请各位哥哥姐姐帮个忙,给我点NET-SNMP的资料

LZ装了Net-SNMP把

你可以关闭Net-SNMP服务或者直接卸载Net-SNMP

不过留着也无妨

这是个snmp服务的持久化对象，就是net-snmp服务状态在关机后得以保存，差不多可以想象成是个备份，没有什么危害的

针对目前IP网络管理系统中管理信息的收集所存在的不足之处，文中设计了一种基于RMON的网络探测器并给出了具体的实现方案；该探测器充分利用一些现有的免费开发工具包，并可以有效地解决这些问题。

关键词 网络探测器 网络管理 远程监视

1 引言

在一个网络管理系统中，网管信息的收集是一项最基本的任务，它是实现各种复杂的网络管理功能的基础。在本网管系统的基本实现中，是依赖于管理站来采集网络中的各种信息，并对采集到的信息进行分析和处理，这种方式基本上能够满足多数网络的管理需求，然而，它也存在一些不足之处。

（1）所有网管信息的采集全部依赖于中心的管理站，对管理站的处理能力有较高的要求，同时，由于各种原始的网管信息都需要汇集到管理站，就会带来管理站四周较大的网络流量，容易造成网络的阻塞；

（2）对于一些带有防火墙的虚拟网，位于其外部的管理站无法访问到其内部的网络，因而也就无法对其进行监视与管理；

（3）管理站在信息采集的时候，主要是利用SNMP（简单网络管理协议）和各个网络设备进行通信，获得各设备的网管信息。然而，这些信息主要是关于设备自身的，而关于整个网络的总体信息则比较缺乏。

“网络探测器”正是为了有效解决上述问题而提出的。

在本网管系统中，网络探测器是放置在一个局域网内部的硬件装置，它可以按照预定的配置信息，对该局域网内部的网络信息进行收集和统计，并对局域网的工作状况进行监视；同时，提供一定的接口，供管理站与之进行通信，获得它的网管信息，并对它进行配置与管理。 2 网络探测器原理

21 网络数据包的侦听

在以太网上，任何一个主机发出的数据包都是在共享的以太网传输介质上进行传输的，每个数据包的包头部分都包含了源地址和目的地址。一般情况下，局域网上各台主机的网卡负责检查每一个数据包，如果发现其目的地址是本机，则接收该数据包并向上层传递，以进行下一步的处理；如果目的地址不是本机，则忽略它。

在一些特殊的情况下，需要让一台主机能够接收所有的数据包，即进行网络数据包的“侦听”，这时，通过对网卡进行设置，可以让该主机的网卡工作在“混杂模式”下，则不论数据包的目的地址是否是本机，都能够截获并传递给上层进行处理。

对于截获的数据包，进行进一步的分析处理，就能够得到数据包的一些基本属性，如包类型、包大小、目的地址、源地址等，这样，就可以在此基础上进行分析和统计。

22 SNMP——简单网络管理协议

SNMP是TCP/IP网络上的一个重要的网络管理协议，能够用于监控和管理网络设备，SNMP规范定义了管理站与网络设备之间交换管理信息的协议、管理信息的结构框架、通用的管理信息库MIB等。

SNMP是网络管理系统的基础，本网管系统主要基于SNMP来从各个网络设备获得各种网络管理信息，并在对它们进行进一步分析处理后，提供各种网络管理功能。

在网络探测器的实现中，我们将使用SNMP规范来实现它和管理站的通信，即在网络探测器上实现一个具有完整功能的SNMP Agent，通过SNMP来向管理站提供各种网管信息。网络探测器支持RMON MIB，主要提供整个局域网有关的统计信息。

23 RMON——远程监视

RMON（Remote Network Monitoring）规范是SNMP的一个重要增强，它定义了一种远程监视MIB来作为MIB-II的补充，为网络管理站提供了至关重要的网络信息。RMON可以把子网当作一个整体来监视，提供关于整个子网的一些统计信息。

RMON本质上是定义了一套MIB规范，其作用是定义标准的网络监视功能和接口，使基于SNMP的管理站和RMON探测器之间能够通信。一般说来，RMON提供了一种有效且高效的方法来监视子网行为。

