第11章网络管理技术

本是古典何须时尚 2022-12-10 03:58 144阅读 0赞

# 第11章 网络管理技术 #

选择题37-40，综合题第4题（sniffer抓包分析）

## 考点1：ICMP协议类型 ##

### 1.ICMP的基本概念 ###

*  ICMP工作在网络层，是一种管理协议，用于**在IP主机、路由器之间传递消息和差错报告**；
 *  在网络中，ICMP协议可以用于网络通不通的ping命令或者跟踪路由的rrace命令；
 *  ICMP消息被封装在IP数据包内，通过IP包传送的ICMP信息主要是涉及错误操作的报告和回送给源结点的关于IP数据包处理情况的消息；
 *  ICMP的功能是**报告问题而不是纠正错误，纠正错误的任务由发送方完成**。

### 2.ICMP协议类型 ###

ICMP报文格式有18种，常见的报文格式如下表：

<table> 
 <thead> 
  <tr> 
   <th align="center">类型代码</th> 
   <th align="center">类型描述</th> 
   <th align="center">类型代码</th> 
   <th align="center">类型描述</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="center">0</td> 
   <td align="center">Echo应答</td> 
   <td align="center">12</td> 
   <td align="center">数据包参数错误</td> 
  </tr> 
  <tr> 
   <td align="center"><strong>3</strong></td> 
   <td align="center"><strong>目标不可达</strong></td> 
   <td align="center">13</td> 
   <td align="center">时间戳请求</td> 
  </tr> 
  <tr> 
   <td align="center">4</td> 
   <td align="center">源抑制</td> 
   <td align="center">14</td> 
   <td align="center">时间戳应答</td> 
  </tr> 
  <tr> 
   <td align="center">5</td> 
   <td align="center">重定向</td> 
   <td align="center">15</td> 
   <td align="center">信息请求</td> 
  </tr> 
  <tr> 
   <td align="center">8</td> 
   <td align="center">Echo请求</td> 
   <td align="center">16</td> 
   <td align="center">信息应答</td> 
  </tr> 
  <tr> 
   <td align="center">9</td> 
   <td align="center">路由器通告</td> 
   <td align="center">17</td> 
   <td align="center">地址掩码请求</td> 
  </tr> 
  <tr> 
   <td align="center">10</td> 
   <td align="center">路由器恳求</td> 
   <td align="center">18</td> 
   <td align="center">地址掩码应答</td> 
  </tr> 
  <tr> 
   <td align="center">11</td> 
   <td align="center">超时</td> 
   <td align="center"></td> 
   <td align="center"></td> 
  </tr> 
 </tbody> 
</table>

### 3.ICMP主要功能 ###

（1）通告网络错误：当数据包在传输过程中，如果出现网络不可达（**网络出现故障**）、主机不可达（**IP地址错误**）、协议不可达（**目的节点不支持数据包中指定的高层协议**）、端口不可达（**数据包指定的目的端口在目的节点无效**）等错误，相关路由器或主机上的ICMP会向源节点发送一个“目标不可达”的ICMP报文。  
（2）通告网络拥塞：当**路由器或目标主机因缓存满来不及处理而丢弃IP数据包**时，它会向发送数据包的源节点发出一个“源抑制”的ICMP报文。源节点收到这个报文后会降低发送速度。

（3）协助查找网络故障

*  ICMP支持Echo（回送)功能，在两个主机之间发送一个往返的数据包。
 *  当网络中一个节点主动向另一个节点发出\*\*“Echo请求”报文\*\*，其中包含着这个报文的标识和序列号，收到该报文的节点则必须向源节点发出\*\*“Echo应答”报文\*\*。
 *  **Ping命令**即是利用这个功能，在网络上传输一系列数据包，测量平均往返时间并计算丢包率。

（4）通告超时

*  每个IP数据包的包头部分有一个8比特的\*\*“生存期”（TTL）字段\*\*，取值范围是0-255。IP数据包在传输过程中，每经过一个路由器，**该字段的值便减1**。
 *  一个IP数据包从源节点出发时，它的TTL已被预先设定一个数值，在传输过程中，如果**该IP包的TTL降低到零，路由器就会丢弃此包**，这时会生成一个“超时”（time exceeded)的ICMP报文，通告这一事实。
 *  **Trace**就是一种基于上述功能的通用网络管理工具，它**通过发送小TTL值的包及监视ICMP超时通告来探知网络路由**。

