Windows Server 2003 SNMP 服務安全強化：搭配 IPSec 保護通訊機密性

SNMP 通訊風險

SNMP 訊息以明文傳輸，社群名稱（Community String）相當於密碼，極易被網路監視器截取解碼，導致網路拓撲、設備資訊外洩。

解決方案：IPSec 加密 SNMP 流量

建立 IPSec 原則，強制加密 UDP/TCP 161、162 連接埠（SNMP Agent 與 Trap），確保管理站與代理端通訊機密性與完整性。

建立篩選器清單步驟

1. 開啟「本機安全性原則」→「IP 安全性原則」→右鍵「管理 IP 篩選器清單與篩選器動作」。
2. 「管理 IP 篩選器清單」索引標籤 →「新增」→ 名稱：SNMP 訊息 (161/162)，說明：TCP/UDP 161/162 篩選器。
3. 依序新增四條篩選器（來源：任何 IP，目的地：我的 IP，勾選「鏡像」）：

• UDP 來源連接埠 161 → 目的連接埠 161
• TCP 來源連接埠 161 → 目的連接埠 161
• UDP 來源連接埠 162 → 目的連接埠 162
• TCP 來源連接埠 162 → 目的連接埠 162

4. 完成後按「確定」返回。

建立 IPSec 原則

1. 在「本機電腦上的 IP 安全性原則」右鍵 →「建立 IP 安全性原則」。
2. 依精靈指引，選擇剛建立的篩選器清單，設定驗證方式（Kerberos/憑證/預先共用金鑰），指定「要求安全性」動作。
3. 指派原則生效。

補充建議

• 同時於 SNMP 服務屬性「安全性」索引標籤設定複雜社群名稱，並限制接受 SNMP 封包的來源 IP 位址。
• 定期稽核安全性記錄，偵測異常 SNMP 查詢。