通常，這是通過(guò)配置 snmpd.conf 文件中的 rocommunity（只讀團(tuán)體號(hào)）或 rwcommunity（讀寫團(tuán)體號(hào)）指令來(lái)實(shí)現(xiàn)的。

方法一：配置 snmpd.conf 文件（推薦且標(biāo)準(zhǔn)的方法）

這是最常用和靈活的方法。

1. 安裝 SNMP 服務(wù)（如果尚未安裝）

# Ubuntu/Debian
sudo apt update && sudo apt install snmpd snmp

# CentOS/RHEL/Fedora
sudo yum install net-snmp net-snmp-utils  # 或者使用 dnf

2. 備份原始配置文件（好習(xí)慣）

sudo cp /etc/snmp/snmpd.conf /etc/snmp/snmpd.conf.bak

3. 編輯 SNMP 主配置文件

使用您喜歡的編輯器（如 vim, nano）打開配置文件：

sudo vim /etc/snmp/snmpd.conf

4. 配置訪問(wèn)控制規(guī)則

在配置文件中，找到或添加 rocommunity 或 rwcommunity 指令。其基本語(yǔ)法是：

rocommunity [團(tuán)體號(hào)] [源地址限制]
rwcommunity [團(tuán)體號(hào)] [源地址限制]

• rocommunity: 定義只讀訪問(wèn)的團(tuán)體號(hào)。
• rwcommunity: 定義讀寫訪問(wèn)的團(tuán)體號(hào)（慎用，風(fēng)險(xiǎn)高）。
• [團(tuán)體號(hào)]: 您設(shè)置的密碼，例如 public（強(qiáng)烈建議修改）。
• [源地址限制]: 用于限制源 IP 或網(wǎng)絡(luò)。

配置示例：

示例 1：允許單個(gè) IP 地址訪問(wèn)

允許 IP 地址 192.168.1.100 使用團(tuán)體號(hào) my_private_ro_community 進(jìn)行只讀訪問(wèn)。

rocommunity my_private_ro_community 192.168.1.100

示例 2：允許一個(gè)網(wǎng)段訪問(wèn)

允許網(wǎng)絡(luò) 192.168.1.0/24（即 192.168.1.1 到 192.168.1.254）使用團(tuán)體號(hào) my_private_ro_community 進(jìn)行訪問(wèn)。

rocommunity my_private_ro_community 192.168.1.0/24

示例 3：允許多個(gè)源（使用多條指令）
允許管理服務(wù)器 192.168.1.50 和監(jiān)控服務(wù)器 192.168.1.51 訪問(wèn)。

rocommunity my_private_ro_community 192.168.1.50
rocommunity my_private_ro_community 192.168.1.51

示例 4：使用 IPv6 地址

rocommunity my_private_ro_community 2001:db8::1/128

5. （可選但強(qiáng)烈推薦）修改默認(rèn)團(tuán)體號(hào)并限制默認(rèn)訪問(wèn)

為了提高安全性，您應(yīng)該注釋掉或刪除任何寬泛的、無(wú)限制的 community 指令。找到類似下面的行并處理：

# 注釋掉或刪除這行，它允許任何來(lái)源的訪問(wèn)
# rocommunity public

# 或者，更安全的方法是，將它限制為本地環(huán)回接口
rocommunity public 127.0.0.1
rocommunity my_private_ro_community 192.168.1.100

6. 重啟 SNMP 服務(wù)使配置生效

# Ubuntu/Debian (使用 systemd)
sudo systemctl restart snmpd

# CentOS/RHEL 7+ (使用 systemd)
sudo systemctl restart snmpd

# 舊版本 SysV Init
sudo service snmpd restart

7. 驗(yàn)證配置

從被允許的客戶端測(cè)試訪問(wèn)：

# 語(yǔ)法：snmpget -v [版本] -c [團(tuán)體號(hào)] [目標(biāo)主機(jī)] [OID]
snmpget -v 2c -c my_private_ro_community your_linux_server_ip sysDescr.0

從被拒絕的客戶端測(cè)試（應(yīng)該失敗）：

snmpget -v 2c -c my_private_ro_community your_linux_server_ip sysDescr.0
# 預(yù)期輸出：Timeout: No Response from your_linux_server_ip

