專利名稱：一種網(wǎng)絡(luò)管理安全認(rèn)證的方法
技術(shù)領(lǐng)域：
本發(fā)明涉及網(wǎng)絡(luò)安全技術(shù)，具體涉及一種網(wǎng)絡(luò)管理安全認(rèn)證的方法，特別地，涉及基于SNMP V1/V2的網(wǎng)絡(luò)管理安全認(rèn)證的方法。
背景技術(shù)：
網(wǎng)絡(luò)安全是系統(tǒng)安全的一個有機(jī)組成部分，網(wǎng)絡(luò)安全主要包括物理線路、網(wǎng)絡(luò)設(shè)備的安全性(物理層、鏈路層的安全)、TCP(傳輸控制協(xié)議)/IP(互聯(lián)網(wǎng)絡(luò)協(xié)議)的安全性(網(wǎng)絡(luò)層、傳輸層的安全)等方面。在網(wǎng)絡(luò)設(shè)備方面存在的隱患較大，首先是物理設(shè)備本身的安全性，這可以通過各種管理手段來進(jìn)行控制；其次是網(wǎng)絡(luò)服務(wù)的安全性，例如非法用戶可以通過遠(yuǎn)程登錄到路由器/交換機(jī)上進(jìn)行系統(tǒng)配置或IOS軟件的破壞，致使物理設(shè)備完好無損，但是不能進(jìn)行路由/局域網(wǎng)交換的功能。因此，要對網(wǎng)絡(luò)進(jìn)行監(jiān)視和控制，即網(wǎng)絡(luò)管理。按照國際標(biāo)準(zhǔn)化組織(ISO)的定義，網(wǎng)絡(luò)管理有五大范疇(1)故障管理對網(wǎng)絡(luò)中的問題或故障進(jìn)行定位的過程，它包括發(fā)現(xiàn)問題、分離問題、找出原因、修復(fù)問題。
(2)配置管理發(fā)現(xiàn)和設(shè)置網(wǎng)絡(luò)設(shè)備的過程，它包括獲得當(dāng)前網(wǎng)絡(luò)配置的信息，提供遠(yuǎn)程修改配置的手段，儲存維護(hù)最新的設(shè)備清單并產(chǎn)生報告。
(3)計費(fèi)管理跟蹤每個個人和團(tuán)體對網(wǎng)絡(luò)資源的使用情況，對其收取合理的費(fèi)用；并且增加了網(wǎng)絡(luò)管理員對用戶使用網(wǎng)絡(luò)資源的認(rèn)識。
(4)安全管理控制對網(wǎng)絡(luò)中的信息訪問的過程。
(5)性能管理測量網(wǎng)絡(luò)中硬件及軟件的性能，對于具有一定規(guī)模的小區(qū)接入網(wǎng)絡(luò)來講，要使整個網(wǎng)絡(luò)能夠保持良好的運(yùn)行狀態(tài)，完善的網(wǎng)絡(luò)管理是必不可少的。同時，良好的網(wǎng)絡(luò)管理還應(yīng)該能夠提供網(wǎng)絡(luò)運(yùn)行狀況的各種分析，從而為網(wǎng)絡(luò)擴(kuò)展的規(guī)劃提供可靠的依據(jù)。
為了完成上述的管理功能，一個網(wǎng)絡(luò)管理系統(tǒng)有四大組成部分(1)多個被管代理；(2)至少一個管理者；(3)通用的網(wǎng)絡(luò)管理協(xié)議(如SNMP)；(4)管理信息庫(MIB)。
一般情況下，網(wǎng)管工作站為管理者，其他網(wǎng)上的機(jī)器為代理。管理者和代理也可是一臺機(jī)器，如網(wǎng)管工作站。
管理者利用SNMP(簡單網(wǎng)絡(luò)管理協(xié)議)請求代理進(jìn)行信息的收集和設(shè)置。代理根據(jù)管理者的SNMP請求訪問MIB管理信息庫獲取MIB信息，并對管理者作以應(yīng)答或根據(jù)其改變請求改變MIB中的內(nèi)容。代理在有緊急情況時也可通過自陷(Trap)向管理者主動發(fā)數(shù)據(jù)。
