(yīng)不斷發(fā)展的網(wǎng)絡(luò)技術(shù)在管理上要求。RMON使SNMP適應(yīng)了共享式網(wǎng)絡(luò)管理的要求，而SMON則為目前廣泛使用的交換式網(wǎng)絡(luò)的管理提供了技術(shù)保障。

1 RMON技術(shù)的缺陷

1.1 RMON無法適應(yīng)多網(wǎng)段網(wǎng)絡(luò)管理的要求

在共享式網(wǎng)絡(luò)中，所有的端口都連接到同一網(wǎng)段上，網(wǎng)絡(luò)中任何一臺主機發(fā)送的數(shù)據(jù)，都會廣播到其他的主機上。從網(wǎng)絡(luò)管理的角度來看，這種共享式網(wǎng)絡(luò)由于采用的是廣播機制，因而網(wǎng)絡(luò)數(shù)據(jù)的獲取比較容易，網(wǎng)絡(luò)管理相對簡單，只要將一個網(wǎng)絡(luò)分析儀或PJVION探測器(probe)像普通主機一樣連接到網(wǎng)絡(luò)上，就可以主動地監(jiān)控整個網(wǎng)絡(luò)中的流量。

隨著網(wǎng)絡(luò)應(yīng)用范圍的逐漸增大，部分局域網(wǎng)開始包含多個共享式網(wǎng)段，這些網(wǎng)段通過網(wǎng)橋或路由器相互連接，為了監(jiān)控整個網(wǎng)絡(luò)，網(wǎng)絡(luò)管理員只能在重要的網(wǎng)段上設(shè)置一些多端口的探測器，通過探測器的這些端口監(jiān)控多個網(wǎng)段的工作狀態(tài)，如圖1所示。由于這些網(wǎng)段之間不存在內(nèi)在的邏輯上的連接，所以RMON僅能作為分離的數(shù)據(jù)源處理每一個探測器接口的信息，而無法考慮其他相關(guān)端口的統(tǒng)計情況。

1.2 RMON無法適應(yīng)對交換機端口的管理要求

交換式網(wǎng)絡(luò)與共享式網(wǎng)絡(luò)的本質(zhì)區(qū)別是用交換機來替代原來共享式網(wǎng)絡(luò)中的集線器，或用交換機來替換原來使用同軸電纜連接的總線型網(wǎng)絡(luò)。在交換式網(wǎng)絡(luò)中，交換機工作在OSI參考模型的數(shù)據(jù)鏈路層，它利用MAC地址表實現(xiàn)任意端口之間的點對點通信；除少量廣播信息和特殊應(yīng)用環(huán)境中的組播信息外，大量用戶設(shè)備之間的數(shù)據(jù)交換都采用單播方式；每個用戶端設(shè)備都連接到交換機的一個具體端口上，一個RMON探測器只能監(jiān)控一個端口的流量和工作狀態(tài)，無法對交換機的所有端口進行監(jiān)控。同時，在網(wǎng)絡(luò)中進行信息交換時，交換機通過交換結(jié)構(gòu)(也稱為“交換背板”)動態(tài)地建立一個從源端到目的端的“專用線路”(點到點通信)，使得其他端口無法直接捕獲信息包(具體為MAC幀)，交換機端口上的探測器只能監(jiān)控—個小網(wǎng)段(也稱為“微網(wǎng)段”)。例如，一臺24口的交換機，可能同時有l(wèi)O對主機之間分別在進行通信，并互不影響，這時RMON控制器很難同時對這10個微網(wǎng)段的通信情況進行監(jiān)控。RMON探測器只能“看到”本端口的通信情況，而無法獲取交換機其他端口上的網(wǎng)絡(luò)流量。

1.3 RMON無法適應(yīng)對交換式網(wǎng)絡(luò)中新技術(shù)的管理要求

在交換式網(wǎng)絡(luò)中，還提供了VLAN、QoS、鏈路聚合等技術(shù)。這些技術(shù)的應(yīng)用更加大了對交換式網(wǎng)絡(luò)的管理難度。

