'''网络管理协议与发现协议'''讲的是「网络怎么被看见、被配置、被记账」这一层：设备怎么报告自己的状态，怎么知道对端是谁，日志与流量怎么集中，时间怎么对齐。
本页属现实技术说明。端口与文档编号为通行引用值，本馆未逐格复核处已注明；凡涉及安全强度与算法选择，请以现行规范与审计要求为准。
== 一、这一层的四类需求 ==
{| class="wikitable"
|-
! 需求 !! 它在回答什么问题 !! 常见协议
|-
| 采集与配置 || 这台设备的接口状态、光功率、CPU、配置是什么？能不能改？ || SNMP、NETCONF/YANG、gNMI、RESTCONF、命令行（SSH/Telnet）
|-
| 发现与拓扑 || 这条线连到哪台设备的哪个口？这台设备叫什么？ || LLDP、CDP、mDNS/DNS-SD、SSDP、ARP/NDP
|-
| 流量与事件 || 谁在和谁说话、说了多少、出了什么事？ || NetFlow/IPFIX、sFlow、镜像（SPAN/TAP）、syslog、告警上报（Trap/Inform）
|-
| 时间与准入 || 各设备的时间是否可比？谁能接入这个网？ || NTP、PTP（IEEE 1588/802.1AS）、RADIUS、TACACS+、IEEE 802.1X
|}
; 为什么这一层重要
: 故障复盘里最常见的不是「协议坏了」，而是'''四台设备的时间差三十秒，日志无法排序'''、或者「没人知道这根线连到哪」。管理面不是可选项。
== 二、SNMP：最长寿的采集方式 ==
{| class="wikitable"
|-
! 版本 !! 认证方式 !! 加密 !! 现状口径
|-
| v1 || 团体字（community），明文 || 无 || 被 v2c/v3 取代，存量仍在
|-
| v2c || 团体字，明文 || 无 || 内网只读采集仍广泛使用；v2 的计数与错误码改进被保留
|-
| v3 || 用户基安全模型（USM）：认证 + 隐私 || 可加密 || 涉及写操作或跨管理域时'''应使用'''的版本
|}
; 它怎么组织数据
: 全部状态挂在一棵'''管理信息库（MIB）树'''上，每个量有一个对象标识符（OID）。公共分支下的企业私有节点常被写成 `.1.3.6.1.4.1` 之后再接厂家编号。
: 常用操作只有几种：取单个（GET）、取下一个（GETNEXT，用于遍历表）、批量取下一个（GETBULK，v2c 起）、设备主动上报（Trap；以及需应答的 Inform）。
: 表类数据（接口表、光模块监控表）靠「索引 + 列」组合定位，这也是 SNMP 采集脚本看起来绕的原因。
; 局限
: 轮询式、文本化、无事务、无「配置意图」概念。一次改几十台设备的配置，SNMP 不是合适的工具。
; 一个高频风险
: 只读团体字设成默认值并在'''可路由接口'''上开放，等于把设备拓扑与名称公开。管理面应当带外（独立管理网/VRF）并用访问控制列表限定来源。
== 三、NETCONF / YANG / gNMI：现代设备的配置面 ==
: '''YANG''' 是数据建模语言：它定义设备有哪些可配置与可观测量、类型与约束。'''NETCONF'''（RFC 6241，常走 SSH）在模型之上做带事务的读写；'''RESTCONF''' 把同样的模型映射到 HTTP；'''gNMI''' 用 gRPC 做订阅式流推送。
: 与传统命令行的关键差别是'''可校验与可回放'''：配置有模式、有差异、有可能被机器检查，因此自动化与变更审计才谈得上稳定。
: 现实里三者常共存——网管走 NETCONF，工程师仍然 SSH 进去看。本馆提示：'''两种写法并存时，谁最后写入决定实际状态'''，这是自动化事故的经典来源。
== 四、邻居发现：LLDP 与它的私有同族 ==
{| class="wikitable"
|-
! 名目 !! 性质 !! 它发布什么