RMON规范主要包括在两个重要RFC文档中：RFC 1757定义了RMON1， RFC 2021定义了RMO- N2。

RMON1主要工作在MAC层，能够监视和它相连的LAN内的所有流量，捕获所有MAC层的帧，从这些帧中读取MAC层的源地址和目的地址，并进行有关的各种分析和统计。

RMON2是RMON1的扩充，RMON2工作在MAC层之上，能够从OSI模型的第3层到第7层对数据包进行解析，监视协议流量，例如，探测器能够基于网络层协议和地址（包括IP）来监视流量。

RMON规范定义的MIB库结合在MIB-II中，其子树标识为16。RMON1定义了10个组，RMON2在RMON1的基础上进行了简单扩充，添加了9个新的组。

3 系统总体设计

31 基本设计思想

从本质上讲，网络探测器是一个支持RMON规范的SNMP Agent，其主要任务包括：

（1）采集、分析和统计局域网的各种有用信息，按照RMON规范对这些信息进行组织；

（2）实现SNMP Agent，提供标准的SNMP接口，供管理站从它获得网络管理信息。

网络探测器底层的平台是嵌入式Linux系统，该系统具有网络模块，可以接入以太局域网。具体的平台要求是：

硬件系统平台：性能较高，处理速度相对较快，内存容量较大，带有网络模块；

*** 作系统平台：支持网络功能，能够接入以太网，提供C++编译开发工具。

在本网络探测器的实现时，考虑到运行效率、硬件成本、使用方便性等各方面的因素，做了以下限定：

（1）针对目前最常见的以太网环境；

（2）有一个接口使其仅能连接到一个子网，这样可使得系统简单有效、易于安装配置；

（3）全部MIB对象存放在内存中，提高运行效率；

（4）有选择地实现一些重要的MIB组；RMON是一个功能非常强大的MIB库，能够为管理站提供详细的网络管理信息，然而，在一般应用中都不大可能对所有的SNMP MIB组加以实现。

32 系统基本体系结构

图2给出了本网络探测器的基本体系结构。网络探测器包括以下一些基本组成模块：网络侦听、数据包分析、分类统计计数、RMON MIB库、SNMP处理以及Trap发送等。

探测器系统中，各个功能模块的主要功能如下：

网络侦听模块负责从网络上截获所有的数据包；网络探测器连接在特定局域网上，它能够对该局域网上传输的所有数据包进行截获，然后提交给上层模块进行分析处理。

数据包分析模块对截获的数据包根据数据包的类型、源地址、目的地址、包大小等基本信息逐个进行分析。

数据包分析模块在对数据包进行分析后，根据数据包的特性，调用特定的分类统计计数模块对该包进行统计计数，分类统计计数模块按照MIB库的规范要求，将统计结果更新到有关的一些MIB对象中。

RMON MIB库用来保存各种RMON MIB对象（实际上还包括MIB-II的System组和Interface组），这些对象按照RMON MIB规范进行组织，这里的MIB库是一个概念上的数据库，实际上各种信息都组织在内存中，以提高访问效率。

SNMP处理模块负责实现SNMP访问接口，接收SNMP请求（包括Get、GetRequest、Set等 *** 作），对它进行分析处理，并按照要求访问RMON MIB库，从中取得需要的MIB对象值并返回给请求者（对Get、GetRequest而言），或者设置有关的MIB对象值（对Set *** 作而言）。

Trap发送模块负责在发生特定事件时，主动发送Trap信息给预定的管理站；在分类统计计数模块对MIB对象的值进行计数时，如果发现特定值超过了预定的范围，则启动Trap发送模块，按照预定策略发送Trap信息给管理站。

4 实现技术

41 SNMP Agent的实现

目前，已经有一些可用的SNMP Agent开发工具包，它们提供一些基本的框架平台，实现了Agent的通用功能，在其基础上，开发者可以集中精力进行具体逻辑功能的实现，如MIB对象的数据采集等。这样有利于简化开发工作，加快开发进程。常见的SNMP Agent开发工具包有：Agent++、net-snmp、WinSnmp API（适用于Windows平台）等。