（5）路由重定向：当一台主机向自己的默认网关路由器发送一个需要转发的数据包时，如果**路由器查找路由表发现有更好的路由**，就会向源主机发出“重定向”的ICMP报文；

（6）检查IP协议的错误：当路由器或其他主机收到一个IP包，发现它的**包头中字段的值不正确**，就会向源主机发送“参数错误”的ICMP报文；

（7）测量指定路径上的通信延迟：ICMP时间戳消息的使用方法与Echo消息非常相似。不同的是，其“请求”、“响应”消息均带有时间戳；

（8）获取子网掩码：一台主机可以发出一个包含“掩码请求”报文的广播包，默认网关路由器上的ICMP会向源主机发出一个”掩码应答”报文，把子网掩码通知它；

## 考点2：Windows 2003网络管理命令 ##

1.ipconfig命令：**显示TCP/IP网络配置信息。**

2.hostname命令：显示当前主机名。

3.ARP命令：显示、删除、修改ARP条目信息。-s 添加 -d删除 -a 显示

4.NBTSTAT命令：**显示本机与远程计算机基于TCP/IP的NetBIOS统计以及连接信息**；

5.NET命令：管理网络环境、服务、用户、登录等本地信息

6.NETSTAT命令：**显示活动的TCP连接、侦听的端口、以太网统计信息、IP路由表和IP统计信息。**

7.ping命令：通过发送ICMP报文，监听回应报文，从而**检查与远程或本地计算机的连接**。默认发送4个ICMP报文，每个报文包含64字节数据。

8.tracet命令：通过发送包含**不同TTL的ICMP报文**并监听回应报文，来检测到达目的计算机的路径。

9.pathping命令：结合了ping和tracet命令的功能，将报文发送到所经过的所有路由器，并根据每条返回的报文进行统计。

10.route命令：显示或修改本地P路由表条目信息

## 考点3：SNMP管理模型与配置命令 ##

### 1.SNMP基本概念 ###

SNMP管理模型是Internet组织用来管理TCP/IP互联网和以太网，有三个组成部分：**管理站**、**代理**和**MIB**，其管理模型是一个**Manager/Agent模型**，类似于Client/Sever模式。

管理站（Manager）通过SNMP定义的PDU向代理（Agent)发出请求，而Agent将得到的MIB值通过SNMP协议传送给Manager；

SNMP有三个版本：**SNMPv1**是最基本、最简单的；**SNMPv2**主要弥补版本1在安全方面的缺陷；**SNMPv3**加强了安全性并且与**SNMPv1**具有很好的兼容性；

### 2.SNMP管理站和代理 ###

SNMP采用一种分布式的结构，**一个管理站可以管理控制多个代理**；反之，**一个代理可以被多个管理站所管理、控制**。  
SNMP采用“**团体**”实现安全控制，每个团体都被指定拥有一个团体名。一个团体包括一个代理和若干个管理控制该代理的管理站；

管理站和代理之间发送、接收报文时必须以团体名进行认证，**只有团体名正确、认证通过，报文才能被接收**。一个团体可以规定具有一种**访问模式（主要有read-onlyf和read-write两种）**

### 3.管理信息库MIB-2 ###

MIB-2采用树形结构描述，每个MIB-2对象都有一个唯一的**对象标识符（OID）来标识和命名**，MIB-2库中所有对象，**其标识符（OID）一定都是由1.3.6.1.2.1开头的**。比如Cisco许多**私有定义的管理对象及其标识符（OID）就是由13614.19开头的**。

MTB-2库中对象值数据类型是有三种简单类型和应用类型，简单类型包括整数（32位）、8个一组的字符串和对象标识符；应用类型包括**IP地址、计数器、计量器、时钟**等。

*  时钟类型用来记录从某个事件的发生开始到目前为止所经过的时间，**单位是0.01s**；
 *  计数器类型是一个非负的整数，**从0开始逐步增加但不能减少**，一直增加到最大，然后回到0在从头开始;
 *  计量器和计数器很相似，唯一区别是**计量器的值可以增加也可以减少，而且增加到最大值以后不归0而是不再增加（封顶），但可以降下来**。