SNMP是被廣泛接受并投入使用的工業(yè)標(biāo)準(zhǔn)協(xié)議，它的目標(biāo)是保證管理信息在任意兩點(diǎn)中傳送，便于網(wǎng)絡(luò)管理員在網(wǎng)絡(luò)上的任何節(jié)點(diǎn)檢索信息，進(jìn)行修改，尋找故障；完成故障診斷，容量規(guī)劃和報告生成。它采用輪詢機(jī)制，提供最基本的功能集。
SNMP的基本操作包括GET/GET-NEXT/SET/TRAP等，網(wǎng)管站(NMS)對網(wǎng)絡(luò)設(shè)備Agent(管理代理)發(fā)送各種查詢報文，并接收來自被管設(shè)備Agent的響應(yīng)及陷阱(trap)報文，將結(jié)果顯示出來。代理(agent)是駐留在被管設(shè)備上的一個進(jìn)程，負(fù)責(zé)接受、處理來自網(wǎng)管站的請求報文，然后從設(shè)備上其他協(xié)議模塊中取得管理變量的數(shù)值，形成響應(yīng)報文，發(fā)送給NMS。在一些緊急情況下，如接口狀態(tài)發(fā)生改變，呼叫成功等時候，主動通知NMS(發(fā)送陷阱TRAP報文)，其通信過程如圖1所示。
目前SNMP V1/V2廣泛用于網(wǎng)絡(luò)管理應(yīng)用中，它通過團(tuán)體名驗(yàn)證來實(shí)現(xiàn)簡單的安全性保證。一般情況，一個SNMP Agent有兩個CommunityName(團(tuán)體名)，一個只具有讀權(quán)限，另一個具有讀寫權(quán)限。當(dāng)NMS發(fā)送一個SNMP請求報文時，被管理設(shè)備的Agent程序根據(jù)網(wǎng)管發(fā)過來的Community Name判別該SNMP請求所具有的讀/寫權(quán)限，如果團(tuán)體名認(rèn)證成功則允許網(wǎng)管讀/寫相應(yīng)的MIB變量，否則將返回團(tuán)體名認(rèn)證失敗的錯誤。SNMP V1/V2協(xié)議處理過程如圖2所示。由于V1/V2協(xié)議固有的缺乏安全機(jī)制，僅僅依靠明文傳送的Community Name來識別用戶身份存在很大的安全隱患，在網(wǎng)絡(luò)傳送過程中很容易被其它人用抓包工具獲取其Community Name，使黑客偽裝網(wǎng)管對被管理設(shè)備進(jìn)行數(shù)據(jù)更改配置；另外V1/V2協(xié)議對網(wǎng)管用戶的身份只憑借一個團(tuán)體名的字符串比較進(jìn)行認(rèn)證也缺乏足夠的安全性。
基于SNMP V1/V2協(xié)議的安全缺陷，SNMP V3協(xié)議增加了基于用戶的安全管理和基于視圖的安全管理，且報文加密，安全性有了很大提高，但SNMP V3實(shí)現(xiàn)起來較困難，且目前大多數(shù)設(shè)備只支持SNMP V1/V2協(xié)議。
發(fā)明內(nèi)容
本發(fā)明的目的是克服現(xiàn)有技術(shù)的上述缺點(diǎn)，提供一種網(wǎng)絡(luò)管理安全認(rèn)證的方法，所述方法包括步驟配置網(wǎng)管參數(shù)表，所述網(wǎng)管參數(shù)表用于辨別網(wǎng)管的身份；網(wǎng)管發(fā)送簡單網(wǎng)絡(luò)管理協(xié)議(SNMP)請求報文；接收所述網(wǎng)管發(fā)送的SNMP請求報文；判斷所述SNMP請求報文中表示所述網(wǎng)管身份的屬性參數(shù)是否存在于所述網(wǎng)管參數(shù)表中，如果不存在，則返回非法網(wǎng)管錯誤信息，并中止SNMP請求，
如果存在，則處理所述SNMP請求報文，并將處理結(jié)果返回給網(wǎng)管。
可選地，所述網(wǎng)管參數(shù)表包括項(xiàng)目網(wǎng)管名稱，網(wǎng)管IP地址，網(wǎng)管維護(hù)方式，團(tuán)體名，端口號。
