CN105337767B

CN105337767B - SNMPv2协议下数据配置系统及方法

Info

Publication number: CN105337767B
Application number: CN201510672836.0A
Authority: CN
Inventors: 刘蕴; 王成虎
Original assignee: Shanghai Feixun Data Communication Technology Co Ltd
Current assignee: Huzhou YingLie Intellectual Property Operation Co.,Ltd.
Priority date: 2015-10-16
Filing date: 2015-10-16
Publication date: 2018-10-12
Anticipated expiration: 2035-10-16
Also published as: CN105337767A

Abstract

本发明提供一种SNMPv2协议下数据配置系统及方法，该SNMPv2协议下数据配置方法包括：根据SNMPv2协议形成包括配置变量值的配置报文；于所述配置报文中添加辅助认证变量，而后将所述配置报文下发给SNMP代理端；以及所述SNMP代理端从接收的配置报文中取出辅助认证变量，并对所述辅助认证变量进行认证判断，若通过认证判断则所述SNMP代理端根据所述配置报文中的所述配置变量值进行配置执行，若未通过认证判断则拒绝执行所述配置报文；当所述SNMP代理端从接收的配置报文中未能取出辅助认证变量，则判定为非法配置报文进而返回错误。本发明在SNMPv2协议简单易用的基础上，增加了配置防篡改的功能，提高了配置报文传输的安全性。

Description

SNMPv2协议下数据配置系统及方法

技术领域

本发明涉及网络管理协议领域，特别是涉及一种SNMPv2协议下数据配置系统及方法。

背景技术

SNMP协议(Simple Network Management Protocol，SNMP，简单网络管理协议)是目前最常用的网络设备管理协议，而SNMPv2协议因为其简单易用性，得到大范围的使用；但是因为其明文报文传输的特点，安全性方面有极大隐患。

SNMPv3协议通过添加安全模型，可以提供多方面的安全保障；但是SNMPv3协议开发与使用都比较复杂；该协议已出现多年，目前设备厂商并没有大规模使用。

发明内容

鉴于以上所述现有技术的缺点，本发明的目的在于提供一种SNMPv2协议下数据配置系统及方法，用于解决现有的SNMPv2协议因明文报文传输而存在的安全性方面的隐患和SNMPv3协议开发与使用都比较复杂而没有大规模使用的问题。

为实现上述目的及其他相关目的，本发明提供一种SNMPv2协议下数据配置方法，包括：

根据SNMPv2协议形成包括配置变量值的配置报文；

于所述配置报文中添加辅助认证变量，而后将所述配置报文下发给SNMP代理端；以及

所述SNMP代理端从接收的配置报文中取出辅助认证变量，并对所述辅助认证变量进行认证判断，若通过认证判断则所述SNMP代理端根据所述配置报文中的所述配置变量值进行配置执行，若未通过认证判断则拒绝执行所述配置报文；当所述SNMP代理端从接收的配置报文中未能取出辅助认证变量，则判定为非法配置报文进而返回错误。

优选地，于所述配置报文中添加辅助认证变量，所述辅助认证变量通过如下方法形成：

设置约定变量和约定算法，并将所述的约定变量和约定算法同步至所述SNMP代理端；

通过所述约定算法对所述配置报文中所有的配置变量值进行计算，将计算获得的计算值赋给所述约定变量以形成所述辅助认证变量。

优选地，所述SNMP代理端对所述辅助认证变量进行认证判断包括：

所述SNMP代理端从接收的所述配置报文中获取所有的配置变量值；

根据接收到的所述约定算法计算获取的所有的配置变量值形成计算值，将计算值赋给接收的约定变量形成计算认证值；

将所述计算认证值与从所述配置报文中取出的所述辅助认证变量进行比较，若所述计算认证值与所述辅助认证变量相等则通过认证判断，若所述计算认证值与所述辅助认证变量不相等则未通过认证判断。

优选地，所述约定算法包括加密密钥和加密算法，通过所述加密密钥计算所述配置报文中所有的配置变量值的加密算法值，并对计算结果截取设定位数作为所述计算值。

优选地，于所述配置报文中添加辅助认证变量，包括：

将所述辅助认证变量与所述配置变量值一起封装于SNMPv2协议的协议数据单元，并通过所述协议数据单元发送给所述SNMP代理端。

本发明还提供了一种SNMPv2协议下数据配置系统，包括：

SNMP管理端，根据SNMPv2协议形成具有配置变量值的配置报文，并对所述配置报文中添加辅助认证变量；以及

与所述SNMP管理端通过SNMPv2协议通信连接的SNMP代理端，接收所述SNMP管理端发送的所述配置报文；

其中：

所述SNMP代理端从所述配置报文中取出所述辅助认证变量，进而对所述辅助认证变量进行认证判断，若通过认证判断则所述SNMP代理端根据所述配置报文中的所述配置变量值进行配置执行，若未通过认证判断则拒绝执行所述配置报文；

