This is an old revision and may have been superseded. Go to the latest revision
网络管理协议与发现协议
From Virapedia
Contents
Real-world layer (现实中的网络管理、发现与计时协议): this page is about a real work, platform or institution — it made such worlds, but is not one of them.
网络管理协议与发现协议讲的是「网络怎么被看见、被配置、被记账」这一层：设备怎么报告自己的状态，怎么知道对端是谁，日志与流量怎么集中，时间怎么对齐。本页属现实技术说明。端口与文档编号为通行引用值，本馆未逐格复核处已注明；凡涉及安全强度与算法选择，请以现行规范与审计要求为准。
一、这一层的四类需求
| 需求 | 它在回答什么问题 | 常见协议 |
|---|---|---|
| 采集与配置 | 这台设备的接口状态、光功率、CPU、配置是什么？能不能改？ | SNMP、NETCONF/YANG、gNMI、RESTCONF、命令行（SSH/Telnet） |
| 发现与拓扑 | 这条线连到哪台设备的哪个口？这台设备叫什么？ | LLDP、CDP、mDNS/DNS-SD、SSDP、ARP/NDP |
| 流量与事件 | 谁在和谁说话、说了多少、出了什么事？ | NetFlow/IPFIX、sFlow、镜像（SPAN/TAP）、syslog、告警上报（Trap/Inform） |
| 时间与准入 | 各设备的时间是否可比？谁能接入这个网？ | NTP、PTP（IEEE 1588/802.1AS）、RADIUS、TACACS+、IEEE 802.1X |
- 为什么这一层重要
- 故障复盘里最常见的不是「协议坏了」，而是四台设备的时间差三十秒，日志无法排序、或者「没人知道这根线连到哪」。管理面不是可选项。
二、SNMP：最长寿的采集方式
| 版本 | 认证方式 | 加密 | 现状口径 |
|---|---|---|---|
| v1 | 团体字（community），明文 | 无 | 被 v2c/v3 取代，存量仍在 |
| v2c | 团体字，明文 | 无 | 内网只读采集仍广泛使用；v2 的计数与错误码改进被保留 |
| v3 | 用户基安全模型（USM）：认证 + 隐私 | 可加密 | 涉及写操作或跨管理域时应使用的版本 |
- 它怎么组织数据
- 全部状态挂在一棵管理信息库（MIB）树上，每个量有一个对象标识符（OID）。公共分支下的企业私有节点常被写成 `.1.3.6.1.4.1` 之后再接厂家编号。
- 常用操作只有几种：取单个（GET）、取下一个（GETNEXT，用于遍历表）、批量取下一个（GETBULK，v2c 起）、设备主动上报（Trap；以及需应答的 Inform）。
- 表类数据（接口表、光模块监控表）靠「索引 + 列」组合定位，这也是 SNMP 采集脚本看起来绕的原因。
- 局限
- 轮询式、文本化、无事务、无「配置意图」概念。一次改几十台设备的配置，SNMP 不是合适的工具。
- 一个高频风险
- 只读团体字设成默认值并在可路由接口上开放，等于把设备拓扑与名称公开。管理面应当带外（独立管理网/VRF）并用访问控制列表限定来源。
三、NETCONF / YANG / gNMI：现代设备的配置面
- YANG 是数据建模语言：它定义设备有哪些可配置与可观测量、类型与约束。NETCONF（RFC 6241，常走 SSH）在模型之上做带事务的读写；RESTCONF 把同样的模型映射到 HTTP；gNMI 用 gRPC 做订阅式流推送。
- 与传统命令行的关键差别是可校验与可回放：配置有模式、有差异、有可能被机器检查，因此自动化与变更审计才谈得上稳定。
- 现实里三者常共存——网管走 NETCONF，工程师仍然 SSH 进去看。本馆提示：两种写法并存时，谁最后写入决定实际状态，这是自动化事故的经典来源。
四、邻居发现：LLDP 与它的私有同族
| 名目 | 性质 | 它发布什么 |
|---|---|---|
| LLDP（IEEE 802.1AB） | 链路层发现，开放 | 机框标识、端口标识、存活时间（TTL）、端口与系统描述、管理地址、设备能力位；可选：VLAN 名与号、以太网物理层配置与状态、PoE 供电等级与功耗、语音 VLAN 与 QoS（LLDP-MED）、时间质量等 |
| CDP | 某厂家私有，早于 LLDP | 同类信息；老设备上常与 LLDP 同时开 |
| LLDP-MED | LLDP 的媒体扩展 | 话机/视频终端向交换机宣告语音 VLAN、优先级与话机能力，交换机据此配置端口 |
- 排障时它最值钱的三个用途
- 一、确认接线：不用查图纸就知道这条线连到对端哪台设备哪个口。
- 二、核对协商结果：端口速率、双工、VLAN、PoE 等级是在 LLDP 里报的，能直接对照「你以为的配置」。
- 三、发现不允许接入的设备：未知机框标识出现在某个端口，是准入策略最便宜的触发器。
- 注意
- LLDP 帧默认不被交换机转发，它只揭示直接相连的一端。想跨一层设备看到更远，需要网管系统做拓扑拼接。
五、服务发现：终端怎么找到自己的名字
- mDNS / DNS-SD（RFC 6762、6763）在没有 DNS 服务器的局域网里做名字与服务的解析与广播，常见于打印、音视频与消费级设备（`.local` 一类后缀）。
- SSDP 与 UPnP、WS-Discovery 面向服务发现；Windows 网络设备视图一类功能即建立其上。
- 这些机制的便利之处也是它的暴露面：广播域内任何人都能列出设备。生产网络里通常把它们限制在接入 VLAN，并避免在服务网段开放。
六、认证与准入：802.1X、RADIUS、TACACS+
| 名目 | 它管什么 | 常见口径 |
|---|---|---|
| IEEE 802.1X | 端口级网络准入：未通过认证前不给业务流量 | supplicant（终端）/authenticator（交换机或无线控制器）/authentication server（后端）三段结构 |
| RADIUS | 认证、授权与计费的后台服务 | UDP 认证与计费端口（历史上另有旧值，现以配置为准）；共享密钥保护；可承载 EAP 方法 |
| TACACS+ | 设备管理面的认证与命令级授权 | TCP；把「谁能执行哪条命令」分开管，网络设备运维传统上偏爱它 |
| EAP 方法 | 认证的具体交换 | 证书类（EAP-TLS）与口令/隧道类（PEAP、EAP-TTLS）两条路；前者依赖终端证书部署，后者依赖内层身份 |
- 三种典型部署错误
- 一、RADIUS 无响应时终端行为不一致：有的放行、有的重试到锁定。必须写明失败策略（宕机时是允许还是拒绝）。
- 二、无线的 802.1X 与有线的不是同一件事：无线还要处理漫游时的密钥缓存与快速切换，见无线局域网标准。
- 三、把管理面放进业务 VLAN：控制平面被业务流量淹没时，你连设备都登不上。控制平面保护（CoPP）与带外管理是同一件事的两半。
七、时间与日志：复盘能不能对齐，全看这两条
- NTP
- RFC 5905（版本 4），UDP 上运行，用分层（stratum）与往返测量估计偏移。它的能力上限由网络抖动与时钟硬件决定；毫秒级对多数运维够用，微秒到亚毫秒需要硬件时间戳与更好的拓扑。
- PTP
- IEEE 1588 系列与 802.1AS 做亚微秒级同步，用于电信、电力、工业控制与音视频。它对透明时钟、边界时钟与链路不对称性都有要求，不是把主钟设上就行。
- syslog
- 现代格式见 RFC 5424（旧 BSD 口径为 3164）， facility 与 severity 分级。传输上 UDP 便宜但会丢，TLS 与可靠队列用于合规留痕。
- 运维现实：日志时间不可信比没有日志更糟。集中式日志之前先把时间源与 NTP 层次做对，这是事故复盘的第一件事。
八、流量可视：三种口径不要混
| 口径 | 它给出什么 | 代价 |
|---|---|---|
| NetFlow v9 / IPFIX | 每条流的统计记录（模板化） | 精度取决于导出周期；只告诉你「有多少」，不告诉你「里面是什么」 |
| sFlow | 按采样率的报文与计数器抽样 | 带宽开销可控，但短流可能被漏；换算总量要带采样率 |
| 镜像 / TAP | 完整报文内容 | 成本高、可能丢包、涉及内容监控的合规与授权问题 |
- 一句提示
- 「谁占带宽」用流统计足够；「这个报文是否被篡改」需要完整内容，两者不能互替。做安全监控时还要考虑加密使内容不可读，此时元数据与行为成为主要依据。
九、二层环路、聚合与「为什么数据中心不用它」
- STP/RSTP/MSTP（IEEE 802.1 系列）让冗余二层拓扑不成环。它们的代价是收敛时间与「备线闲置」——环路被阻断时，那条线不带你想要的流量。
- LACP（IEEE 802.1AX）把多条物理线捆成一个逻辑口，是端口级冗余与带宽叠加的常见做法；两端模式（主动/被动）与哈希算法决定负载均衡效果。
- 现代数据中心普遍转向三层等价路径（叶脊 + 路由），部分原因就在这两条：二层收敛与广播域规模难以扩展到几千端口。本馆提示：这不是「STP 落后」，是设计目标变了。
十、把这一层做好的六条常识
- 管理面与数据面分离：独立管理网络或 VRF，交换机管理口不接业务。
- 时间统一：所有设备指向同一时间源，并记录其层级与偏移；日志集中前先校时。
- 采集用只读、变更走受控通道：SNMP 只读团体字与写团体字分开，写操作走 v3 或 NETCONF 并有审计。
- 邻居发现全开：LLDP 在所有端口启用，接线表由它生成，而不是靠人回忆。
- 认证有失败策略：RADIUS 不可达时怎么办，要写在配置里而不是靠默认值。
- 告警要有「可执行」的落点：每条告警对应一个处置动作，否则它在夜里等于噪音。
参见
出处
- 文档名目：SNMP 框架与版本相关 RFC（RFC 3411 系列及其前身）、MIB-II（RFC 1213 口径）；NETCONF（RFC 6241）、YANG（RFC 7950）、RESTCONF；LLDP（IEEE 802.1AB）与 LLDP-MED；IEEE 802.1X 与 RADIUS（RFC 2865、2866 及其后续）、EAP（RFC 3748 口径）；NTPv4（RFC 5905）；IEEE 1588 与 802.1AS；syslog（RFC 5424、3164）；IPFIX（RFC 7011）；sFlow；链路聚合（IEEE 802.1AX）与生成树（IEEE 802.1D/Q 系列）。[1]
- CDP、gNMI、TACACS+ 为厂家或事实标准口径，本馆按其通行行为描述，不复述实现细节。
- 「把这一层做好的六条常识」与各处排障提示为本馆撮合的操作归纳，属「本馆推定」。
- 本页为现实技术普及条目。各文档的当前状态、端口默认值与算法强度要求随版本与辖区变化，本馆未逐格复核；引用请以现行 RFC、IEEE 版本与设备文档为准。 back