優(yōu)選地，所述網(wǎng)管維護(hù)方式包括帶內(nèi)管理和帶外管理，所述帶內(nèi)管理表示通過業(yè)務(wù)通道進(jìn)行管理的方式，所述帶外管理表示通過以太網(wǎng)口進(jìn)行管理的方式。
可選地，所述接收網(wǎng)管發(fā)送的SNMP請求報文的步驟包括接收對網(wǎng)絡(luò)管理中心操作發(fā)送的所述SNMP請求報文和/或通過撥號的方式撥入網(wǎng)絡(luò)管理中心發(fā)送的所述SNMP請求報文。
優(yōu)選地，所述判斷所述SNMP請求報文中表示所述網(wǎng)管身份的屬性參數(shù)是否存在于所述網(wǎng)管參數(shù)表中的步驟包括步驟對所述網(wǎng)管的IP地址和/或網(wǎng)管名稱進(jìn)行合法認(rèn)證；對所述網(wǎng)管的團(tuán)體名進(jìn)行合法認(rèn)證。
可選地，所述對所述網(wǎng)管的IP地址和/或網(wǎng)管名稱進(jìn)行合法認(rèn)證的步驟包括步驟根據(jù)接收的所述SNMP請求報文中的PDU(協(xié)議數(shù)據(jù)單元)，判斷所述網(wǎng)管的IP地址和/或網(wǎng)管名稱是否存在于所述網(wǎng)管參數(shù)表中，如果存在，則繼續(xù)處理所述SNMP請求，如果不存在，則中止所述SNMP請求，并返回所述網(wǎng)管不存在的錯誤消息。
可選地，所述對所述網(wǎng)管的團(tuán)體名進(jìn)行合法認(rèn)證的步驟包括步驟解碼接收的所述SNMP請求報文；判斷所述團(tuán)體名是否存在于所述網(wǎng)管參數(shù)表中與所述網(wǎng)管的IP地址和/或網(wǎng)管名稱對應(yīng)項(xiàng)中，如果存在，則繼續(xù)處理所述SNMP請求，
如果不存在，則中止所述SNMP請求，并返回所述網(wǎng)管團(tuán)體名認(rèn)證失敗錯誤消息。
可選地，所述處理所述SNMP請求報文的步驟包括步驟根據(jù)所述網(wǎng)管團(tuán)體名的讀和/或?qū)憴?quán)限允許所述網(wǎng)管讀和/或?qū)憣?yīng)的管理信息。
利用本發(fā)明，可以在不修改SNMP V1/V2協(xié)議棧以及不增加額外開發(fā)工作量的情況下，增加一種簡單的網(wǎng)管用戶認(rèn)證機(jī)制，增加訪問Agent前的用戶鑒權(quán)認(rèn)證功能，辨別是否真正的網(wǎng)管用戶以確定是否允許訪問被管理設(shè)備的MIB庫，以提高SNMP V1/V2協(xié)議的安全性。
圖1是NMS(網(wǎng)管工作站)與Agent(管理代理)通信過程示意圖；圖2是目前SNMP V1/V2協(xié)議處理過程流程圖；圖3是本發(fā)明的優(yōu)選實(shí)施例中所述網(wǎng)管參數(shù)表的結(jié)構(gòu)示意圖；圖4是本發(fā)明的優(yōu)選實(shí)施例網(wǎng)絡(luò)管理安全認(rèn)證的方法的步驟的流程圖。
具體實(shí)施例方式
下面結(jié)合附圖和實(shí)施方式對本發(fā)明作進(jìn)一步的詳細(xì)說明首先參照圖1，圖1描述了一個典型的網(wǎng)絡(luò)管理系統(tǒng)中的NMS(網(wǎng)管工作站)與Agent(管理代理)通信過程的示意圖簡單網(wǎng)絡(luò)管理系統(tǒng)包括兩部分網(wǎng)管工作站(NMS)和SNMP代理(AGENT)。代理是實(shí)際網(wǎng)絡(luò)設(shè)備中用來實(shí)現(xiàn)SNMP功能的部分。代理在UDP(用戶數(shù)據(jù)報協(xié)議)的161端口接收NMS的讀寫請求消息，NMS在UDP的162端口接收代理的事件通告消息。一旦獲取設(shè)備的訪問權(quán)限，就可以訪問設(shè)備信息、改寫和配置設(shè)備參數(shù)。