(1)VLAN。VLAN(Virtual Local Area Network，虛擬局域網(wǎng))是一種通過將局域網(wǎng)內(nèi)的設(shè)備邏輯地而不是物理地劃分成一個個網(wǎng)段從而實現(xiàn)虛擬工作組的技術(shù)，它是交換式網(wǎng)絡(luò)中最基本的安全管理手段。IEEE于1999年頒布了用以標(biāo)準(zhǔn)化VLAN實現(xiàn)方案的802.1Q協(xié)議標(biāo)準(zhǔn)草案。網(wǎng)絡(luò)管理員如果不了解VLAN內(nèi)部或VLAN之間的通信方式，就不可能了解站點與站點之間或VLAN之間的數(shù)據(jù)流向及流量。在共享式網(wǎng)絡(luò)中，由于不存在VLAN，因而也就沒有這個問題。但在由多個VLAN組成的交換式網(wǎng)絡(luò)中，對位于同一VLAN的多個端口以及不同VLAN之間的通信，RMON無法提供相應(yīng)的管理功能。

(2)QoS。一般來說，基于存儲轉(zhuǎn)發(fā)機制的Internet／Intranet只為用戶提供了“盡力而為(best-effort)”的服務(wù)，不能保證數(shù)據(jù)包傳輸?shù)膶崟r性、完整性以及到達的順序性，不能保證服務(wù)的質(zhì)量。在實際應(yīng)用中，不同用戶對不同的分布式多媒體應(yīng)用有著不同的服務(wù)質(zhì)量要求，這就要求網(wǎng)絡(luò)應(yīng)能根據(jù)用戶的需求分配來動態(tài)地調(diào)度資源。QoS(Quality of Service，服務(wù)質(zhì)量)是網(wǎng)絡(luò)對用戶之間以及網(wǎng)絡(luò)上互相通信的用戶之間關(guān)于信息傳輸與共享的一種策略約定，例如傳輸延遲允許時間、最大傳輸畫面失真度以及聲像同步等。對QoS進行分類和定義的目的是使網(wǎng)絡(luò)可以根據(jù)不同類型的QoS進行管理和分配資源。例如，給IPTV、VoIP等實時服務(wù)分配較大的帶寬和較多的CPU處理時間等，另一方面，對QoS進行分類定義也方便了用戶根據(jù)不同的應(yīng)用提出相應(yīng)的QoS需求。其中，在運營級的網(wǎng)絡(luò)中QoS發(fā)揮著十分重要的作用。RMON技術(shù)并未提供對QoS的管理功能。

(3)鏈路聚合。鏈路聚合(Trunk)是一種封裝技術(shù)，是將交換機之間的多個端口捆綁成一條高帶寬鏈路，以滿足交換機之間的通信要求。鏈路聚合具有以下特點：一是提供負載平衡，避免鏈路出現(xiàn)阻塞現(xiàn)象；二是提高交換機之間的通信帶寬，例如將4個100Mbit／s的端口進行聚合后，就可以為這兩臺交換機之間提供400Mbit／s的通信帶寬；三是增加交換機之間連接的可靠性，被聚合的端口一旦其中一個出現(xiàn)故障時，其他端口會照常工作；四是所有VLAN數(shù)據(jù)都會通過交換機之間的聚合鏈路。RMON無法對鏈路聚合情況進行監(jiān)控。

2 針對RMON缺陷的早期解決方案

2.1 在交換模塊中增加端口復(fù)制特性

在交換模塊中增加端口復(fù)制功能是利用KMON技術(shù)解決交換式網(wǎng)絡(luò)管理問題的一種方法。這種方法是，在交換模塊中增加一種端口復(fù)制(Port-Copy)或端口鏡像(Port-Mirrofing)的功能，將一個或多個端口(源端口)的流量鏡像到另一個端口(目的端口，或鏡像端口)，在目的端口上連接一個標(biāo)準(zhǔn)的RMON探測器。如圖2所示，將運行RMON的管理站直接連接在交換機的復(fù)制端口上，將交換機與Internet等外部網(wǎng)絡(luò)連接的端口設(shè)置為被復(fù)制端口，這樣企業(yè)內(nèi)部局域網(wǎng)中凡是訪問Internet的流量都會被鏡像到復(fù)制端口，并發(fā)送給管理站進行分析。到目前為止，對端口復(fù)制的操作控制一般由不同廠商定義，屬于私有MIB。該方案的特點是：可以充分利用現(xiàn)有RMON技術(shù)和管理系統(tǒng)，對局域網(wǎng)網(wǎng)段的動態(tài)子網(wǎng)進行監(jiān)控。目前，許多交換機都支持端口復(fù)制特性，但由于該功能的定義屬于私有MIB，所以在有些交換機的設(shè)計中對流量中不同的數(shù)據(jù)類型是否可以進行端口復(fù)制作了相應(yīng)的限制(這主要是考慮到交換機的使用性能)。