若所述SNMP代理端从接收的配置报文中未能取出辅助认证变量，则判定为非法配置报文进而返回错误。

优选地，所述SNMP管理端内设有计算模块用于形成所述辅助认证变量，所述计算模块内存储有约定变量和约定算法，所述SNMP管理端将所述约定变量和所述约定算法同步至所述SNMP代理端；

所述计算模块通过所述约定算法对所述配置报文中所有的配置变量值进行计算，将计算获得的计算值赋给所述约定变量进而形成所述辅助认证变量。

优选地，所述SNMP代理端包括认证模块，所述认证模块内存储有所述SNMP管理端同步发送的所述约定变量和所述约定算法，通过所述认证模块对从所述配置报文中取出的所述辅助认证变量进行认证判断；

所述认证模块根据存储的所述约定算法计算从所述配置报文中获取的所有的配置变量值形成计算值，将计算值赋给存储的所述约定变量形成计算认证值；

优选地，所述SNMP管理端将所述辅助认证变量与所述配置变量值一起封装于SNMPv2协议的协议数据单元，并通过所述协议数据单元发送给所述SNMP代理端。

如上所述，本发明的SNMPv2协议下数据配置系统及方法，具有以下有益效果：

本发明的SNMPv2协议下数据配置系统及方法，在SNMPv2协议简单易用的基础上，增加了配置防篡改的功能，提高了配置报文传输的安全性，同时还避免了SNMPv3协议复杂的开发与使用，具有较好的普及性。

附图说明

图1显示为本发明SNMPv2协议下数据配置系统的框图。

图2显示SNMPv2协议下数据配置系统及方法中配置报文的结构图。

图3显示SNMPv2协议下数据配置方法的流程图。

元件标号说明

10 SNMP管理端

101 配置报文

1011 第一配置变量值

1012 第二配置变量值

101n 第n配置变量值

101m 辅助认证变量

20 SNMP代理端

201 执行反馈

S11～S18 步骤S11～S18

具体实施方式

以下通过特定的具体实例说明本发明的实施方式，本领域技术人员可由本说明书所揭露的内容轻易地了解本发明的其他优点与功效。本发明还可以通过另外不同的具体实施方式加以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本发明的精神下进行各种修饰或改变。需说明的是，在不冲突的情况下，以下实施例及实施例中的特征可以相互组合。

需要说明的是，以下实施例中所提供的图示仅以示意方式说明本发明的基本构想，遂图式中仅显示与本发明中有关的组件而非按照实际实施时的组件数目、形状及尺寸绘制，其实际实施时各组件的型态、数量及比例可为一种随意的改变，且其组件布局型态也可能更为复杂。

请参阅图1，本发明提供一种SNMPv2协议下数据配置系统及方法，在不更改SNMPv2报文结构并保持SNMPv2协议简单易用的特点的情况下，通过添加辅助认证变量节点，使用SNMP管理端与代理端约定好的密钥及加密算法，在SNMP管理端针对每一条配置报文生成辅助认证变量节点值，而在SNMP代理端校验辅助认证变量节点值，从而阻止用户非法篡改网络设备的配置。本发明主要解决非法配置的问题，并不涉及用户访问认证的问题，本发明主要针对配置报文在传输过程中被篡改而存在安全隐患，在SNMP管理端对配置报文增加辅助认证变量，在SNMP代理端对配置报文中的辅助认证变量进行认证，从而识别报文是否被篡改，避免用户非法窜改网络设备配置，提高SNMPv2协议下数据配置的安全性。下面结合附图对本发明SNMPv2协议下数据配置系统及方法进行说明。

