一文读懂网管协议 - SNMP,NETCONF,RESTCONF
本文篇幅较长,主要涉及以下内容:
-
介绍传统 CLI 配置网络设备存在的挑战,网管协议出现的背景
-
SNMP 原理,交互过程,以及 trade-off
-
NETCONF 架构,交互过程
-
RESTCONF 架构,和 NETCONF 的对比
随着 5G 的大火,SDN, NFV 等概念被频繁提及。想要更好的理解这些概念,网络协议自然是对必不缺少的一环。
拿 SDN 来说,全称为 Software Defined Networking - 软件定义网络。从传统网络来说,整体采用分布式的架构,控制平面和转发平面都位于同一台设备上。在运维,以及灵活性上都有着不小的挑战。
而 SDN 的出现,将控制平面和转发平面解耦,并将所有的设备统一管理起来,使得网络具有了可编程的能力,从面相服务的角度,根据业务需要,实时动态的调整设备的配置或状态,大大降低了管理难度。
那么 NETCONF,RESTCONF 这样的协议又是起到怎样的作用呢?
这就要从 SDN 架构说起,SDN 主要有三个角色,SDN 应用,SDN 控制,网络设备。
SDN 应用一般会通过 HTTP 的方式,调用 SDN 控制器暴露的接口,而 SDN 控制器,会通过 NETCONF,RESTCONF 类似的协议,与设备进行交互,进行业务的下发。
可见,NETCONF 类似的协议起到和设备直接交互的作用。
还有最近 DEVOPS 概念的流行,也强调从传统人工 CLI 配置,过度到自动化的网络配置。而 NETCONF 类似协议,就让这些自动化操作成为可能,比如现在的 ANSIBLE,Python 的各种类库。
下面是网管协议的实际用例,可以看到涵盖的范围已经非常之广:
下面就从传统 CLI 面临的挑战开始,来详细了解下这些发挥着重要作用的协议。
传统命令操作带来的主要挑战
采用传统 CLI 配置方式主要存在着如下的挑战:
在兼容性方面,若是网络工程师的话肯定深有体会。
拿配置静态路由举例, Cisco 设备命令如下:
Router(config)#ip route 0.0.0.0 0.0.0.0 10.10.10.1
而对于华为和华三设备来说:
Router(config)#p route-static 0.0.0.0 0.0.0.0 10.10.10.1
有时不光是不同厂商之间的命令不同,甚至同一厂商不同型号之间的命令也不相同。
比如思科针对不同的场景就区分了不同的网络软件系统:
- 针对于企业的 IOS
- 针对于运营商的 IOS-XR
- 针对于数据中心的 NX-OS
- 以及面向下一代的 IOS-XE,将数据层面和控制解耦,底层支持 Linux.
而出错率这方面,更不必说,人工配置远没有机器配置的准确以及迅速。
而且目前的网络在规模和需求上也和之前大不一样,比如在实时性上,作为运营商需要根据业务需求动态调整策略如 EVPN,L3VPN,L2TP。传统 CLI 手工配置根本无法满足,而无法做到维护管理。而现在的常用解决方案都是利用一些现成的 SDN Controller 进行实时调整如 Cisco 的 NSO.