端口復(fù)制可以將交換機中所有的流量通過一個特定的端口復(fù)制到一個鏡像端口。如果交換機提供端口復(fù)制功能，則允許網(wǎng)絡(luò)管理員自行設(shè)置一個監(jiān)視管理端口(鏡像端口)來監(jiān)視被監(jiān)視端口的數(shù)據(jù)流量，并將獲取的監(jiān)視數(shù)據(jù)發(fā)送給管理站，通過管理站上的網(wǎng)絡(luò)分析軟件來實時查看被監(jiān)視端口的情況。目前，大部分交換機自帶的管理軟件以及一些入侵檢測系統(tǒng)(IDS)都通過這種方式收集并分析交換機各端口的數(shù)據(jù)流量。不過，這種方式仍然達不到同時監(jiān)控所有網(wǎng)段的目的，也解決不了交換實體中VLAN劃分和優(yōu)先級問題。

2.2 在交換機內(nèi)部使用特殊的計數(shù)硬件和開發(fā)相應(yīng)的收集流量信息的軟件

在交換機內(nèi)部使用特殊的計數(shù)硬件和開發(fā)相應(yīng)的收集流量信息的軟件，是早期將SMON技術(shù)應(yīng)用于由共享式網(wǎng)段和交換式網(wǎng)段所組成的混合式網(wǎng)絡(luò)環(huán)境中的一種有效解決方法。交換監(jiān)控實體結(jié)構(gòu)如圖3所示，其中SMON模塊的一個特殊目的是監(jiān)聽交換機背板的數(shù)據(jù)流量。SMON模塊包括一個用來計數(shù)和分析總線上流量的硬件和一個中央處理單元(cPU)系統(tǒng)，模塊的軟件通常實現(xiàn)一個SNMP代理，允許遠端的管理站(網(wǎng)絡(luò)管理系統(tǒng)，NMS)訪問SMON模塊中的數(shù)據(jù)統(tǒng)計信息，并對交換機進行相應(yīng)的管理操作。該方案具有以下的優(yōu)點：

(1)總線同時連接了多個共享式網(wǎng)絡(luò)，SMON模塊能夠監(jiān)控到通過總線的所有流量。

(2)將SMON模塊集成到交換機中，通過模塊監(jiān)控不同VLAN所產(chǎn)生的數(shù)據(jù)流量，并且能夠?qū)粨Q機內(nèi)部不同優(yōu)先級的數(shù)據(jù)幀進行實時監(jiān)控。

(3)監(jiān)控功能由SMON模塊完成，減輕了交換機本身的工作負擔(dān)，在進行流量監(jiān)控的過程中不會對交換機的數(shù)據(jù)轉(zhuǎn)發(fā)和過濾等功能造成影響。

如圖3所示，當(dāng)統(tǒng)計流量結(jié)果傳輸?shù)焦芾碚緯r，可以使用私有的擴展MIB和標(biāo)準(zhǔn)的RMON MIB進行記錄。由于廣播和組播在交換機總線上只傳輸一次，并且只在一個特定VLAN中的所有端口進行復(fù)制(這正是VLAN可以阻止廣播和組播無限制傳輸?shù)囊粋€功能)，為了正確地獲取廣播和組播(主要是廣播)信息對交換機和VLAN的影響，必須對交換機中廣播和組播信息進行全面監(jiān)控。很顯然本方案達不到此要求。