如图1所示，本发明SNMPv2协议下数据配置系统包括SNMP管理端10和SNMP代理端20，SNMP管理端10对SNMP代理端20进行网络设备配置，SNMP管理端10通过向SNMP代理端20发送配置报文101，对SNMP代理端20进行设备配置，SNMP代理端20接收到配置报文101后根据配置报文101内的配置变量值进行配置执行，然后将执行反馈201回送给SNMP管理端10。现有的SNMPv2协议采用明文报文传输，SNMP管理端10和SNMP代理端20之间的配置报文很容易被篡改，安全性低，本发明在SNMP管理端10根据SNMPv2协议形成具有配置变量值的配置报文后，对配置报文添加辅助认证变量，结合图2所示，本发明SNMP管理端10处的配置报文101包括第一配置变量值1011、第二配置变量值1012、第n配置变量值101n、以及辅助认证变量101m，其中n为正整数，在一条配置报文101中可以绑定一个或者多个配置变量值，这些绑定的配置变量值中存有需要配置的网络设备数据，本发明的SNMP管理端10在配置报文101中添加一个辅助认证变量101m，该辅助认证变量101m中存放实际下发的配置变量值的认证信息。本发明的SNMP代理端20接收到配置报文101后，从该接收到的配置报文101中取出辅助认证变量101m，进而对辅助认证变量101m进行认证判断，若通过认证判断则SNMP代理端20根据配置报文101中的配置变量值进行配置执行；若未通过认证判断则SNMP代理端20拒绝执行配置报文101。若SNMP代理端20从接收的配置报文101中未能取出辅助认证变量101m，说明该配置报文101中不含有辅助认证变量101m，则SNMP代理端20将该接收的配置报文101判定为非法配置报文进而返回错误给SNMP管理端10。

本发明中的SNMP管理端10和SNMP代理端20基于SNMPv2协议下进行数据配置时，需要在配置报文中添加辅助认证变量，根据辅助认证变量可以判断该配置报文是否被篡改，提高了数据配置的安全性。

本发明中的SNMP管理端10内设有计算模块，用于形成辅助认证变量101m，计算模块内存储有约定变量和约定算法，SNMP管理端10将该约定变量和约定算法同步至SNMP代理端20。SNMP管理端10的计算模块通过约定算法对配置报文101中的所有的配置变量值进行计算，将计算获得的计算值赋给约定变量进而形成辅助认证变量101m。

本发明中的SNMP代理端20包括有认证模块，该认证模块用于对接收的配置报文101中的辅助认证变量101m进行认证判断，该认证模块内存储有SNMP管理端10同步发送的约定变量和约定算法，认证模块对辅助认证变量101m进行认证判断包括：认证模块先提取出接收的配置报文101中所有的配置变量值，再根据存储的约定算法计算从接收的配置报文101中取出的所有的配置变量值以形成计算值，将该计算值赋给存储的约定变量形成计算认证值，而后比较该计算认证值与从接收的配置报文101中取出的辅助认证变量101m，若计算认证值与辅助认证变量101m相等则通过认证判断；若计算认证值与辅助认证变量101m不相等则未通过认证判断。

SNMP管理端10和SNMP代理端20利用相同的约定变量和约定算法形成辅助认证变量和计算认证值，SNMP管理端10的辅助认证变量是基于发送前的配置报文中的所有配置变量值计算形成的，而SNMP代理端20的计算认证值是基于发送后被接收的配置报文中的所有配置变量值计算形成的，若配置报文中的配置变量值未被篡改，则计算认证值与辅助认证变量应该相等，从而有效及时发现配置数据在SNMPv2协议通信传输下是否被篡改，提高了安全性。

上述的约定算法包括加密密钥和加密算法，通过加密密钥计算配置报文中所有的配置变量值的加密算法值，并对计算结构截取设定位数作为计算值。再将该计算值赋给约定变量后就形成了辅助认证变量或者计算认证值。该加密算法可以采用SHA-1算法，还可以采用其他算法，下面一个实例来说明辅助认证变量的形成。

设定约定变量为：1.3.6.1.4.1.33619.1.1，加密算法为HMAC-SHA-512，加密密钥为avoidIllegalChange。

当前用户需要配置3个变量，三个配置变量值如下：

配置变量值1，OID＝1.3.6.1.4.1.33619.2.1，type＝整型，value＝100；

配置变量值2，OID＝1.3.6.1.4.1.33619.2.2，type＝字符串型，value＝“abcdef”

配置变量值3，OID＝1.3.6.1.4.1.33619.2.3，type＝IP地址，value＝192.168.1.1

上面的三个配置变量值就是当前形成的配置报文中所有的配置变量值。

本发明的SNMP管理者10需要做以下工作：

将用户真正需要配置的3个配置变量值转为字符串型并拼接为一个长串：“100abcdef192.168.1.1”；

使用密钥avoidIllegalChange计算字符串长串的HMAC-SHA-512值，并取其前64位，结果值为：75e0a6a0cbc1caac485e1edfcca537a16bb94ce53887f690ce1bae9e4b47debb。

