第六篇 远程网络监视.ppt

图6-10 RMON主机组 主机数据表hostTable的每一行由主机MAC地址hostAddress和接口号hostIndex共同索引，每一个数据行对应一个子网上的一个主机。记录各个主机的通信统计信息。 主机表hostTable的总行数为： 其中：Ni 为控制表第i行hostControlTableSize的值；k为控制表的行数；N为主机表的行数；i为控制表索引hostControlIndex的值。 监视器有2个子网接口：K=2 子网X与接口1相连：hostControlIndex=1 该子网有3台主机:hostControlSize=3（N1=3） 子网Y与接口2相连：hostControlIndex=2 该子网有2台主机:hostControlSize=2(N2=2) N=N1+N2=5（主机表有5行） 图6-10 RMON主机组 主机时间表hostTimeTable与hostTable内容相同，不同的是其表中数据是以发现时间：hostTimeCreation Order排序的，而不是以主机的MAC地址排序的。 时间表的作用：管理站可以快速找到某个接口添加的新行或新出现的主机。 3．主机组 主机组的两个数据表实际上是同一个表的两个不同的逻辑视图，并不要求监视器实现两个数据重复的表。 主机控制表配置好以后，监视器就开始检查各个子网上出现的分组。 如果发现有新的源地址（MAC）出现，就在主机数据表中增加一行，并且把hostControlTableSize的值增加1。 理想的情况是监视器能够保存接口上发现的所有主机的数据，但监视器的资源有限，有时不得不按先进先出的顺序循环使用已建立的数据行。 当一个新行加入时，同一接口的一个老行被删除，与同一接口有关的行变量hostCreationOrder的值减1，而新行的hostCreationOrder值为Ni。 4. 最高N台主机组 把一个子网内主机的信息按某种参数(主机组）排序，排在前面的N台主机的信息，就记录在最高N台主机组。 比如，按主机接收到的分组数排序，则该组存放是子网内接收分组数排在前面的N台主机的信息。 用于统计在一个子网上一些参数最高的一组主机，比如： 它可以列出11台发送的字节数最多的主机； 它可以列出15台接收的分组数最多的主机； 它可以列出9台输出分组出错数最多的主机； （1）排序依据？ 报告：一个取样间隔中，一个子网上的一个主机组变量收集到的数据集合叫做一个报告，每个报告只包含一个变量的结果； 报告是针对某个主机组变量的，是那个变量在取样间隔中的变化率。 每个报告会按照某个变量的最大变化速率列出子网内的前N台主机。 （2）排序数据来源？ 最高N台主机组中的统计信息来自主机组。 （3）组成？ 最高N台主机组包含一个控制表和一个数据表。 4. 最高N台主机组 图6-12 RMON最高N台主机组 控制表中的变量：hostTopNRateBase是要采样的变量，其取值，实际上就是主机组中统计的7个变量之一： INTEGER { hostTopNInPkts(1)， hostTopNOutPkts(2)， hostTopNInOctets(3)， hostTopNOutOctets(4)， hostTopNOutErrors(5)， hhostTopNOutBroadcastPkts(6)， hostTopNOutMulticastPkts(7) } 首先管理站生成一个控制行，定义一个新的报告； 计算取样间隔长度： 指示监视器计算一个主机组变量在取样间隔结束和开始时的值之差。 取样间隔长度(秒)存储在变量hostTopNDutation和 hostTopNTime Remaining中。 取样开始： hostTopNDutation保持不变； hostTopNTimeRemaining递减，记录采样剩余时间。当时间减到0时，监视器计算最后结果，产生N个数据行的报告。 报告由变量hostTopNIndex索引，N个主机以计算的变量值递减的顺序排列。 报告产生的过程如下： 5. 矩阵组 这个组记录子网中一对主机之间通信的流量，并将这些 信息以矩阵的形式存储。 这样的组织方式便于检索特定主机的流量信息。 比如：找出哪个设备和服务器之间的通信量最多等。 该组由控制表、数据表组成，其中数据表又分成： 源到目标(Source～Destination) SD 目标到源(Destination～Source) DS 图6-13 RMON矩阵组 除一行的时间 控制表（matrixControlTable） 控制表的一行指明发现主机对会话的子网接