一般地，網(wǎng)絡(luò)管理系統(tǒng)包括四個要素管理員、管理代理、管理信息數(shù)據(jù)庫、代理服務(wù)設(shè)備。其中，前三個要素是必需的，第四個只是可選項(xiàng)。
SNMP是一種無連接協(xié)議，通過使用請求報文和返回響應(yīng)的方式，SNMP在管理代理和管理員之間傳送信息。SNMP協(xié)議定義了數(shù)據(jù)包的格式及網(wǎng)絡(luò)管理員和管理代理之間的信息交換，它還控制著管理代理的MIB數(shù)據(jù)對象。因此，可用于處理管理代理定義的各種任務(wù)。它對外提供了三種用于控制MIB對象的基本操作命令。它們是Set、Get和TrapSet是一個特權(quán)命令，通過它可以改動設(shè)備的配置或控制設(shè)備的運(yùn)轉(zhuǎn)狀態(tài)；Get是從網(wǎng)絡(luò)設(shè)備中獲得管理信息的基本方式。
Trap它的功能就是在網(wǎng)絡(luò)管理系統(tǒng)沒有明確要求的前提下，由管理代理通知網(wǎng)絡(luò)管理系統(tǒng)有一些特別的情況或問題發(fā)生了。
SNMPv1的PDU(協(xié)議數(shù)據(jù)單元)有五種類型，它們包括GetRequest、GetNextRequest、SetRequest、GetResponse、Trap。SNMPv2又增加了兩種PDUGetBulkRequest和InformRequest。
SNMP管理員使用GetRequest從擁有SNMP代理的網(wǎng)絡(luò)設(shè)備中檢索信息，SNMP代理以GetResponse消息響應(yīng)GetRequest?？梢越粨Q的信息很多，如系統(tǒng)的名字，系統(tǒng)自啟動后正常運(yùn)行的時間，系統(tǒng)中的網(wǎng)絡(luò)接口數(shù)等等。GetRequest和GetNextRequest結(jié)合起來使用可以獲得一個表中的對象。GetRequest取回一個特定對象；而使用GetNextRequest則是請求表中的下一個對象。使用SetRequest可以對一個設(shè)備中的參數(shù)進(jìn)行遠(yuǎn)程配置。Set-Request可以設(shè)置設(shè)備的名字，關(guān)掉一個端口或清除一個地址解析表中的項(xiàng)。Trap即SNMP陷阱，是SNMP代理發(fā)送給管理站的非請求消息。這些消息告知管理站本設(shè)備發(fā)生了一個特定事件，如端口失敗，掉電重起等，管理站可相應(yīng)的作出處理。
本發(fā)明就是基于圖1所示的這種典型的網(wǎng)絡(luò)管理系統(tǒng)，在SNMP V1/V2協(xié)議的基礎(chǔ)上提供一種網(wǎng)絡(luò)管理安全認(rèn)證的方法。
參照圖4，圖4描述了本發(fā)明的優(yōu)選實(shí)施例網(wǎng)絡(luò)管理安全認(rèn)證的方法的步驟的流程首先在步驟41，配置網(wǎng)管參數(shù)表，所述網(wǎng)管參數(shù)表用于辨別網(wǎng)管的身份，它的結(jié)構(gòu)及項(xiàng)目如圖3所示；然后，進(jìn)到步驟42，網(wǎng)管發(fā)送SNMP請求報文，一條SNMP報文由三個部分組成版本域(version field)，團(tuán)體域(community field)和SNMP協(xié)議數(shù)據(jù)單元域(SNMP PDU