将该结果值赋给约定变量，为：

约定变量,OID＝1.3.6.1.4.1.33619.1.1，type＝字符串型，value＝“75e0a6a0cbc1caac485e1edfcca537a16bb94ce53887f690ce1bae9e4b47debb”。这样将结果值赋给约定变量后就形成了辅助认证变量101m。若上述做法在SNMP代理端20处进行，则最后获取的就是计算认证值。

本发明的SNMP管理端10将辅助认证变量与配置变量值一起封装于SNMPv2协议的协议数据单元，并通过协议数据单元发送给SNMP代理端20。以上述实例来说，SNMP管理端10将配置变量值1，配置变量值2，配置变量值3，赋给结果值的约定变量一起封装到SNMPv2协议的PDU(协议数据单元)中，并发送给SNMP代理端20。

本发明提供一种SNMPv2协议下数据配置方法，下面对本发明一种SNMPv2协议下数据配置方法进行说明。

如图3所示，本发明SNMPv2协议下数据配置方法包括以下步骤：

执行步骤S11，根据SNMPv2协议形成包括配置变量值的配置报文；一个配置报文中可以绑定一个配置变量值，还可以绑定多个配置变量值，在配置变量值中存有需要配置的网络设备数据。接着执行步骤S12。

执行步骤S12，对配置报文添加辅助认证变量并将配置报文下发给SNMP代理端；该辅助认证变量用于存放实际下发的配置变量值的认证信息，通过该辅助认证变量对配置报文进行认证，以发现配置报文是否被篡改，提高配置报文的安全性。接着执行步骤S13。

执行步骤S13，判断所述配置报文中是否有辅助认证变量；SNMP代理端接收到该配置报文后，对配置报文中的辅助认证变量进行提取，若该配置报文中没有辅助认证变量则接着执行步骤S17。若该配置报文中含有辅助认证变量则接着执行步骤S14。

执行步骤S14，SNMP代理端从接收的配置报文中取出辅助认证变量；SNMP代理端将接收的配置报文中的辅助认证变量取出用于对该辅助认证变量进行认证判断。接着执行步骤S15。

执行步骤S15，判断辅助认证变量是否通过认证判断；SNMP代理端对取出的辅助认证变量进行认证判断，若通过认证判断则接着执行步骤S16，若未通过认证判断则接着执行步骤S18。

执行步骤S16，SNMP代理端执行所述配置报文；配置报文中的辅助认证变量通过认证判断说明该配置报文中的配置变量值未被篡改，所以SNMP代理端执行配置报文中的所有的配置变量值，执行完成后将执行反馈给SNMP管理端。

执行步骤S17，SNMP代理端判定所述配置报文为非法配置报文并返回错误；此时在配置报文中未含有辅助认证变量，这样就无法确定该配置报文是否有被篡改，所以SNMP代理端将该配置报文判定为非法配置报文并返回错误给SNMP管理端。

执行步骤S18，SNMP代理端拒绝执行所述配置报文；此时配置报文中的辅助认证变量未通过认证，也就是配置报文中的配置变量值在传输中被篡改，SNMP代理端拒绝执行该被篡改的配置报文，进而将该结果反馈给SNMP管理端。

在配置报文中添加辅助认证变量的过程如下：设置约定变量和约定算法，将该约定变量和约定算法同步至SNMP代理端，然后通过约定算法对配置报文中所有的配置变量值进行计算，将计算获得的计算值赋给约定变量就形成了辅助认证变量。

在SNMP代理端对辅助认证变量进行认证判断的过程如下：SNMP代理端从接收的配置报文中获取所有的配置变量值；根据接收的同步发送的约定算法计算获取的所有的配置变量值形成计算值，将计算值赋给接收的约定变量形成计算认证值；将计算认证值与从所述配置报文中取出的所述辅助认证变量进行比较，若计算认证值与辅助认证变量相等则通过认证判断，若计算认证值与辅助认证变量不相等则未通过认证判断。

本发明数据配置方法中的约定算法包括加密密钥和加密算法，通过加密密钥计算配置报文中所有的配置变量值的加密算法值，并对计算结构截取设定位数作为计算值。再将该计算值赋给约定变量后就形成了辅助认证变量或者计算认证值。下面一个实例来说明辅助认证变量的形成。

设定约定变量为：1.3.6.1.4.1.33619.1.1，加密算法为HMAC-SHA-512，加密密钥为avoidIllegalChange。该部分信息同步至SNMP代理端。