### 4.SNMP支持的操作 ###

SNMP支持的操作主要有：\*\*获取（Get）、设置（Set）、通知（Notification）\*\*每种操作都有相应的PDU格式；

①Get操作：用于管理站向代理查询被管理设备上的MIB库数据，分为Get和GetNext两个操作，分别查询指定对象的值和查询指定对象的下一个相邻对象的值。  
当管理站需要查询时，向某个代理发出**包含有“团体名”和GetRequstPDU（GetNextRequestPDU）的报文**；代理收到这样的请求报文后，根据要求提取MIB库数据，构成了一个包含有**同样“团体名”  
组GetResponsePDU的报文**，发给管理站；

②Set操作：用于管理站命令代理对被理管设备上MIB库中的对象值进行设置；

当管理站需要修改被管理设备上MIB库的某个数据时，就向某个代理发出**包含有“团体名”和SetRequestPDU的报文**。代理收到请求报文后，执行设置操作并返回**包含有GetResponsePDU的报文**；

**注意：团体字的访问模式必须是red-write时才能实现Set操作**。

③Notification操作：用于代理主动向管理站报告被管理对象的某些变化，该操作又可以分为\*\*自陷（Trap）和通知（Inform）\*\*两类；

Trap：又称为“中断”或“陷入”；每当出现Trap情况时，代理就会向管理站发出**包含有“团体名”和TrapPDU的报文**。  
Inform：**需要SNVP管理站确认接收的Trap**，当管理站收到一条lnform通知后需要向发送者回复一条确认信息。

### 5.SNMP配置命令 ###

（1）创建或修改对SNMP团体名的访问控制。  
命令格式：（config)\#snmp-server community-<团体名>\[view <视阈名>\] \[\{ro|rw\}\] \[访问控制表号\]

在配置的过程中，**代理和管理站配置的团体名要相同**；视阈名规定了本团体内访问管理信息库的范围；访问控制表号是一个介于**1-99的整数**。  
ro|rw：用来设置管理站对代理的操作权限，**ro为只读，rw为可读写**；

例如：建立一个团体，团体名为public，访问权限为可读可写，管理站的IP地址由10号ACL规定。  
(config)\#snmp-server community public rw 10

（2）创建或修改一个SNMP视阈。  
命令格式：**（config)\#snmp-server view**<视阈名><对象标识符或子树>\{included |excluded\}参数说明如下：

*  视阈名，管理人员指定的一个字符串；
 *  对象标识符或子树，是在这个**视阈中包含（included)或排除（excluded)的MIB库对象的标识符**；

例如：建立一个视阈，名为part-object，它包括MIB-2库中系统组的所有对象和Cisco私有库的所有对象。  
(config)\#snmp-server view part-object system included

(config)\#snmp-server view part-object cisco included

（3）设置路由器上的SNMIP代理，使之具有发出通知的功能。  
命令格式：**（config）\#snmp-server enable traps** \[<通知类型>\] \[<通知选项>\]

其中：通知类型和通知选项是对在什么情况下发出通知的规定。  
（4）在某个接口配置模式下，指定当该接口断开或连接时要向管理站发出通知。  
格式：**（if-config）\#snmp trap link-status**

（5）设置接收通知的管理站。  
命令格式：（config)\#snmp-server host<主机名或IP地址>\[ traps l informs \] \[ version \{1l2c\}\] <团体名> \[udpport<端口号>\] \[<通知类型>\]

*  traps或informs：用于指定向这台主机是发送自陷信息还是发送通知（**默认为发送自陷信息**）。
 *  version 1或2c：用于指定是按照哪个版本的SNMP发送。
 *  udp-port：用于指定这台主机使用哪个UDP端口号接收通知（**默认为162**）。

## 考点4：网络攻击与漏洞查询 ##

### 1.网络攻击的基本方法 ###

*  木马入侵：设计并隐藏在计算机中进行特定工作或依照黑客的操作来进行某些工作的程序；
 *  漏洞入侵：指黑客利用网络系统的漏洞，采用针对该漏洞的工具或自己设计的针对该漏洞的工具等方式入侵、攻击的行为；
 *  口令入侵：使用某些合法用户的账户及其口令登录到目的主机，然后在实施攻击行为；
 *  缓冲区溢出攻击：利用缓冲区溢出漏洞所进行的攻击行动。利用缓冲区溢出攻击，可以导致程序运行失败、系统关机重新启动等，甚至攻击者得到系统控制权，进行各种非法操作。