|-
| LLDP（IEEE 802.1AB） || 链路层发现，开放 || 机框标识、端口标识、存活时间（TTL）、端口与系统描述、管理地址、设备能力位；可选：VLAN 名与号、以太网物理层配置与状态、'''PoE 供电等级与功耗'''、语音 VLAN 与 QoS（LLDP-MED）、时间质量等
|-
| CDP || 某厂家私有，早于 LLDP || 同类信息；老设备上常与 LLDP 同时开
|-
| LLDP-MED || LLDP 的媒体扩展 || 话机/视频终端向交换机宣告语音 VLAN、优先级与话机能力，交换机据此配置端口
|}
; 排障时它最值钱的三个用途
: 一、'''确认接线'''：不用查图纸就知道这条线连到对端哪台设备哪个口。
: 二、'''核对协商结果'''：端口速率、双工、VLAN、PoE 等级是在 LLDP 里报的，能直接对照「你以为的配置」。
: 三、'''发现不允许接入的设备'''：未知机框标识出现在某个端口，是准入策略最便宜的触发器。
; 注意
: LLDP 帧默认'''不被交换机转发'''，它只揭示直接相连的一端。想跨一层设备看到更远，需要网管系统做拓扑拼接。
== 五、服务发现：终端怎么找到自己的名字 ==
: '''mDNS / DNS-SD'''（RFC 6762、6763）在没有 DNS 服务器的局域网里做名字与服务的解析与广播，常见于打印、音视频与消费级设备（`.local` 一类后缀）。
: '''SSDP''' 与 UPnP、'''WS-Discovery''' 面向服务发现；Windows 网络设备视图一类功能即建立其上。
: 这些机制的便利之处也是它的暴露面：广播域内任何人都能列出设备。生产网络里通常把它们限制在接入 VLAN，并避免在服务网段开放。
== 六、认证与准入：802.1X、RADIUS、TACACS+ ==
{| class="wikitable"
|-
! 名目 !! 它管什么 !! 常见口径
|-
| IEEE 802.1X || 端口级网络准入：未通过认证前不给业务流量 || supplicant（终端）/authenticator（交换机或无线控制器）/authentication server（后端）三段结构
|-
| RADIUS || 认证、授权与计费的后台服务 || UDP 认证与计费端口（历史上另有旧值，现以配置为准）；共享密钥保护；可承载 EAP 方法
|-
| TACACS+ || 设备管理面的认证与'''命令级授权''' || TCP；把「谁能执行哪条命令」分开管，网络设备运维传统上偏爱它
|-
| EAP 方法 || 认证的具体交换 || 证书类（EAP-TLS）与口令/隧道类（PEAP、EAP-TTLS）两条路；前者依赖终端证书部署，后者依赖内层身份
|}
; 三种典型部署错误
: 一、'''RADIUS 无响应时终端行为不一致'''：有的放行、有的重试到锁定。必须写明失败策略（宕机时是允许还是拒绝）。
: 二、'''无线的 802.1X 与有线的不是同一件事'''：无线还要处理漫游时的密钥缓存与快速切换，见[[无线局域网标准]]。
: 三、'''把管理面放进业务 VLAN'''：控制平面被业务流量淹没时，你连设备都登不上。控制平面保护（CoPP）与带外管理是同一件事的两半。
== 七、时间与日志：复盘能不能对齐，全看这两条 ==
; NTP
: RFC 5905（版本 4），UDP 上运行，用分层（stratum）与往返测量估计偏移。它的能力上限由网络抖动与时钟硬件决定；'''毫秒级'''对多数运维够用，'''微秒到亚毫秒'''需要硬件时间戳与更好的拓扑。
; PTP
: IEEE 1588 系列与 802.1AS 做亚微秒级同步，用于电信、电力、工业控制与音视频。它对透明时钟、边界时钟与链路不对称性都有要求，'''不是把主钟设上就行'''。
; syslog
