Konfigurere Nettverkssikkerhet for SNMP-tjenesten i Windows Server 2003

Denne artikkelen beskriver hvordan du trinn for trinn konfigurerer nettverkssikkerhet for SNMP-tjenesten (Simple Network Management Protocol) i Windows Server 2003.

SNMP-tjenesten fungerer som en agent som samler informasjon som kan rapporteres til SNMP-administrasjonsstasjoner eller -konsoller. Du kan bruke SNMP-tjenesten til å samle data og administrere datamaskiner som kjører Windows Server 2003, Microsoft Windows XP og Microsoft Windows 2000 i et firmanettverk.

Kommunikasjon mellom SNMP-agenter og -administrasjonsstasjoner er vanligvis sikret ved at det tilordnes et delt gruppenavn til agentene og administrasjonsstasjonene. Når en SNMP-administrasjonsagent sender en spørring til SNMP-tjenesten, sammenlignes gruppenavnet til anmoderen med gruppenavnet til agenten. Hvis de er identiske, blir SNMP-administrasjonsstasjonen godkjent. Hvis de ikke er identiske, vurderer SNMP-agenten forespørselen som et mislykket forsøk på tilgang, og kan sende en SNMP-fellemelding.

SNMP-meldingene sendes i klartekst. Disse klartekstmeldingene fanges enkelt opp og dekodes av nettverksanalysatorer, for eksempel Microsoft Network Monitor. Gruppenavn kan hentes og brukes av uautoriserte personer til å få verdifull informasjon om nettverksressurser.

IPSec (IP Security Protocol) kan brukes til å beskytte SNMP-kommunikasjon. Du kan opprette IPSec-policyer for å sikre kommunikasjon via TCP- og UDP port 161 og 162 for å sikre SNMP-transaksjoner.

Opprette en filterliste

Når du skal opprette en IPSec-policy for å sikre SNMP-meldinger, må du først opprette filterlisten. Når du skal gjøre dette, bruker du følgende fremgangsmåte:

1. Klikk Start, velg Administrative verktøy og klikk deretter Lokal sikkerhetspolicy.
2. Utvid Sikkerhetsinnstillinger, høyreklikk IP Security Policies on Local Computer og klikk deretter Behandle IP-filterlister og filterhandlinger.
3. Klikk kategorien Behandle IP-filterlister, og klikk deretter Legg til.
4. I dialogboksen IP-filterliste skriver du inn SNMP Messages (161/162) i Navn-boksen. Deretter skriver du inn Filter for TCP and UDP ports 161 i Beskrivelse-boksen.
5. Fjern merket for Bruk veiviser for å legge til, og klikk deretter Legg til.
6. I Kildeadresse-boksen i kategorien Adresser i dialogboksen IP Filter Properties som vises, klikker du Any IP address. I Måladresse-boksen klikker du My IP Address. Merk av for Mirrored. Match pockets med avmerkingsboksen for kilde- og målardresse som står rett overfor hverandre.
7. Klikk kategorien Protokoll. Klikk UDP i boksen Velg en protokolltype. Klikk From this port i boksen Angi IP-protokollport, og skriv deretter inn 161 i boksen. Klikk To this port, og skriv deretter inn 161 i boksen.
8. Klikk OK.
9. Klikk Legg til i dialogboksen IP-filterliste.
10. I Kildeadresse-boksen i kategorien Adresser i dialogboksen IP Filter Properties som vises, klikker du Any IP address. I Måladresse-boksen klikker du My IP Address. Merk av for Mirrored. Match pockets med avmerkingsboksen for kilde- og målardresse som står rett overfor hverandre.
11. Klikk kategorien Protokoll. Klikk TCP i boksen Velg en protokolltype. Klikk From this port i boksen Angi IP-protokollport, og skriv deretter inn 161 i boksen. Klikk To this port, og skriv deretter inn 161 i boksen.
12. Klikk OK.
13. Klikk Legg til i dialogboksen IP-filterliste.
14. I Kildeadresse-boksen i kategorien Adresser i dialogboksen IP Filter Properties som vises, klikker du Any IP address. I Måladresse-boksen klikker du My IP Address. Merk av for Mirrored. Match pockets med avmerkingsboksen for kilde- og målardresse som står rett overfor hverandre.
15. Klikk kategorien Protokoll. Klikk UDP i boksen Velg en protokolltype. Klikk From this port i boksen Angi IP-protokollport, og skriv deretter inn 162 i boksen. Klikk To this port, og skriv deretter inn 162 i boksen.
16. Klikk OK.
17. Klikk Legg til i dialogboksen IP-filterliste.
18. I Kildeadresse-boksen i kategorien Adresser i dialogboksen IP Filter Properties som vises, klikker du Any IP address. I Måladresse-boksen klikker du My IP Address. Merk av for Mirrored. Match pockets med avmerkingsboksen for kilde- og målardresse som står rett overfor hverandre.
19. Klikk kategorien Protokoll. Klikk TCP i boksen Velg en protokolltype. Klikk From this port i boksen Angi IP-protokollport, og skriv deretter inn 162 i boksen. Klikk To this port, og skriv deretter inn 162 i boksen.
20. Klikk OK.
21. Klikk OK i dialogboksen IP-filterliste, og klikk deretter OK i dialogboksen Manage IP filters lists and filter actions.