当前用户需要配置3个变量，三个配置变量值如下：

配置变量值1，OID＝1.3.6.1.4.1.33619.2.1，type＝整型，value＝100；

然后将用户真正需要配置的3个配置变量值转为字符串型并拼接为一个长串：“100abcdef192.168.1.1”；

将该结果值赋给约定变量，为：

约定变量,OID＝1.3.6.1.4.1.33619.1.1，type＝字符串型，value＝“75e0a6a0cbc1caac485e1edfcca537a16bb94ce53887f690ce1bae9e4b47debb”。这样将结果值赋给约定变量后就形成了辅助认证变量101m。若上述做法在SNMP代理端处进行，则最后获取的就是计算认证值。

本发明的配置方法利用相同的约定变量和约定算法形成辅助认证变量和计算认证值，辅助认证变量是基于发送前的配置报文中的所有配置变量值计算形成的，而SNMP代理端的计算认证值是基于发送后被接收的配置报文中的所有配置变量值计算形成的，若配置报文中的配置变量值未被篡改，则计算认证值与辅助认证变量应该相等，从而有效及时发现配置数据在SNMPv2协议通信传输下是否被篡改，提高了安全性。

在配置报文中添加辅助认证变量包括：将辅助认证变量与配置变量值一起封装于SNMPv2协议的协议数据单元，并通过协议数据单元发送给所述SNMP代理端。以上述实例来说，将配置变量值1，配置变量值2，配置变量值3，赋给结果值的约定变量一起封装到SNMPv2协议的PDU(协议数据单元)中，并发送给SNMP代理端。

综上所述，本发明SNMPv2协议下数据配置防篡改的系统及方法，增加了配置防篡改功能，既保留了SNMPv2简单易用，又具有一定的安全保障，防止用户非法窜改配置。所以，本发明有效克服了现有技术中的种种缺点而具高度产业利用价值。

上述实施例仅例示性说明本发明的原理及其功效，而非用于限制本发明。任何熟悉此技术的人士皆可在不违背本发明的精神及范畴下，对上述实施例进行修饰或改变。因此，举凡所属技术领域中具有通常知识者在未脱离本发明所揭示的精神与技术思想下所完成的一切等效修饰或改变，仍应由本发明的权利要求所涵盖。

Claims

1.一种SNMPv2协议下数据配置方法，其特征在于，包括：

根据SNMPv2协议形成包括配置变量值的配置报文；

所述SNMP代理端从接收的配置报文中取出辅助认证变量，并对所述辅助认证变量进行认证判断，若通过认证判断则所述SNMP代理端根据所述配置报文中的所述配置变量值进行配置执行，若未通过认证判断则拒绝执行所述配置报文；当所述SNMP代理端从接收的配置报文中未能取出辅助认证变量，则判定为非法配置报文进而返回错误；

于所述配置报文中添加辅助认证变量，所述辅助认证变量通过如下方法形成：

2.如权利要求1所述的SNMPv2协议下数据配置方法，其特征在于，所述SNMP代理端对所述辅助认证变量进行认证判断包括：

3.如权利要求1或2所述的SNMPv2协议下数据配置方法，其特征在于，所述约定算法包括加密密钥和加密算法，通过所述加密密钥计算所述配置报文中所有的配置变量值的加密算法值，并对计算结果截取设定位数作为所述计算值。

4.如权利要求1所述的SNMPv2协议下数据配置方法，其特征在于，于所述配置报文中添加辅助认证变量，包括：

5.一种SNMPv2协议下数据配置系统，其特征在于，包括：

其中：

若所述SNMP代理端从接收的配置报文中未能取出辅助认证变量，则判定为非法配置报文进而返回错误；

所述SNMP管理端内设有计算模块用于形成所述辅助认证变量，所述计算模块内存储有约定变量和约定算法，所述SNMP管理端将所述约定变量和所述约定算法同步至所述SNMP代理端；

6.如权利要求5所述的SNMPv2协议下数据配置系统，其特征在于，所述SNMP代理端包括认证模块，所述认证模块内存储有所述SNMP管理端同步发送的所述约定变量和所述约定算法，通过所述认证模块对从所述配置报文中取出的所述辅助认证变量进行认证判断；

7.如权利要求5或6所述的SNMPv2协议下数据配置系统，其特征在于，所述约定算法包括加密密钥和加密算法，通过所述加密密钥计算所述配置报文中所有的配置变量值的加密算法值，并对计算结果截取设定位数作为所述计算值。

8.如权利要求5所述的SNMPv2协议下数据配置系统，其特征在于，所述SNMP管理端将所述辅助认证变量与所述配置变量值一起封装于SNMPv2协议的协议数据单元，并通过所述协议数据单元发送给所述SNMP代理端。