0

我的 snmp 服务器正在使用 3% 的 CPU 和大约 600 kbit/s 的带宽。

使用“iftop”，我的服务器将数据发送到 HTTP 端口中的未知 IP，但目标 IP 没有 ping 并且没有打开 HTTP 端口。

myhostname.com.br:snmp                          => 144.168.68.43:http                                   520Kb   487Kb   487Kb
                                                <=                                                     40.2Kb  37.6Kb  37.6Kb

所有默认值（snmpd.conf），我只是将它用于本地 MRTG。

它是 OpenVZ 下的 CentOS 7。有任何想法吗？

4

2 回答 2

1

这些是通知/陷阱，还是对 Get 请求的响应？

回应

有人在轮询您的 SNMP 服务，就这么简单。

如果您不希望他们这样做，请将它们（或它）防火墙关闭。

公共服务由随机的陌生人轮询是很常见的，有时是自动探测的结果，但有时是出于明确的恶意目的。这就是我们有防火墙的原因。

ICMP ping 和 HTTP 都与它无关；SNMP 响应发送到请求所来自的相同地址（IP 和端口）——端口的选择实际上是任意的，但似乎发起者已明确决定使用端口 80，因为这通常是一个开放端口，并且确实没有引起太多关注。坦率地说，这本身就是可疑的，因为除非有奇怪的技术限制，否则真实且经过授权的 SNMP 管理器将使用更传统地分配给 SNMP 流量的端口（如 UDP 162）。

陷阱（通知）

如果没有证据表明传入请求会触发此流量，则您的 SNMP 代理会自行执行此操作。您是否将其配置为这样做？如果没有，您可能已被黑客入侵，而其他人则以这种方式配置了它。

尽管您确实应该检查发生了什么，但您仍然可以将其关闭（防火墙是双向的！）。

除此以外

如果没有请求传入，并且您的 SNMP 管理器未配置为向 144.168.68.43 发送通知，那么您是否还有另一个您不知道的 SNMP 管理器？您安装的某些软件支持 SNMP？否则你真的有麻烦了。

于 2018-11-19T12:40:56.713 回答
0

我想我找到了问题所在。此 IP 与 MIB 相关，从无法访问的 IP 读取内容。

如果我阻止它（iptables），“日志”开始每 2-3 秒记录一次：

Nov 19 10:33:44 loki snmpd[18942]: send response: Failure in sendto
Nov 19 10:33:44 loki snmpd[18942]:     -- SNMPv2-MIB::sysDescr.0
Nov 19 10:33:44 loki snmpd[18942]:     -- SNMPv2-MIB::sysORDescr.1
Nov 19 10:33:44 loki snmpd[18942]:     -- SNMPv2-MIB::sysObjectID.0
Nov 19 10:33:44 loki snmpd[18942]:     -- SNMPv2-MIB::sysORDescr.2
Nov 19 10:33:44 loki snmpd[18942]:     -- DISMAN-EVENT-MIB::sysUpTimeInstance
Nov 19 10:33:44 loki snmpd[18942]:     -- SNMPv2-MIB::sysORDescr.3
Nov 19 10:33:44 loki snmpd[18942]:     -- SNMPv2-MIB::sysContact.0
(....)

我只是不知道如何解决……至少，服务器没有受到损害。

于 2018-11-19T12:49:27.760 回答