Seguridad de red para configurar servicios SNMP en Win 2003

Cómo configurar la seguridad de la red para Windows Server 2003 para el servicio del Protocolo simple de administración de redes (SNMP).

El servicio SNMP actúa como un agente que recopila información que se puede reportar a una estación de administración o consola SNMP. Puede usar el servicio SNMP para recopilar datos y administrar equipos basados ​​en Windows Server 2003, Microsoft Windows XP y Microsoft Windows 2000 en toda la red corporativa.

Generalmente, el método para asegurar la comunicación entre un agente SNMP y una estación de administración SNMP es asignar un nombre de comunidad compartido a estos agentes y estaciones de administración. Cuando la estación de administración SNMP envía una consulta al servicio SNMP, el nombre de la comunidad del solicitante se compara con el nombre de la comunidad del agente. Si coincide, la estación de administración SNMP se ha autenticado. Si no coincide, indica que el agente SNMP considera que la solicitud "no se pudo acceder" y puede enviar un mensaje de captura SNMP.

Los mensajes SNMP se envían en texto claro. Estos mensajes de texto sin formato son fácilmente interceptados y decodificados por un programa de análisis de red como "Microsoft Network Monitor". El personal no autorizado puede capturar nombres de comunidades para obtener información importante sobre los recursos de la red.

<; IP Security Protocol &(; IP Sec) se puede usar para proteger las comunicaciones SNMP. Puede crear una política IP Sec que proteja el tráfico en los puertos TCP y UDP 161 y 162 para proteger las transacciones SNMP.
Crear una lista de filtros

Para crear una política de IP Sec que proteja los mensajes SNMP, primero cree una lista de filtros. A continuación le indicamos cómo:

Haga clic en Inicio, señale Herramientas administrativas y luego haga clic en Política de seguridad local.

Amplíe la configuración de seguridad, haga clic con el botón derecho en "Política de seguridad de IP en la computadora local" y haga clic en "Administrar lista de filtros de IP y acción de filtros".

Haga clic en la pestaña " Administrar lista de filtros IP " y haga clic en Agregar.

En el cuadro de diálogo Lista de filtros IP, escriba el mensaje SNMP (161/162) (en el cuadro Nombre), luego escriba el filtro de puerto TCP y UDP 161 (en el cuadro Descripción).

Haga clic en la casilla de verificación Usar " Agregar asistente " para desactivarla, luego haga clic en Agregar.

En el cuadro " Dirección de origen " (ubicado en la pestaña Dirección del cuadro de diálogo Propiedades del filtro de IP), haga clic en " cualquier dirección IP ". En el cuadro " Dirección de destino " haga clic en Mi dirección IP. Haga clic en " Espejo. Haga coincidir el paquete con la casilla de verificación de dirección de origen y destino opuesta para seleccionarlo.

Haz clic en la pestaña Protocolos. En el cuadro " Seleccionar tipo de protocolo " seleccione UDP. En el cuadro " Establecer puerto de protocolo IP " seleccione " Desde este puerto ", escriba 161 en el cuadro. Haga clic en " en este puerto ", luego escriba 161 en el cuadro.

Haz clic en Aceptar.

En el cuadro de diálogo Lista de filtros IP, seleccione Agregar.

En el cuadro " Dirección de origen " (ubicado en la pestaña Dirección del cuadro de diálogo Propiedades del filtro de IP), haga clic en " cualquier dirección IP ". En el cuadro " Dirección de destino " haga clic en Mi dirección IP. Marque la casilla de verificación "Reflejar, hacer coincidir paquetes con direcciones de origen y destino opuestas".

Haz clic en la pestaña Protocolos. En el cuadro Seleccionar tipo de protocolo, haga clic en TCP. En el cuadro " Set IP Protocol ", haga clic en " Desde este puerto ", luego escriba 161 en el cuadro. Haga clic en " en este puerto ", luego escriba 161 en el cuadro.

Haz clic en Aceptar.

En el cuadro de diálogo Lista de filtros IP, haga clic en Agregar.