协议欺骗攻击：是指针对网络协议的缺陷，采取某种欺骗手段，假冒身份来获取信息或取得特权的攻击方式。常见的协议欺骗攻击有如下：

*  **ARP欺骗攻击**：利用**ARP协议漏洞**，通过伪造IP地址和MAC地址实现ARP欺骗的攻击技术；
 *  **IP欺骗攻击**：通过**伪造**某台主机的IP地址来骗取特权，进行攻击；
 *  **DNS欺骗攻击**：攻击者通过这种欺骗手段，使用户查询（DNS）服务器进行域名解析时获得一个错误的IP地址，从而引导用户访问一个错误的站点；
 *  **源路由欺骗攻击**：通过指定路由，以假冒身份与其他主机进行合法通信或者发送假报文，使受攻击主机出现错误动作；

拒绝服务攻击（DoS）：即攻击者通过发送大量合法的请求或数据来占用和消耗过多的服务资源，使得网络服务不能响应正常的请求；

①**死亡之Ping（Ping of Death）**：是通过构造出重组缓冲区大小的异常的**ICMP包**进行攻击；

②**SYN洪泛滥（SYN Flooding）**：是利用**TCP连接的三次握手过程进行攻击**。攻击者主机使用无效的IP地址，与被攻击主机进行TCP的三次握手；

③Smurf攻击：是指攻击者在远程机器上**发送ICMP应答请求**服务，其目的主机是某个网络的广播地址，其请求包的源IP不是发起攻击的IP地址，而是将要攻击的主机的IP地址；

④**分布式拒绝服务攻击（DDoS）**：指通过很多“僵尸主机"（被攻击者入侵过或可间接利用的主机）向受害主机发送大量**看似合法的网络包**，从而造成受害主机无法处理而拒绝服务；

③**Teardrop攻击**：指利用**OS处理分片**重叠报文的漏洞进行攻击；

⑥**Land攻击**：指向**某个设备发送数据包**，并将数据报的源IP地址和目的IP地址都设置成攻击目标的地址；

### 2.漏洞查找办法 ###

扫描分为**被动和主动**，**被动扫描对网络上流量进行分析**，不产生额外的流量，也不会导致系统的崩溃；**主动扫描则更多带有入侵的意味，可能会影响网络系统的正常运行**。

常见的漏洞扫描工具有**ISS、X-Scanner、MBSA**等。

ISS SafeSuite套件系列包括互联网扫描器（Internet Scanner）、系统扫描器（System Scanner)和数据库扫描器（Database Scanner)，是业界安全风险管理最完善的先进方案。ISS的可适应性网络安全软件制定了一套安全控制系统，使不同级别的管理部门用户，可以各自得到侧重点不同的网络安全状况的重要报告。

MBSA：微软基准安全分析器是微软公司提供的\*\*免费安全评估工县工具。

MBSA会对一个或多个系统进行扫描，并返回一个有关安全修补程序缺少、密码脆弱、Internet Explorer和OutlookExpress安全设置以及Office宏保护设置等方面的报告；

MBSA的优势在于其**全面的系统安全扫描分析报告**。

X-Scanner**运行在Windows平台**上，主要针对**Windows NT、Windows Xp和Windows 2000操作系统的安全进行全面细致的评估**，能够扫描出很多Windows系统的漏洞，并指出安全的脆弱环节和弥补措施。

X-Scanner采用多线程方式对指定IP地址段（或单机）进行安全漏洞扫描。

### 3.漏洞修补办法 ###

**漏洞库CVE是个行业标准**，为每个漏洞和暴露**确定了唯一的名称和标准化描述**，可以成为评价相应入侵检测和漏洞扫描等工具产品和数据库的基准。

修补系统漏洞最直接、最有效的办法就是及时给操作系统、应用程序安装升级补丁并及时更新程序。

\*\*微软（WSUS）\*\*是用来实时发布微软公司操作系统更新程序的服务系统，WSUS服务器通过互联网和微软公司WSUS服务实时连接，可及时获得微软公司的最新更新程序。

## 考点5：网络故障查找与排除 ##

在校园网的一台主机上用浏览器无法访问域名为www.jnu.edu.cn的网站；故障原因可能：

*  该计算机网卡安装、网线连接有问题；
 *  该计算机的IP地址和子网掩码配置错误；
 *  该计算机的TCP/IP协议工作不正常；
 *  该计算机网关设置错误；
 *  该计算机无法正常进行域名解析（城名解析服务器有故障）
 *  路由设置存在问题（路径不可达）