Windows Server 2003 SNMP 服務安全強化：社群名稱、IPsec 封包篩選完整設定

步驟 3：定義篩選器動作 —— 要求安全性

1. 管理篩選器動作 頁籤 → 新增 → 名稱：Require IPsec for SNMP。
2. 動作：協商安全性 → 勾選「接受不安全通訊」取消 → 通訊完整性：SHA1、資料加密：3DES/AES。

步驟 4：建立並指派 IPsec 原則

1. 「本地安全性原則 → IP 安全性原則」右鍵 → 建立 IP 安全性原則 → 名稱：SNMP IPsec Protection。
2. 規則精靈：
   - 此規則適用於：所有網路連線
   - 驗證方法：預先共用金鑰 (輸入強式字串，雙端需同樣設定) 或 **憑證** (企業 CA 環境推薦)。
   - IP 篩選器清單：選 SNMP Ports 161/162。
   - 篩選器動作：選 Require IPsec for SNMP。
3. 右鍵原則 → 指派。

步驟 5：管理主機對應設定 (雙端必做)

管理主機 (如運行 Network Monitor、PRTG、SolarWinds) 需同樣建立 IPsec 原則，規則來源/目的互換，預先共用金鑰相同，並指派啟用。驗證：ipsecmon 或 netsh ipsec dynamic show all 確認 SA (Security Association) 狀態為 Active。

驗證與稽核

• 未授權主機 snmpwalk -v2c -c public target_ip → **Timeout/No Response**。
• 授權主機正確社群名稱 → 正常回傳 MIB 資料。
• Wireshark 捕獲 161/162 埠 → 顯示 **ESP (Encapsulating Security Payload)** 封包，無法解碼明文。
• 事件檢視器 → 安全性記錄 → 稽核「登入事件」與「物件存取」追蹤 SNMP 存取嘗試。

進階建議：升級 SNMPv3

Windows Server 2003 **不內建 SNMPv3** (USM/VACM)。若需用戶級認證 (SHA/MD5) + 加密 (DES/AES) + 存取控制 (VACM)，請部署第三方代理 (如 Net-SNMP) 或升級至 Windows Server 2008 R2+ 內建 SNMPv3 支援。

結語

透過「強式社群名稱 + 來源 IP 限制 + IPsec 加密傳輸」三層防護，可將 Windows Server 2003 SNMP 服務的風險降至可接受等級。長期規劃應納入 SNMPv3 遷移與集中化日誌稽核 (SIEM)。