Opprette en IPSec-policy

Følg disse trinnene når du skal opprette IPSec-policyen for å tvinge IPSec for SNMP-kommunikasjon:

1. Høyreklikk IP Security Policies on Local Computer i den venstre ruten, og klikk deretter Opprett IP-sikkerhetspolicy.
   
   Veiviser for IP-sikkerhetspolicy starter.
2. Klikk Neste.
3. Skriv inn Secure SNMP i Navn-boksen på siden Policynavn for IP-sikkerhet. Skriv inn Force IPSec for SNMP Communications i Beskrivelse-boksen, og klikk deretter Neste.
4. Fjern merket for Aktiver regelen for standardsvar, og klikk deretter Neste.
5. Bekreft at det er merket av for Rediger egenskaper på siden Fullfører veiviseren for IP-sikkerhetspolicy, og klikk deretter Fullfør.
6. Fjern merket for Bruk veiviser for å legge til i dialogboksen Secure SNMP Properties, og klikk deretter Legg til.
7. Klikk kategorien IP-filterlister, og klikk deretter SNMP Messages (161/162).
8. Klikk kategorien Filterhandling, og klikk deretter Krev sikkerhet.
9. Klikk kategorien Godkjenningsmetoder. Kerberos er standard godkjenningsmetode. Hvis du må ha alternative godkjenningsmetoder, klikker du Legg til. Velg godkjenningsmetoden som du ønsker, i følgende liste i dialogboksen New Authentication Method Properties, og klikk deretter OK:
   • Active Directory-standard (Kerberos V5-protokoll)
   • Bruk et sertifikat fra sertifiseringsinstansen
   • Bruk følgende streng (forhåndsdelt nøkkel)
10. Klikk Bruk i dialogboksen Nye regelegenskaper, og klikk deretter OK.
11. I dialogboksen SNMP Properties bekrefter du at det er merket av for SNMP Messages (161/162), og klikk deretter OK.
12. Høyreklikk Secure SNMP-regelen i den høyre ruten i konsollen Lokale sikkerhetsinnstillinger, og klikk deretter Tilordne.

Fullfør denne fremgangsmåten på alle Windows-baserte datamaskiner som kjører SNMP-tjenesten. Denne IPSec-policyen må også konfigureres på SNMP-administrasjonsstasjonen.

Hvis du vil ha mer informasjon, kan du klikke følgende artikkelnummer for å vise artikkelen i Microsoft Knowledge Base: