Windows Server 2003 以 IPsec 保護 SNMP 通訊安全設定教學

風險背景

SNMP 訊息以明文傳輸，社群名稱易遭網路擷取工具 (如 Network Monitor) 竊取，導致網路拓撲、設定等敏感資訊外洩。單純依靠社群名稱比對無法防禦竊聽與重播攻擊。

解決方案：IPsec 強制加密 SNMP 流量

建立 IPsec 原則，針對 UDP/TCP 161 (SNMP 查詢) 與 162 (SNMP Trap) 強制要求安全關聯 (SA)，確保機密性、完整性與驗證。

操作步驟

第一階段：建立 IP 篩選器清單

1. 執行 secpol.msc → 「本機原則」→ 「IP 安全性原則」→ 右鍵「管理 IP 篩選器清單和篩選器動作」。
2. 「管理 IP 篩選器清單」頁籤 → 「新增」→ 名稱：SNMP 訊息 (161/162)，說明：TCP/UDP 連接埠 161/162 篩選器。
3. 清除「使用新增精靈」→ 連續新增四個篩選器（來源：任何 IP，目的地：我的 IP，勾選「鏡像」）：

第二階段：建立 IPsec 原則

1. 在「本機電腦上的 IP 安全性原則」右鍵 → 「建立 IP 安全性原則」→ 名稱：Secure SNMP，說明：Force IPSec for SNMP Communications。
2. 清除「啟用預設回應規則」。
3. 完成精靈時勾選「編輯內容」→ 「新增」規則。
4. 「IP 篩選器清單」選擇 SNMP 訊息 (161/162)。
5. 「篩選器動作」選擇 要求安全性。
6. 「驗證方法」：預設 Kerberos V5（網域環境），或預先共用金鑰（工作群組/跨網域）。
7. 確定套用，並在右側清單右鍵 Secure SNMP → 「指派」。

第三階段：部署至所有 SNMP 代理程式與管理站

在每台執行 SNMP 服務的 Windows 電腦及 SNMP 管理主控台電腦上重複上述原則建立與指派，確保雙向通訊均受保護。

驗證與維護

• 使用 ipseccmd 或「IP 安全性監視器」確認 SA 建立狀態。
• 定期更換預先共用金鑰（若使用），並稽核事件記錄中的 IPsec 失敗項目。
• 注意：IPsec 會增加少量 CPU 開銷與延遲，高頻 SNMP 輪詢環境建議評估效能影響。

結語

透過 IPsec 封裝 SNMP 流量，可有效防範明文社群名稱外洩與封包竄改，是保護網路管理平面資訊安全的必要措施。