为了方便探测器Agent的实现，我们选择了Agent++平台，它是免费的且源代码公开。

Agent++是一套用于开发SNMP Agent的C++库，它建立在SNMP++的基础之上。Agent++提供了完整的协议处理框架，提供了标量对象和表对象等MIB对象的基类，通过继承用户可以方便地定义MIB对象。Agent++具有以下一些特点：

（1）功能强大，能够实现各种复杂的MIB对象；

（2）简单易用，开发人员无需深入了解底层的SNMP处理，仅使用一些简单的类和接口，即可快速实现带有各种MIB对象的Agent；

（3）扩展性强，方便定义和实现新的功能；

（4）可移植性好，代码可以方便地移植到Windows、UNIX、Linux等平台上；

（5）支持SNMPv1和SNMPv2c；

（6）支持多线程处理，在线程中处理SNMP请求，可以进行并发的处理；

（7）支持MIB对象的持久保存，可将MIB对象保存到硬盘上，并可以从硬盘装载；

（8）具有详细的日志功能。

42 网络数据包侦听的实现

网络数据包的侦听也可以使用一些现成的开发包来实现，winpcap和libpcap是比较著名的开发包，提供了较强的网络数据包截获功能，其中，winpcap运行在Windows平台上，libpcap运行在UNIX和Linux平台上。

本项目使用libpcap作为数据包侦听部分的开发包。

libpcap（Packet Capture Library），即数据包捕获函数库。在网络包抓取中libpcap是非常常用的一个库，著名的tcpdump就是用它来实现的。libpcap是一个与实现无关的访问 *** 作系统所提供的分组捕获函数库，用于访问数据链路层。这个库为不同的平台提供了一致的C函数编程接口，在安装了 libpcap 的平台上，以 libpcap 为接口写的程序、应用，能够自由地跨平台使用。它支持多种 *** 作系统。

libpcap 结构简单，使用方便；它提供了20多个API封装函数，我们利用这些API函数即可完成本网络探测器所需的网络数据包监听功能。

5 结束语

针对网络管理系统的管理信息收集所存在的一些特殊问题，本文设计并实现一种网络探测器。在一个网络管理应用系统中，要根据具体情况决定是否为一些局域网设置网络探测器。所以网络探测器是对本网络管理系统基本实现的补充，它可以使得本网管系统功能更加完善。实践证明本实现方案简单实用，达到了预期的目的。

参 考 文 献

[1] Stallings W，胡成松, 汪凯译 SNMP网络管理，北京：中国电力出版社，2001

[2] RFC 1213-1991, Management Information Base for Network Management of TCP/IP-based internets: MIB-II

[3] RFC 1757-1995, Remote Network Monitoring Management Information Base

[4] RFC 2021-1997, Remote Network Monitoring Management Information Base II

两种，主要是网络数据包捕获和网络流量镜像：：

1、网络数据包捕获：通过在网络上使用数据包捕获工具，如Wireshark等，对网络流量进行捕获和分析，以了解网络通信的详细情况。

2、网络流量镜像：通过交换机或路由器的端口镜像功能，将需要监听的网络流量复制到指定的端口上，然后使用数据包捕获工具进行接收和分析。

未至科技泵站是一款大数据平台数据抽取工具，实现db到hdfs数据导入功能，借助Hadoop提供高效的集群分布式并行处理能力，可以采用数据库分区、按字段分区、分页方式并行批处理抽取db数据到hdfs文件系统中，能有效解决大数据传统抽取导致的作业负载过大抽取时间过长的问题，为大数据仓库提供传输管道。

流量回溯系统捕获和分析数据流程，一般由以下几个步骤组成：

1数据包捕获 -记录网络上的数据包流量。

2协议解析 -解析不同的网络协议和字段。

3搜索和可视化 -详细或汇总浏览数据。

从 Wireshark 300rc1 开始，TShark可以使用 -G elastic-mapping 选项，生成Elasticsearch映射文件，存储在Elasticsearch中并进行浏览，使得TShark解析结果可以在在Kibana中进行搜索和可视化。