field)，數(shù)據(jù)包的長度不是固定的；進(jìn)到步驟43，由SNMP代理接收網(wǎng)管發(fā)送的SNMP請求報文；進(jìn)到步驟44，對SNMP請求報文進(jìn)行解碼；進(jìn)到步驟45，根據(jù)接收的SNMP請求報文中的協(xié)議數(shù)據(jù)單元(PDU)中的源IP地址和/或網(wǎng)管名稱，對網(wǎng)管用戶的身份進(jìn)行合法認(rèn)證，即判斷PDU中的源IP地址和/或網(wǎng)管名稱是否存在于上述已配置的網(wǎng)管參數(shù)表中；如果不存在，則進(jìn)到步驟46，返回非法網(wǎng)管錯誤消息，然后，返回步驟43，由SNMP代理接收網(wǎng)管發(fā)送的SNMP請求報文；如果存在，則表明網(wǎng)管身份合法，進(jìn)到步驟47，對網(wǎng)管用戶的團(tuán)體名進(jìn)行認(rèn)證，即判斷解碼后的SNMP包中的團(tuán)體名，是否存在于上述已配置的網(wǎng)管參數(shù)表中且與上述源IP地址對應(yīng)的表項(xiàng)中；如果不存在，則進(jìn)到步驟48，返回團(tuán)體名認(rèn)證失敗錯誤消息，然后，返回步驟43，由SNMP代理接收網(wǎng)管發(fā)送的SNMP請求報文；如果存在，則表明網(wǎng)管為真正的合法身份，進(jìn)到步驟49，處理SNMP請求報文；
然后，進(jìn)到步驟410，將處理結(jié)果返回給網(wǎng)管；返回步驟43，由SNMP代理接收網(wǎng)管發(fā)送的SNMP請求報文。
前面已經(jīng)提到圖3描述了本發(fā)明的優(yōu)選實(shí)施例中所述網(wǎng)管參數(shù)表的結(jié)構(gòu)示意圖，下面參照圖3對所述網(wǎng)管參數(shù)表作一詳細(xì)說明網(wǎng)管參數(shù)表中包括網(wǎng)管名稱、網(wǎng)管IP地址、網(wǎng)管維護(hù)方式、團(tuán)體名、端口號。其中，網(wǎng)管維護(hù)方式包括帶內(nèi)維護(hù)方式和帶外維護(hù)方式，所述帶內(nèi)管理表示通過業(yè)務(wù)通道進(jìn)行的一種管理方式，所述帶外管理表示通過以太網(wǎng)口進(jìn)行的一種管理方式。
另外，還可以根據(jù)系統(tǒng)實(shí)際需要增加其它項(xiàng)目。它的結(jié)構(gòu)可以靈活設(shè)置，不只拘于圖3所示的結(jié)構(gòu)方式。
雖然通過實(shí)施例描繪了本發(fā)明，本領(lǐng)域普通技術(shù)人員知道，本發(fā)明有許多變形和變化而不脫離本發(fā)明的精神，希望所附的權(quán)利要求包括這些變形和變化而不脫離本發(fā)明的精神。
權(quán)利要求
1.一種網(wǎng)絡(luò)管理安全認(rèn)證的方法，其特征在于，所述方法包括步驟配置網(wǎng)管參數(shù)表，所述網(wǎng)管參數(shù)表用于辨別網(wǎng)管的身份；網(wǎng)管發(fā)送簡單網(wǎng)絡(luò)管理協(xié)議(SNMP)請求報文；接收所述網(wǎng)管發(fā)送的SNMP請求報文；判斷所述SNMP請求報文中表示所述網(wǎng)管身份的屬性參數(shù)是否存在于所述網(wǎng)管參數(shù)表中，如果不存在，則返回非法網(wǎng)管錯誤信息，并中止SNMP請求，如果存在，則處理所述SNMP請求報文，并將處理結(jié)果返回給網(wǎng)管。
2.如權(quán)利要求1所述的網(wǎng)絡(luò)管理安全認(rèn)證的方法，其特征在于，所述網(wǎng)管參數(shù)表包括項(xiàng)目網(wǎng)管名稱，網(wǎng)管IP地址，網(wǎng)管維護(hù)方式，團(tuán)體名，端口號。