方法二：使用 iptables 防火墻（作為額外防線）

雖然 snmpd.conf 是主要的控制方法，但使用系統(tǒng)防火墻提供第二層保護(hù)是一個(gè)非常好的實(shí)踐。SNMP 默認(rèn)使用 UDP 161 端口。

1. 檢查防火墻規(guī)則

sudo iptables -L -n -v | grep 161
# 或者使用 ufw (Ubuntu)
sudo ufw status numbered

2. 配置 iptables 規(guī)則（示例）

允許特定 IP 訪問(wèn) SNMP 端口：

# 允許 192.168.1.100 訪問(wèn) UDP 161
sudo iptables -A INPUT -p udp -s 192.168.1.100 --dport 161 -j ACCEPT

# 默認(rèn)拒絕所有其他到 161 端口的訪問(wèn)
# (注意：確保這條規(guī)則在允許SSH等規(guī)則之后，以免把自己鎖在外面)
sudo iptables -A INPUT -p udp --dport 161 -j DROP

使用 UFW (Ubuntu/Debian)：

# 允許來(lái)自特定IP的SNMP
sudo ufw allow from 192.168.1.100 to any port 161 proto udp

# 拒絕所有其他到161端口的訪問(wèn)（UFW默認(rèn)是拒絕所有入站）
sudo ufw deny 161/udp

使用 firewalld (CentOS/RHEL/Fedora)：

# 將源IP添加到富規(guī)則(Rich Rule)
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.100" port protocol="udp" port="161" accept'
sudo firewall-cmd --reload

重要提示：在應(yīng)用任何 DROP 規(guī)則之前，確保您當(dāng)前的 SSH 連接（或其他管理連接）不會(huì)被阻斷。最好在防火墻規(guī)則中先允許您的管理 IP。

完整的安全配置示例

一個(gè)結(jié)合了最佳實(shí)踐的 /etc/snmp/snmpd.conf 片段可能如下所示：

# 1. 只監(jiān)聽(tīng)必要的網(wǎng)絡(luò)接口（例如內(nèi)網(wǎng)網(wǎng)卡）
agentAddress udp:192.168.1.10:161

# 2. 定義視圖（限制可訪問(wèn)的OID范圍）
view systemonly included .1.3.6.1.2.1.1
view systemonly included .1.3.6.1.2.1.25.1

# 3. 將團(tuán)體號(hào)與視圖和源地址綁定
rocommunity my_secure_ro_community 192.168.1.100 -V systemonly
rocommunity my_secure_ro_community 192.168.1.101 -V systemonly

# 4. 完全禁用默認(rèn)的 public 團(tuán)體號(hào)，或?qū)⑵湎拗茷?localhost
# rocommunity public 127.0.0.1

總結(jié)與最佳實(shí)踐

1. 永遠(yuǎn)不要使用默認(rèn)團(tuán)體號(hào)：將 public 和 private 修改為復(fù)雜且難以猜測(cè)的字符串。
2. 最小權(quán)限原則：只授予監(jiān)控所必需的只讀權(quán)限 (rocommunity)，除非絕對(duì)必要，否則避免使用 rwcommunity。
3. IP 限制是必須的：始終將團(tuán)體號(hào)與特定的源 IP 或網(wǎng)絡(luò)綁定。
4. ** Defense in Depth (縱深防御)**：結(jié)合使用 snmpd.conf 的訪問(wèn)控制和系統(tǒng)防火墻 (iptables, ufw, firewalld)。
5. 只監(jiān)聽(tīng)必要的接口：使用 agentAddress 指令讓 snmpd 只在內(nèi)網(wǎng)接口上監(jiān)聽(tīng)，而不是在所有接口 (0.0.0.0) 上。
6. 使用視圖 (Views)：進(jìn)一步限制客戶端可以訪問(wèn)的 OID 樹，只暴露他們需要的數(shù)據(jù)。

通過(guò)以上步驟，您就可以有效地將 Linux SNMP 服務(wù)配置為僅允許來(lái)自授權(quán) IP 地址的訪問(wèn)，極大地增強(qiáng)了系統(tǒng)的安全性。

到此這篇關(guān)于Linux SNMP團(tuán)體號(hào)配置指定IP地址訪問(wèn)的方法的文章就介紹到這了,更多相關(guān)Linux SNMP配置指定IP地址內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！

最新評(píng)論