在数据采集方面,传统人工定时登上设备材料系统日志,分析情况,这更加无法适用。在故障响应上,数据采集,分析都存在先天的不足。比如收集效率低,数据的利用率延迟或不高。
最后从商业成本的考虑,人工的维护方案也是较高的一笔输出。
而且对于工程师而言,需要不断学习不同厂商的配置命令,学习成本很高,但意义不大。
通常来说,网络工程师在开始一个项目前,会进行如下四个部分:
- 了解用户的需求
- 针对用户的需求,确定相应的具体方案。
- 根据用户的方案,查找并学习对应设备的配置命令
- 最后申请割接窗口,准备回滚方案并实施。
在这里的第三步,其实就是一个比较耗时,但没多少意义的过程。因为在集中学习不同厂商的设备命令,但从业务考虑明明解决的都是同一个问题。
在发现 CLI 管理设备的方式出现瓶颈后,并不是马上过度到现在流行的网络自动化配置方式,而是先推出了一个叫 Simple Network Management Protocol
- SNMP 的应用层协议,甚至在当前的一些现网中,依然被使用。
SNMP
SNMP 的出现,主要想解决两个问题:
- 设备信息的采集
- 使用 GUI 替代 CLI 的方式进行设备配置下发
但由于其读多写少的特点,现被广泛用于设备信息的监控和采集。
SNMP 目前共有三个版本:
- SNMP V1,第一个版本。在管理设备上,采用明文的方式,有
read-only
,read-write
,trap
三种和设备通信的方式。 - SNMP V2,主要改进了性能,安全性以及设备交流的方式。
- SNMP V3,主要优化了安全性,增加了一些更强的认证流程。
SNMP 原理
SNMP 整体架构上有些类似于 Client / Server,其主要的工作组件主要有三个:
-
SNMP Manager:,主要用于管理网络中的多个设备,对其进行读和写的操作。类似于 Server.
-
SNMP Agent:运行在网络设备上,通常都需要手动开启。作为 SNMP 代理,在收到 SNMP Manager 发出请求后,对请求的内容进行解析,然后对设备进行配置,将配置的结果作为 Response 回复给 Manager.
-
SNMP MIB: MIB - Management Information Base 全称为信息管理库。可以将其理解成用于交互的一种数据模型,也就是交互的规则。MIB 同样存在于网络设备中。定义和描述了如何管理设备上的资源。Manager 和 Agent 之间的交流的信息就是 MIB 的内容。
可以看到一个 Manager 可以管理网络中的多个设备。而每台设备上运行着 SNMP Agent 用于和 Manger信息交互,交流的内容需要符合 MIB 的规范。
看到这,可能对 MIB 这个概念还是有些模糊。这样,我们先不从最后的结果来分析这个组件的作用,而是从设计的角度,来说一下推导下为什么要有 MIB 这个东西?
这里想要实现的是通过 Manager 去管理网络上的 Agent(其实就是管理设备)。那么如何管理呢,比如 Manager 想要获取 Agent1 的 GigabitEthernet0/0/0/1 的 IP 地址。
这时就需要在 Agent1 上先约定好一个内容,比如当 Agent 接收到 1.1
这个字符串时,就会将接口的信息返回给 Manager.
之后如果 Manager 发送 1.1
就能获取到接口的信息了,但发送别的内容,Agent 是无法识别并工作的。MIB 本质就是这样,确定了如 1.1
这样的一组规则,去规范信息交互的访问方式。
其实,这里的 1.1
就是 MIB 中的一个对象,在 MIB 中还以层级的方式存在着许多这样的对象,将网络的设备的资源抽象成形如 1.1
对象。通过这些对象,Manger 和 Agent 就可以实现很好的交流了。
真正的 MIB 类似与下图,而这里形如 1.3.6.1.1.1.2
这样连接起来的字符串称为 ASN,其实就是对应了设备上的各种资源,Manager 和 Agent 也通过它们进行交流。
SNMP 操作
SNMP Manger 和 SNMP Agent 间的交互主要有三种类型:
- SNMP Get
- SNMP SET
- SNMP Notifications
SNMP Get:主要是检索设备的信息,Get 一种有三种类型:
- GET - 从 SNMP agent 获取固定的对象。
- GETNEXT - 检索当前对象的后一个对象,由于 MIB 本身层级的树形结构,存在后继。
- GETBULK - 获取一组固定的对象。
SNMP SET:主要是修改 MIB 中的对象,进而修改设备的配置。