: 现代格式见 RFC 5424（旧 BSD 口径为 3164）， facility 与 severity 分级。传输上 UDP 便宜但会丢，TLS 与可靠队列用于合规留痕。
: 运维现实：日志'''时间不可信'''比没有日志更糟。集中式日志之前先把时间源与 NTP 层次做对，这是事故复盘的第一件事。
== 八、流量可视：三种口径不要混 ==
{| class="wikitable"
|-
! 口径 !! 它给出什么 !! 代价
|-
| NetFlow v9 / IPFIX || 每条流的统计记录（模板化） || 精度取决于导出周期；只告诉你「有多少」，不告诉你「里面是什么」
|-
| sFlow || 按采样率的报文与计数器抽样 || 带宽开销可控，但短流可能被漏；换算总量要带采样率
|-
| 镜像 / TAP || 完整报文内容 || 成本高、可能丢包、涉及内容监控的合规与授权问题
|}
; 一句提示
: 「谁占带宽」用流统计足够；「这个报文是否被篡改」需要完整内容，两者不能互替。做安全监控时还要考虑加密使内容不可读，此时'''元数据与行为'''成为主要依据。
== 九、二层环路、聚合与「为什么数据中心不用它」 ==
: '''STP/RSTP/MSTP'''（IEEE 802.1 系列）让冗余二层拓扑不成环。它们的代价是收敛时间与「备线闲置」——环路被阻断时，那条线不带你想要的流量。
: '''LACP'''（IEEE 802.1AX）把多条物理线捆成一个逻辑口，是端口级冗余与带宽叠加的常见做法；两端模式（主动/被动）与哈希算法决定负载均衡效果。
: 现代数据中心普遍转向'''三层等价路径（叶脊 + 路由）'''，部分原因就在这两条：二层收敛与广播域规模难以扩展到几千端口。本馆提示：这不是「STP 落后」，是设计目标变了。
== 十、把这一层做好的六条常识 ==
# 管理面与数据面分离：独立管理网络或 VRF，交换机管理口不接业务。
# 时间统一：所有设备指向同一时间源，并记录其层级与偏移；日志集中前先校时。
# 采集用只读、变更走受控通道：SNMP 只读团体字与写团体字分开，写操作走 v3 或 NETCONF 并有审计。
# 邻居发现全开：LLDP 在所有端口启用，接线表由它生成，而不是靠人回忆。
# 认证有失败策略：RADIUS 不可达时怎么办，要写在配置里而不是靠默认值。
# 告警要有「可执行」的落点：每条告警对应一个处置动作，否则它在夜里等于噪音。
== 参见 ==
* [[网络标准入门]] · [[双绞线与8P8C]] · [[光电模块]] · [[光纤与连接器]]
* [[以太网速率谱系]] · [[文件传输诸协议]] · [[无线局域网标准]]
== 出处 ==
* 文档名目：SNMP 框架与版本相关 RFC（RFC 3411 系列及其前身）、MIB-II（RFC 1213 口径）；NETCONF（RFC 6241）、YANG（RFC 7950）、RESTCONF；LLDP（IEEE 802.1AB）与 LLDP-MED；IEEE 802.1X 与 RADIUS（RFC 2865、2866 及其后续）、EAP（RFC 3748 口径）；NTPv4（RFC 5905）；IEEE 1588 与 802.1AS；syslog（RFC 5424、3164）；IPFIX（RFC 7011）；sFlow；链路聚合（IEEE 802.1AX）与生成树（IEEE 802.1D/Q 系列）。[本页为现实技术普及条目。各文档的当前状态、端口默认值与算法强度要求随版本与辖区变化，本馆未逐格复核；引用请以现行 RFC、IEEE 版本与设备文档为准。]
* CDP、gNMI、TACACS+ 为厂家或事实标准口径，本馆按其通行行为描述，不复述实现细节。
* 「把这一层做好的六条常识」与各处排障提示为本馆撮合的操作归纳，属「本馆推定」。
[[Category:技术]]
[[Category:网络标准]]