3 SMON技術(shù)原理及應(yīng)用優(yōu)勢

3.1 SMON技術(shù)原理

SMON是在RMON的基礎(chǔ)上制定的適應(yīng)交換式網(wǎng)絡(luò)管理要求的標(biāo)準(zhǔn)。從實現(xiàn)原理來看，RMON和SMON是對SNMP功能的擴展和完善，具體是以擴展MIB的結(jié)構(gòu)和功能來實現(xiàn)的。SMON MIB提供了一個數(shù)據(jù)結(jié)構(gòu)，列出了進行交換時的數(shù)據(jù)源和數(shù)據(jù)源的性能，還增加了那些不適合于存放在已有的RMON表中的數(shù)據(jù)源的計數(shù)統(tǒng)計能力，SMON MIB組專門收集物理實體(實體交換機或交換實體模塊)和邏輯實體(vLAN)的流量統(tǒng)計和在不同優(yōu)先級上的流量信息。SMON MIB的結(jié)構(gòu)如圖4所示，其中圖中虛線箭頭表示了控制表和結(jié)果表之間相互作用的過程。其中：

(1)dataSourceCapsTable(1)。描述RMON和每個端口數(shù)據(jù)源端口復(fù)制能力的圖表。該圖表可以提供一個SMON數(shù)據(jù)源--和一個iftable入口記錄的映射關(guān)系。

(2)portCopyTable(1)。定義和激活復(fù)制端口操作的控制表。

(3)smonVlanStateControlTable(1)。用來對指定的數(shù)據(jù)源通過建立VLAN來收集收據(jù)，以便數(shù)據(jù)統(tǒng)計。

(4)smonVlanStateTable(2)。一個包括有VLAN統(tǒng)計表的結(jié)果表。并且每個VLAN統(tǒng)計表包含在一個指定的數(shù)據(jù)源上發(fā)現(xiàn)的所有VLAN的統(tǒng)計信息。

(5)smonPrioStatsConTable(3)。用來對指定的數(shù)據(jù)源建立優(yōu)先級統(tǒng)計信息的控制表。

(6)smonPrioStatsTable(3)。一個結(jié)果表，其中包含有優(yōu)先級統(tǒng)計表。每一個優(yōu)先級統(tǒng)計表包含對一個指定數(shù)據(jù)源中的8個優(yōu)先級中的每一個優(yōu)先級的流量統(tǒng)計信息。

在RMON中，數(shù)據(jù)源是iftable MIB表中的實體。為了實現(xiàn)SMON與RMON解決方案之間的兼容，每個新的SMON數(shù)據(jù)源都映射到一個iftable實體上，并把這些實體的類型設(shè)置為虛擬(virtual)方式。另外，通過使用一個特殊的控制表，可以定義和激活端口復(fù)制操作。該表中的每一行都定義了一個激活的端口復(fù)制操作，包括將要復(fù)制的源端口、目的端口和執(zhí)行的操作類型(如帶內(nèi)流量復(fù)制、帶外流量復(fù)制，或兩者都有)。管理站的管理進程可以通過輪詢數(shù)據(jù)源性能表，發(fā)現(xiàn)數(shù)據(jù)源的端口復(fù)制能力。通過采用這種機制，出現(xiàn)了多端口復(fù)制技術(shù)，即將多個數(shù)據(jù)源端口的流量信息同時復(fù)制到一個目的端口上，或?qū)⒁粋€或多個VLAN中的全部流量復(fù)制到一個指定的連接端口上。帶內(nèi)流量和帶外流量是管理站與SMON模塊之間的兩種工作模式。其中，帶內(nèi)流量方式是指將管理站直接連接到交換機的一個端口上，通過該端口實現(xiàn)與SMON模塊之間的連接；而帶外流量方式則是將管理站直接連接到SMON模塊上，而達到直接監(jiān)控SMON的目的。

3.2 SMON Ⅱ

隨著交換技術(shù)的不斷成熟和完善，出現(xiàn)了三層交換技術(shù)，三層交換機也得到了大量應(yīng)用。三層交換也稱多層交換技術(shù)或IP交換技術(shù)，是相對于傳統(tǒng)交換概念而提出的。簡單地說，三層交換技術(shù)就是：二層交換技術(shù)+三層轉(zhuǎn)發(fā)技術(shù)。傳統(tǒng)的交換技術(shù)是在OSI參考模型的第二層(數(shù)據(jù)鏈路層)進行操作，而三層交換技術(shù)在OSI參考模型的第三層(網(wǎng)絡(luò)層)實現(xiàn)了數(shù)據(jù)包(分組)的高速轉(zhuǎn)發(fā)。三層交換技術(shù)解決了局域網(wǎng)中網(wǎng)段劃分之后，不同網(wǎng)段之間的通信必須依賴路由器進行管理的局面，解決了傳統(tǒng)路由器低速、復(fù)雜所造成的網(wǎng)絡(luò)瓶頸問題n，。

