问
MSR3600路由器SNMP
7小时前提问
- 0关注
- 0收藏，26浏览
zhiliao_Gixe
五段
结论：仅配置snmp-agent acl 2800无法让公网扫描不到161端口，仅能实现非法源的SNMP请求无法读取/修改设备信息，公网端口扫描仍会判定161端口处于开放状态。
原因：MSR3600默认SNMP服务全局监听所有IP的161端口，SNMP关联的ACL仅对合法格式的SNMP协议报文做权限校验，设备收到公网发来的161端口UDP探测包时不会回应ICMP端口不可达，扫描器会识别端口开放。
正确规避方案：
1. 限制SNMP仅在管理侧地址监听：配置命令snmp-agent listen address 你的管理侧接口IP，公网IP将不会监听161端口。
2. 在公网出接口的入方向配置包过滤，用ACL直接拒绝目的端口为161的UDP报文，探测包被直接丢弃，扫描器会判定端口关闭。
原因：MSR3600默认SNMP服务全局监听所有IP的161端口，SNMP关联的ACL仅对合法格式的SNMP协议报文做权限校验，设备收到公网发来的161端口UDP探测包时不会回应ICMP端口不可达，扫描器会识别端口开放。
正确规避方案：
1. 限制SNMP仅在管理侧地址监听：配置命令snmp-agent listen address 你的管理侧接口IP，公网IP将不会监听161端口。
2. 在公网出接口的入方向配置包过滤，用ACL直接拒绝目的端口为161的UDP报文，探测包被直接丢弃，扫描器会判定端口关闭。
暂无评论
接给结论
1、你现有配置 snmp-agent community read acl 2800 作用是什么？
只做了一件事：只允许 10.10.10.10 这个 IP 读取 SNMP，其他所有 IP 拒绝接入 SNMP 会话
但是！只能控制「能不能连上、能不能读取 SNMP 数据」，不能隐藏 161 端口；公网依然能扫描到 161 端口开放。
2、再加一条 snmp-agent acl 2800 能不能防公网扫描 161？
不能完全避免，但比现在强一点
snmp-agent acl 2800是全局 SNMP 访问控制，所有 SNMP 请求匹配 ACL- 依然是：只放行指定管理 IP，其他拒绝响应
- 但路由器公网 IP 的 161 端口依然会被端口扫描扫出来，状态是
open/filtered扫描器能看到端口开着，只是发包过去无应答、拿不到 SNMP 信息
核心原理
- SNMP ACL 只是应用层访问控制只管控：谁能跟我 161 端口建立交互、读 MIB不做端口屏蔽、不做防火墙拦截，端口本身还是对外监听。
- 端口扫描原理扫描只是发 UDP 161 探测包，路由器只要公网接口允许入站 UDP 161，扫描器就能探测到端口存活，哪怕你 SNMP ACL 拒绝了对方，扫描依然能扫到端口。
为什么你现在公网能扫到 161
MSR3600 默认：
- 公网接口没有防火墙策略过滤 UDP 161
- 设备本身全局监听 0.0.0.0:161
- SNMP ACL 只做应用层鉴权，不封端口
所以扫描器一扫就命中。
真正能彻底防扫描、隐藏 161 端口的正确方案
必须在公网接口入方向用 ACL / 防火墙丢弃 UDP 161
方案 1：在公网接口入站过滤（推荐，根治）
plaintext
acl number 3000
rule permit udp source 10.10.10.10 0 destination-port eq 161
rule deny udp destination-port eq 161
然后在公网外网口：
plaintext
interface GigabitEthernet x/x/x
packet-filter 3000 inbound
效果：
- 只允许你的管理 IP 访问 161
- 所有公网 IP 直接被防火墙丢弃，扫描完全扫不到 161 端口
方案 2：snmp-agent 绑定只在内网 / 管理 VPN 实例监听
配置 SNMP 只监听内网地址、不监听公网 IP：
plaintext
snmp-agent bind vpn-instance mgmt
让 SNMP 只在管理 VRF 里生效，公网 IP 完全不监听 161，彻底隐身。
总结回答你的疑问
- 只配
snmp-agent community acl或再加snmp-agent acl 2800：✅ 能阻止公网设备读取 SNMP 数据❌ 不能防止公网扫描器扫到 161 端口开放 - 想彻底不让公网扫到 161：
暂无评论
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
暂无评论