下面，我将展示如何使用Wireshark和Elastic Stack来建立流量回溯系统：

Packetbeat 可以配置为捕获实时网络数据包，并使用 -I 选项从捕获文件中读取数据包。它可以识别和解析许多应用程序级协议，例如HTTP，MySQL和DNS，以及常规流信息。但packetbeat对报文采用会话方式分析，不能对一个个报文单独分析，倾向于应用层，对网络层面分析不足，并且支持的协议有限，tshark的2000多种存在明显差距。

Wireshark是最受欢迎的数据包捕获和分析软件，它可以识别 2,000多个协议，其中包含200,000多个字段 。除GUI界面 *** 作外，它还提供命令行实用程序 tshark 来捕获实时流量以及读取和解析捕获文件。作为其输出， tshark 可以生成报告和统计信息，还可以分析不同文本格式的数据包数据。

自22版（ 2016年9月发布 ）以来， tshark 支持的 Elasticsearch Bulk API 的JSON格式输出。

将在 eth0 网络接口上实时捕获数据包，并以Elasticsearch Bulk API格式输出到文件 packetsjson 。

将从捕获文件 capturepcap 中读取数据包，并作为JSON格式输出为Elasticsearch Bulk API格式到文件 packetsjson 。

将从捕获文件 capturepcap 中读取数据包，过滤HTTP协议指定字段，并作为JSON格式输出为Elasticsearch Bulk API格式到文件 packetsjson 。

将从捕获文件 capturepcap 中读取数据包，过滤HTTP协议指定字段，并增加"|"分隔符以txt格式输出到文件 packetstxt 。

从50版开始，Elasticsearch提出了Ingest Pipeline的概念。一个pipeline 由一系列线程组成，这些可以对数据进行许多不同的更改。

Pipeline示例如下：

该Pipeline只是简单更改数据包将被写入的Elasticsearch索引（默认值为 packets-YYYY-MM-DD ）。要在导入数据时使用此管道，请在URL中指定它：

有关更多信息，请参见 Ingest模块文档 和新的摄取方式- 第1 部分 ， 第2部分 。

Filebeat和Logstash都有等效的配置选项，用于在将数据发送到Elasticsearch时指定接收Pipeline。

Logstash是Elastic Stack的一部分，并用作数据处理线程。它可以用来读取Elasticsearch Bulk API格式的数据，并在将数据发送到Elasticsearch之前对数据执行更复杂的转换和充实。

配置示例为：

logstashconf

grok过滤器从，格式为“ protocol：protocol：protocol ”的 frame_frame_protocols 字段（例如“ eth：ethertype：ip：tcp：http ” ）中提取最内层的网络协议名称，到顶级“ protocol ”字段中。

Wireshark解析的原始数据包含大量字段，这些字段种绝大多数不会搜索或汇总，因此在所有这些字段上创建索引通常不是正确的选择。

字段太多会降低索引和查询速度， Elasticsearch 55开始，默认会将索引中的字段数限制为1000 。另外， tshark -T ek 无论原始数据字段值是文本还是数字，包括时间戳和IP地址，均输出为字符串。

如果要指定正确的数据类型，将数字索引为数字，将时间戳作为时间戳等，防止索引字段激增，应显式指定Elasticsearch映射。

Elasticsearch映射例子如下：

要将 tshark -T ek 的输出数据导入到Elasticsearch中，有以下几种方式。

Filebeat非常轻巧，可以监视一组文件或目录中是否有任何新文件，并自动对其进行处理。读取Tshark输出文件并将数据包数据发送到Elasticsearch。

示例配置如下所示：

filebeatyml

与Filebeat一样，Logstash可以监视目录中的新文件并自动对其进行处理。与Filebeat相比，它比Elasticsearch Ingest Pipeline可以更广泛地转换数据。

有关Logstash配置的示例，请参见31转换数据的部分。

在Kibana中，您现在可以浏览数据包并在它们之上构建仪表板。

网络数据详细视图，包括一个表格，该表格在可扩展的行中显示原始数据包数据

显示网络协议分布的饼图

由于来自Wireshark的网络数据具有与syslog等不同的数据格式，因此更改Kibana中的某些设置（“管理”选项卡->“ Kibana高级设置”）很有意义。

Kibana配置如下：

参考