3.如權(quán)利要求2所述的網(wǎng)絡(luò)管理安全認(rèn)證的方法，其特征在于，所述網(wǎng)管維護(hù)方式包括帶內(nèi)管理和帶外管理，所述帶內(nèi)管理表示通過業(yè)務(wù)通道進(jìn)行管理的方式，所述帶外管理表示通過以太網(wǎng)口進(jìn)行管理的方式。
4.如權(quán)利要求1所述的網(wǎng)絡(luò)管理安全認(rèn)證的方法，其特征在于，所述接收網(wǎng)管發(fā)送的SNMP請求報文的步驟包括接收對網(wǎng)絡(luò)管理中心操作發(fā)送的所述SNMP請求報文和/或通過撥號的方式撥入網(wǎng)絡(luò)管理中心發(fā)送的所述SNMP請求報文。
5.如權(quán)利要求2所述的網(wǎng)絡(luò)管理安全認(rèn)證的方法，其特征在于，所述判斷所述SNMP請求報文中表示所述網(wǎng)管身份的屬性參數(shù)是否存在于所述網(wǎng)管參數(shù)表中的步驟包括步驟對所述網(wǎng)管的IP地址和/或網(wǎng)管名稱進(jìn)行合法認(rèn)證；對所述網(wǎng)管的團(tuán)體名進(jìn)行合法認(rèn)證。
6.如權(quán)利要求5所述的網(wǎng)絡(luò)管理安全認(rèn)證的方法，其特征在于，所述對所述網(wǎng)管的IP地址和/或網(wǎng)管名稱進(jìn)行合法認(rèn)證的步驟包括步驟根據(jù)接收的所述SNMP請求報文中的PDU(協(xié)議數(shù)據(jù)單元)，判斷所述網(wǎng)管的IP地址和/或網(wǎng)管名稱是否存在于所述網(wǎng)管參數(shù)表中，如果存在，則繼續(xù)處理所述SNMP請求，如果不存在，則中止所述SNMP請求，并返回所述網(wǎng)管不存在的錯誤消息。
7.如權(quán)利要求5所述的網(wǎng)絡(luò)管理安全認(rèn)證的方法，其特征在于，所述對所述網(wǎng)管的團(tuán)體名進(jìn)行合法認(rèn)證的步驟包括步驟解碼接收的所述SNMP請求報文；判斷所述團(tuán)體名是否存在于所述網(wǎng)管參數(shù)表中與所述網(wǎng)管的IP地址和/或網(wǎng)管名稱對應(yīng)項(xiàng)中，如果存在，則繼續(xù)處理所述SNMP請求，如果不存在，則中止所述SNMP請求，并返回所述網(wǎng)管團(tuán)體名認(rèn)證失敗錯誤消息。
8.如權(quán)利要求7所述的網(wǎng)絡(luò)管理安全認(rèn)證的方法，其特征在于，所述處理所述SNMP請求報文的步驟包括步驟根據(jù)所述網(wǎng)管團(tuán)體名的讀和/或?qū)憴?quán)限允許所述網(wǎng)管讀和/或?qū)憣?yīng)的管理信息。
全文摘要
本發(fā)明提供了一種網(wǎng)絡(luò)管理安全認(rèn)證的方法，所述方法包括步驟配置網(wǎng)管參數(shù)表；網(wǎng)管發(fā)送SNMP(簡單網(wǎng)絡(luò)管理協(xié)議)請求報文；接收網(wǎng)管發(fā)送的SNMP請求報文；判斷SNMP請求報文中表示網(wǎng)管身份的屬性參數(shù)是否存在于網(wǎng)管參數(shù)表中，如果不存在，則返回錯誤消息，并中止SNMP請求，如果存在，則處理SNMP請求報文，并將處理結(jié)果返回給網(wǎng)管。利用本發(fā)明，可以在不修改SNMP V1/V2協(xié)議棧以及不增加額外開發(fā)工作量的情況下，增加一種簡單的網(wǎng)管用戶認(rèn)證機(jī)制，增加訪問代理前的用戶鑒權(quán)認(rèn)證功能，以提高SNMP V1/V2協(xié)議的安全性。
文檔編號H04L9/00GK1581795SQ0314379
公開日2005年2月16日 申請日期2003年8月6日 優(yōu)先權(quán)日2003年8月6日
發(fā)明者謝強(qiáng) 申請人:華為技術(shù)有限公司