第3章 网络流量监控技术与方法.ppt

第3章 网络流量监控技术与方法 概述 本章首先在第2章SNMP相关知识的基础上，介绍远程监视（RMON）、交换机的远程监视（SMON）等技术规范，然后再结合SNMP的网络管理特性，介绍目前在网络流量采集和分析中应用最为广泛的MRTG软件的安装、部署和使用方法。 3.1 RMON规范 3.1.1 RMON产生的原因 SNMP轮询存在以下两个明显的不足：一是没有伸缩性。在大型网络中，轮询会产生巨大的网络管理通信量，因而导致通信拥挤情况的发生，严重时还可能会产生网络阻塞；二是收集数据的任务由管理进程来完成，但管理计算机（运行管理进程的计算机）的资源也是有限的。因此，缩短轮询时间间隔不是解决问题的首选方法。RMON规范提出的目的是解决SNMP存在的这一问题。 远程网络监视（Remote Network Monitoring RMON）是对SNMP标准的重要补充，是简单网络管理向互联网管理过渡的重要步骤。RMON扩充了SNMP的管理信息库MIB-2，可以提供有关互联网管理的主要信息，在不改变SNMP的条件下增强了网络管理的功能。 3.1.2 ROM应用的网络模型 RMON使用SNMP的操作，使用专用于子网监视的监视器收集子网的流量信息，并响应管理站的调用。如图3-1描述了RMON的一个应用实例。 RMON的基本概念 通常用于监视整个网络通信情况的设备叫做网络监视器（Monitor）、网络分析器（Analyzer）或探测器（Probe）等。 监视器观察LAN上出现的每个分组，并进行统计和总结，给管理人员提供重要的管理信息。 通常每个子网配置一个监视器并与中央管理站通信，因此也称其为远程监视器。 RMON监视器或探测器（RMON Probe）实现RMON管理信息库（RMON MIB）。这种系统与通常的SNMP代理一样包含一般的MIB。 另外还有一个探测器进程，提供与RMON有关的功能。探测器进程能够读写本地的RMON数据库，并响应管理站的查询请求，也把RMON探测器称为RMON代理。 远程网络监视的功能 RMON定义了远程网络监视的管理信息库以及SNMP管理站与远程监视器之间的接口。一般来说，RMON的目标就是监视子网范围内的通信，从而减少管理站和被管理系统之间的通信负担。更具体地说，RMON有下列功能：离线操作、主动监视、问题检测和报告、提供增值数据、多管理站操作。 1． 离线操作 在大型网络中，考虑到网络带宽的利用率，管理站不可能持续对监视器进行轮询操作，必要时管理站可以暂时停止对监视器的轮询。另一方面，当网络发生故障时，也可能导致管理站与监视器之间的通信中断。 2． 主动监视 如果监视器具有足够的资源且通信带宽允许时，为了获得准确的流量监控制信息，监视器要能够持续地对网络进行监视和信息记录。 3． 问题检测和报告 如果主动监视会占用较多的网络资源，监视器也可以被动地进行监视。 4． 提供增值数据 在RMON系统中，由监视器收集每一个子网中的数据，并上报给管理站，而管理站并不直接管理子网中的设备，这种方式既有利于实现监视的实效性，也可以减轻管理站的负担。 5． 多管理站操作 在大型的网络中可能同时存在多个管理站，一方面提高可靠性，另一方面可分散地实现各种不同的管理功能。 3.1.4 RMON的工作机制 RMON监视器可以采用两种方法收集数据： 1、通过专用的RMON探测器（probe），管理站直接从探测器获取管理信息并控制网络资源，这种方式可以获取RMON MIB的全部信息； 2、将RMON代理直接植入到网络设备（路由器、交换机、防火墙、集线器等）之中，使它们成为带RMON probe功能的网络设施，管理站用SNMP的基本命令与其交换数据信息，收集网络管理信息。通过运行在监视器上的支持RMON的代理，管理站可以获得与被管网络设备接口相连的子网上的整体流量、错误统计和性能统计等信息，从而实现对网络的管理。为此，在RMON中，监视器、代理、探测器（probe）的角色是相同的。 具体来讲，RMON由以下3部分组成： · 以太网底层驱动：监视器的工作基本上是对子网上的数据包进行监视。网络底层的工作由端口控制芯片完成，通过底层驱动程序为上层软件提供两种接口：获取数据包和获取以太网统计数据。 · SNMP、UDP、IP：RMON只是对SNMP的功能扩展，一个基本的SNMP代理及SNMP下的