Win 中配置SNMP服務的網路安全

如何在Windows Server 2003中為“簡單網路管理協議”(SNMP)服務配置網路安全性。

SNMP服務起著代理的作用，它會收集可以向SNMP管理站或控制檯報告的資訊。您可以使用SNMP服務來收集資料，並且在整個公司網路範圍內管理基於Windows Server 2003、Microsoft Windows XP和Microsoft Windows 2000的計算機。

通常，保護SNMP代理與SNMP管理站之間的通訊的方法是：給這些代理和管理站指定一個共享的社群名稱。當SNMP管理站向SNMP服務傳送查詢時，請求方的社群名稱就會與代理的社群名稱進行比較。如果匹配，則表明SNMP管理站已通過身份驗證。如果不匹配，則表明SNMP代理認為該請求是“失敗訪問”嘗試，並且可能會發送一條SNMP陷阱訊息。

SNMP訊息是以明文形式傳送的。這些明文訊息很容易被“Microsoft網路監視器”這樣的網路分析程式擷取並解碼。未經授權的人員可以捕獲社群名稱，以獲取有關網路資源的重要資訊。

“IP安全協議”(IP Sec)可用來保護SNMP通訊。您可以建立保護TCP和UDP埠161和162上的通訊的IP Sec策略，以保護SNMP事務。

建立篩選器列表

要建立保護SNMP訊息的IP Sec策略，先要建立篩選器列表。方法是：

單擊開始，指向管理工具，然後單擊本地安全策略。

展開安全設定，右鍵單擊“本地計算機上的IP安全策略”，然後單擊“管理IP篩選器列表和篩選器操作”。

單擊“管理IP篩選器列表”選項卡，然後單擊新增。

在IP篩選器列表對話方塊中，鍵入SNMP訊息(161/162)（在名稱框中），然後鍵入TCP和UDP埠161篩選器（在說明框中）。

單擊使用“新增嚮導”複選框，將其清除，然後單擊新增。

在“源地址”框（位於顯示的IP篩選器屬性對話方塊的地址選項卡上）中，單擊“任意IP地址”。在“目標地址”框中，單擊我的IP地址。單擊“映象。匹配具有正好相反的源和目標地址的資料包”複選框，將其選中。

單擊協議選項卡。在“選擇協議型別”框中，選擇UDP。在“設定IP協議埠”框中，選擇“從此埠”，然後在框中鍵入161。單擊“到此埠”，然後在框中鍵入161。

單擊確定。

在IP篩選器列表對話方塊中，選擇新增。

在“源地址”框（位於顯示的IP篩選器屬性對話方塊的地址選項卡上）中，單擊“任意IP地址”。在“目標地址”框中，單擊我的IP地址。選中“映象、匹配具有正好相反的源和目標地址的資料包”複選框。

單擊協議選項卡。在“選擇協議型別框中，單擊TCP。在“設定IP協議”框中，單擊“從此埠”，然後在框中鍵入161。單擊“到此埠”，然後在框中鍵入161。

單擊確定。

在IP篩選器列表對話方塊中，單擊新增。

在“源地址”框（位於顯示的IP篩選器屬性對話方塊的地址選項卡上）中，單擊“任意IP地址”。在“目標地址”框中，單擊我的IP地址。單擊“映象，匹配具有正好相反的源和目標地址的資料包”複選框，將其選中。

單擊協議選項卡。在“選擇協議型別”框中，單擊UDP。在“設定IP協議”框中，單擊“從此埠”，然後在框中鍵入162。單擊“到此埠”，然後在框中鍵入162。

單擊確定，在IP篩選器列表對話方塊中，單擊新增。

在“源地址”框（位於顯示的IP篩選器屬性對話方塊的地址選項卡上）中，單擊“任意IP地址”。在“目標地址”框中，單擊我的IP地址。單擊“映象。匹配具有正好相反的源和目標地址的資料包”複選框，將其選中。

單擊協議選項卡。在“選擇協議型別框中，單擊TCP。在“設定IP協議”框中，單擊“從此埠”，然後在框中鍵入162。單擊“到此埠”，然後在框中鍵入162。

單擊確定。

在IP篩選器列表對話方塊中單擊確定，然後單擊“管理IP篩選器列表和篩選器操作”對話方塊中的確定。

建立IPSec策略

要建立IPSec策略來對SNMP通訊強制實施IPSec，請按以下步驟操作：

右鍵單擊左窗格中“本地計算機上的IP安全策略”，然後單擊建立IP安全策略。

“IP安全策略嚮導”啟動。

單擊下一步。

在“IP安全策略名稱”頁上的名稱框中鍵入Secure SNMP。在說明框中，鍵入Force IPSec for SNMP Communications，然後單擊下一步。

單擊“啟用預設響應規則”複選框，將其清除，然後單擊下一步。

在“正在完成IP安全策略嚮導”頁上，確認“編輯屬性”複選框已被選中，然後單擊完成。

在安全“NMP屬性”對話方塊中，單擊使用“新增嚮導”複選框，將其清除，然後單擊新增。

單擊IP“篩選器列表”選項卡，然後單擊SNMP訊息(161/162)。

單擊篩選器操作選項卡，然後單擊需要安全。

單擊身份驗證方法選項卡。預設的身份驗證方法為Kerberos。如果您需要另一種身份驗證方法，則請單擊新增。在新身份驗證方法屬性對話方塊中，從下面的列表中選擇要使用的身份驗證方法，然後單擊確定：

ActiveDirectory預設值（KerberosV5協議）

使用此字串（預共享金鑰）

在新規則屬性對話方塊中，單擊應用，然後單擊確定。

在SNMP“屬性”對話方塊中，確認SNMP“訊息(161/162)”複選框已被選中，然後單擊確定。

在“本地安全設定”控制檯的右窗格中，右鍵單擊安全SNMP規則，然後單擊指定。

在所有執行SNMP服務的基於Windows的計算機上完成此過程。SNMP管理站上也必須配置此IPSec策略。