In " Dirección de origen y " (que se encuentra en la pantalla del cuadro de diálogo en la ficha Direcciones propiedades de filtro IP) caja de texto, haga clic en el y " cualquier dirección IP y ". En el cuadro " Dirección de destino " haga clic en Mi dirección IP. Haga clic en la casilla de verificación "Reflejar, hacer coincidir el paquete con las direcciones de origen y destino opuestas" para seleccionarlo.

Haz clic en la pestaña Protocolos. En el cuadro " Seleccionar tipo de protocolo " haga clic en UDP. En el cuadro " Set IP Protocol ", haga clic en " Desde este puerto ", escriba 162 en el cuadro. Haga clic en " en este puerto ", luego escriba 162 en el cuadro.

Haga clic en Aceptar, en el cuadro de diálogo Lista de filtros IP, haga clic en Agregar.

In " Dirección de origen y " (que se encuentra en la pantalla del cuadro de diálogo en la ficha Direcciones propiedades de filtro IP) caja de texto, haga clic en el y " cualquier dirección IP y ". En el cuadro " Dirección de destino " haga clic en Mi dirección IP. Haga clic en " Espejo. Haga coincidir el paquete con la casilla de verificación de dirección de origen y destino opuesta para seleccionarlo.

Haz clic en la pestaña Protocolos. En el cuadro Seleccionar tipo de protocolo, haga clic en TCP. En el cuadro " Set IP Protocol ", haga clic en " Desde este puerto ", escriba 162 en el cuadro. Haga clic en " en este puerto ", luego escriba 162 en el cuadro.

Haz clic en Aceptar.
Haga clic en Aceptar en el cuadro de diálogo Lista de filtros IP y, a continuación, haga clic en Aceptar en el cuadro de diálogo Administrar lista de filtros IP y acciones de filtro.

Creación de una directiva IPSec

Para crear una directiva IPSec para hacer cumplir IPSec para las comunicaciones SNMP, siga estos pasos:

Haga clic derecho en el panel izquierdo y " IP en el equipo local Política de seguridad ", luego haga clic en Crear política de seguridad IP.

" Asistente de directiva de seguridad IP " Iniciar.

Haz clic en Siguiente.

Escriba SNMP seguro en el cuadro Nombre en la página " Nombre de la política de seguridad IP ". En el cuadro Descripción, escriba Forzar IPSec para comunicaciones SNMP y luego haga clic en Siguiente.

Haga clic en la casilla de verificación " Activar regla de respuesta predeterminada > para desactivarla, luego haga clic en Siguiente.

En la página "Cómo completar el Asistente para políticas de seguridad de IP", verifique que la casilla de verificación "Editar atributos" esté seleccionada y haga clic en Finalizar.

En el cuadro de diálogo Seguridad " Propiedades de NMP ", haga clic en la casilla de verificación Usar el " Agregar Asistente " para desactivarla, luego haga clic en Agregar.

Haga clic en la pestaña IP " Filter List " y luego haga clic en SNMP Messages (161/162).

Haga clic en la pestaña Acciones de filtro y luego haga clic en Necesitar seguridad.

Haga clic en la pestaña Métodos de autenticación. El método de autenticación predeterminado es Kerberos. Si necesita otro método de autenticación, haga clic en Agregar. En el cuadro de diálogo Propiedades del nuevo método de autenticación, seleccione el método de autenticación que se usará en la lista a continuación y haga clic en Aceptar:

Valor predeterminado de Active Directory (Protocolo KerberosV5)

Use este carácter Cadena (clave precompartida)

En el cuadro de diálogo Propiedades de nueva regla, haga clic en Aplicar y luego haga clic en Aceptar.

En el cuadro de diálogo Propiedades de SNMP, verifique que la casilla de verificación SNMP (161/162) " esté seleccionada, luego haga clic en Aceptar.

En el panel derecho de la consola "Configuración de seguridad local", haga clic con el botón derecho en la regla SNMP segura y haga clic en Asignar.

Complete este proceso en todos los equipos basados ​​en Windows que ejecuten servicios SNMP. Esta política de IPSec también debe configurarse en la estación de administración SNMP.