針對三層交換機的應(yīng)用，IETF提出了SMONⅡ標(biāo)準(zhǔn)，它可以實現(xiàn)第三層及更高層交換環(huán)境的監(jiān)控。SMONⅡ不僅能夠?qū)χ鳈C的IP分組流量獨立進行統(tǒng)計，而且能夠統(tǒng)計位于其他子網(wǎng)中的IP主機的流量。另外SMONⅡ還可以對每一種應(yīng)用協(xié)議進行流量監(jiān)控。第一個采用SMONⅡ標(biāo)準(zhǔn)的多層交換機是朗訊(后來更名為AVAYA)公司的Cajun M770 M-MLS。目前主流的三層交換機都采用SMONⅡ標(biāo)準(zhǔn)。

3.3 SMON的應(yīng)用特點

RMON與SMON的監(jiān)控內(nèi)容相似，主要對數(shù)據(jù)鏈路層的流量進行統(tǒng)計；而RMONⅡ與SMONⅡ的監(jiān)控內(nèi)容相似，支持網(wǎng)絡(luò)層及以上各層(主要在應(yīng)用層)的性能監(jiān)控。例如，在企業(yè)網(wǎng)絡(luò)的出口處(如圖2所示)通過對與Internet連接的端口的網(wǎng)絡(luò)層流量的監(jiān)控，可以了解局域網(wǎng)出口的流量大小。同時，還可以針對應(yīng)用層的http、SMTP、FTP等流量進行監(jiān)控，了解每一種協(xié)議應(yīng)用所使用的流量情況。一個標(biāo)準(zhǔn)的RMONⅡ探測器對一個網(wǎng)段的全部流量進行監(jiān)控而不加區(qū)分，而SMONⅡ可以根據(jù)交換機的路由狀態(tài)表記錄數(shù)據(jù)信息，這種信息可以被看作是一個單一的數(shù)據(jù)源。這樣，SMONⅡ就可以實現(xiàn)對具體協(xié)議、VLAN的分類統(tǒng)計。更具體來講，在SMONⅡ的網(wǎng)絡(luò)管理環(huán)境中，網(wǎng)絡(luò)管理員可以完成以下的幾項工作：

(1)根據(jù)管理需要，管理員可以定義所要監(jiān)控的OSI模型的層次，同時也可以定義應(yīng)用層的協(xié)議類型。

(2)對整個交換機內(nèi)不同協(xié)議的流量占用情況進行實時統(tǒng)計和分析。

(3)對與交換機相連的IP和IPX子網(wǎng)上的流量進行監(jiān)控，所以SMONⅡ不但能夠監(jiān)控IP流量的詳細情況，而且可以監(jiān)控IPX等非IP流量的大小。

(4)對主機之間(同一網(wǎng)段或不同網(wǎng)段)的通信流量進行監(jiān)控。

4 結(jié)束語

在現(xiàn)代計算機網(wǎng)絡(luò)管理中，SMON通過擴展MIB適應(yīng)了交換式網(wǎng)絡(luò)的管理要求，成為SNMP協(xié)議中一個非常優(yōu)秀的網(wǎng)絡(luò)監(jiān)控工具。作為交換式網(wǎng)絡(luò)管理的重要工具，SMON把一臺或一組(采用堆疊方式)交換機作為一個被監(jiān)控的實體，而非由多個點對點端口組成的動態(tài)小網(wǎng)段，有利于實現(xiàn)對全網(wǎng)的統(tǒng)一管理。目前在計算機網(wǎng)絡(luò)安全管理中使用的IDS、IPS、企業(yè)上網(wǎng)行為管理、網(wǎng)絡(luò)流量控制等產(chǎn)品，在實現(xiàn)技術(shù)上一般都直接使用或借鑒了SMON技術(shù)。