SBMP Notifications:是 SNMP 的主要特性,之前的 GET 和 SET 是属于拉的操作,而 SNMP 正好相反,类似于推的操作,可以由 agent 发起,将一些信息 push 到 SNMP Manager 上。类似于 Web Socket. 主要用于通知如认证失败,重启,断开连接等事件。
Notifications 主要有两种形式:Traps 和 Informs. 两者间的不同主要在于可靠性,agent 在产生 Informs 给 Manager 后,如果发送失败,会重新发送。Manager 收到后,需要回复确认给 agent。
而 Traps 不同,无论消息发送是否成功,Manager 都不需要回复。
SNMP 缺点
虽然 SNMP 的出现,在一定程度上解决了网络设备的管理问题。但面对现代大规模的网络来说,依然有着很多挑战:
- 性能不足,在下发和读取配置时,采用依次读取,效率低。
- 下发不足,支持写 MIB 的对象相对于读较少。
- 不支持事务机制,在配置下发失败是,无法回滚。
- 拓展性差,提供给外部的接口较少。
- 模型兼容性差,MIB 库混乱,无法适配所有厂商,导致定义各种私有 MIB 库。
面对这些问题,06 年由 IETF 领导并开发出了一个新的协议 - NETCONF,网络管理协议。和 SNMP 不同,NETCONF 基于 RPC 的方式,天生就能很好的支持事务回滚等操作,从而更好地处理复杂网络的各种需求。
NETCONF
NETCONF 协议提供了一种更简单的方式来管理("查询,配置,修改,删除")设备,就像数据库操作中的 DML. 同时开放了 API 接口,当想要对设备进行操作时,直接通过调用 API 进行。
对于支持 NETCONF 的设备来说,至少能开启一个或多个 session。并且在每个 session 中应用的配置更改,都可以被全局的 session 监听到。这就让一个或多个 Manager(Client) 操作同一个设备(agent)成为了可能。
相比 SNMP 而言,有着如下的优势:
- 基于 RPC,增加了事务支持
- 优化查询功能,增加过滤查询方式
- 拓展性强,在其协议内部分为 4 层,各层之间相互独立
- 更好的将配置和状态数据解耦,并区分状态数据(candidate, running, startup)
- 易使用,结合提供的 API,实现可编程性的网络操作
- 安全性更好,在传输层可选用 SSH,TLS 协议等。
NETCONF 采用 C/S 的架构,通过 RPC 在 client 和 server 间交流。client 可以是 Python 脚本或应用。server 一般指的是网络设备,在具体实现上有三个组件:
-
NETCONF agent:运行在网络设备上,用于接收和处理 RPC 请求。还可主动将一些告警事件通知客户端。
-
NETCONF 客户端:利用 NETCONF 协议对网络设备进行管理以及接收 agent 发出的告警通知。
-
datastore:在 NETCONF 中,区分了多个不同类型的 datastore, 这些 datastore 保存着不同状态下的设备信息。
关于 datastore 可以将其理解成一个可以获取和存储信息的概念。在具体实现上,可以是文件,数据库,内存等等。
在 NETCONF 中常用到三类 datastore:
-
startup configuration datastore: 保存了设备启动时,加载的配置信息。
-
candidate configuration datastore: 保存了想要运行的配置信息,修改该数据库时,并不会影响设备的真实配置。
-
running configuration datastore: 保存了当前设备上正在生效的配置,修改时会影响真实的设备。
此外提到 datastore 就必须要提到一种数据模型语言 —— YANG,datestore 中就是以 YANG 的形式来约束配置的数据。
YANG 的出现结合上 NETCONF 和 RESTCONF 这样的协议,为自动化,可编程化的网络提供了强大的支持。YANG 的本质和之前 SNMP 中 MIB ASN 一样,作用都是以一种方式来约束数据,关于 YANG 之后会写一篇文章单独介绍。
NETCONF 协议架构
NETCONF 分为 4 层,各层之间项目独立。
- 内容层:
这一层包含了以 XML 或 JSON 格式的配置数据,也就是想对设备进行管理的具体内容。(由 XSD 或者 YANG 约束生成)
- 操作层:
定义了 Client 和 Server 交互时的一系列操作方法,用于获取或修改配置数据。
- 消息层:
为编码数据时,提供了一种 RPC 和通知的机制:
* RPC invocations(<rpc> messages)
* RPC results(<rpc-reply> messages)
* event notifications(<notification> messages)
- 传输层:
NETCONF 使用 SSH 或 TLS 协议,保证数据在 Client 和 Server 传输的安全性。
NETCONF 交互
对于 Manager 和 Agent 来说,Session 建立会经历如下的过程:
- Manager 请求 NETCONF 中 SSH 子系统建立连接。
- Agent 回复 Hello 消息,包含本身支持的特性和能力。
- Manager 告知 Agent 自己所支持的特性和能力。
- Manager 开始发送 RPC 操作请求。
- Agent 回复 RPC 请求操作结果。
具体看下 NETCONF 中消息的报文结构,以修改接口配置举例:
Manager 请求变更接口配置:
<rpc message-id="101" xmlns="urn:ietf:params:xml:ns:netconf:base:1.0">
<edit-config>
<target>
<running/>
</target>
<config>
<top xmlns="http://example.com/schema/1.2/config">
<interface>
<name>Ethernet0/0</name>
<mtu>1500</mtu>
</interface>
</top>
</config>
</edit-config>
</rpc>
Agent 回复结果:
<rpc-reply message-id="101 xmlns="urn:ietf:params:xml:ns:netconf:base:1.0">
<ok/>
</rpc-reply>
首先可以看到,NETCONF 使用 XML 作为数据传输的格式。
第一行的 <rpc>
标签,表明该请求是 RPC 请求,message-id
属性由 client/manager 确定。Agent 在回复结果时,会带上 message-id
,用于表示该操作的结果。
urn:ietf:
属性表示 XML 中的命令空间。 base:1.0
表示当前 NETCONF 的版本。
第二行 <edit-config>
指定执行 RPC 操作的内容为修改配置。
之后 <config>
中包裹的内容就是,想要下发的配置内容,修改 mtu 为 1500.
但这里还有一个疑问,在说到 NETCONF 时,总提到一种叫 YANG 的语言,那么它们之间的关系是什么?
在组装修改设备配置 Payload 时,这里也没有用到 YANG ?
其实,YANG 早已用到了。为什么 <interface>
中可以包含 <name>
和 <mtu>
属性。而不是把 mtu
放在和 <interface>
同级。
原因就在于上面的格式,都是按照 YANG 的约束而来。
在设备中,存在着许多的 YANG Module,这些 Module 都是由 YANG 语言编写的文件。当 agent
接收到 RPC 请求时,会通过 YANG Module 来校验发来的数据,格式是否合法。
简单来说,可以把 YANG 理解成一份约束文件,里面规定着传来参数的格式,是数组,对象还是其他格式。
至于说为什么 YANG 文件能约束 XML 的文件格式,原因在于 YANG 和 XML 之间是可以相互转换的,甚至 YANG 还可以转换成 JSON. 在之后的 RESTCONF 中会提到这一点。
到目前为止,对 NETCONF 已经有了一个大体认识:
NETCONF 的出现是为了弥补像 SNMP 这些协议的不足。更好的满足现在网络的需要,在易用性,拓展性等等方面都做出了进一步优化,从而更方便,高效的管理网络。
究其本质,NETCONF 是由多个协议组装而成。数据的产生及校验通过 YANG,数据的格式是 XML. 接口的调用通过 RPC,数据的传输通过 SSH.
NETCONF 操作
Server 端:打开设备 NETCONF
# 打开 netconf
netconf-yang
# 查看 netconf 进程
show platform software yang-management
Client 端:测试设备 NETCONF
ssh admin@IP -p 830 -s netconf
关于 NETCONF 具体实现编程化操作,可以参见 YANG 这篇。
RESTCONF
在谈起 RESTCONF 前,想必刚接触这个概念的人都会有这样一个疑问 RESTCONF 和 REST 到底有没有关系?
再回答这个问题前,先来回忆一下什么是 REST,以及 REST 出现的背景。
REST - Representational State Transfer,全称为表现层状态转化,是建立在 HTTP 基础上,对其进行规范的一种架构风格要求。
注意,REST 是一种设计的风格,而不是标准。
其认为,网络中的实体都是以资源的方式存在,但资源却存在着多种表现形式,取决于使用者的需要。比如一个用户的信息,可以用 XML, JSON, 甚至是 txt 等多种方式表现出来。将不同的网络资源转换成不同的表现形式,就是其表现层的体现。
而状态转移来说,由于 HTTP 本身是无状态的协议,所以资源的状态全都保存在服务端。当对服务端的资源进行操作时,必然存在数据状态的改变。
但由于状态的改变基于表现层,所以称为表现层状态转移。
在具体实现上,URI 定义了访问资源的具体路径,而 HTTP 中 Header 的 Content-Type
和 Accept
决定了了表现层的形式。
HTTP 中的 CURD 动作(Create,Put,Get,Delete,patch..)去改变服务端的资源状态。
比如查询书店具有的图书:
GET http://www.store.com/products
通过 REST 的方式,更合理的实现 WEB 服务之间的交互。
这时再看 RESTCONF,就很好理解了。RESTCONF 是通过 REST 来实现对网络设备管理的协议。其本质和 NETCONF 很像,使用 YANG 进行数据的定义和约束,使用 HTTP 进行交互。使用 NETCONF 中 datastore 的概念,进行信息的储存。
RESTCONF 架构
图中很好的表示了 RESTCONF 协议组成,很形象的指出 RESTCONF = NETCONF / YANG + HTTP(s).
如果拿之前的 NETCONF 协议架构作为对比,RESTCONF 就是将:
- 内容层,同样由 YANG 约束生成。
- RPC 消息层和操作层,换成了 HTTP 的操作层。
- 将 SSH 构成的传输层,换成了 HTTP(s)的传输方式。
RESTCONF VS NETCONF 交互
图中很好的对比了 RESTCONF 和 NETCONF 的交互过程,都是采用了 C/S 架构,在具体组件上:
NETCONF | RESTCONF | |
---|---|---|
客户端 | NETCONF client | HTTP Client |
配置格式由谁约定 | YANG module / XSD | YANG module |
发送内容格式 | XML | XML/JSON |
交互方式 | RPC | HTTP |
传输协议 | SSH | HTTP(s) |
服务端 | NETCONF server | HTTP server |
对于操作来说,将 RPC 操作换成了 HTTP 操作:
RESTCONF 操作
Server 端:打开设备 RESTCONF
# 打开 RESTCONF
restconf-yang
# 查看 RESTCONF 进程
show platform software yang-management
Client 端:
由于已经采用了 REST 风格,可以利用 POSTMAN 等等 HTTP 客户端进行测试。
关于 RESTCONF 具体实现编程化操作和其 URL 的使用是非常重要的一部分,但由于其依赖 YANG 这个概念,这个后面会单独提到,可以参见 YANG 这篇。
总结
这篇文章,耗时很久,查阅了大量资料,完成后真的如释重负一般。
当然对网管协议也有了进一步的理解。
下面做一个简单的总结:
传统 CLI 配置方式,已经无法满足当代网络可编程化的需要,而且在兼容性,易用性,正确率存在着诸多问题,进而网管协议应运而生。
SNMP 作为推出的第一代协议,在一定程度上解决了设备管理的问题。但由于其读多写少的特点,以及在兼容性,效率,以及缺乏事务性的不足,在现网中,一般用其作为设备配置采集或监控的工具。
为了更好的满足网络的需要,第二代协议 NETCONF 出现,由于 NETCONF 天生 RPC 支持事务的特点,再加上 YANG 解决了多厂商命令兼容性的问题,现被广泛使用在各种网管平台,SDN 控制器中。
随后 HTTP REST 风格的普及,IETF 又推出了 RESTCONF 协议,将 NETCONF 和 HTTP 整合在一起,以更为流行的方式,实现对设备的管理。