CentOS 5.5 上的 iptables；我想允许来自远程机器的 snmp 查询

Question 1

据我理解，您的问题您希望这台机器（我们在其上使用 iptables 进行对抗的机器）能够向远程服务器发送陷阱，对吗？

在这种情况下，有趣的部分是 OUTPUT 链，因为它决定了源自盒子的数据包的命运。

调试第一步：关闭 iptables 并验证陷阱发送是否有效。如果无效，则问题不在于 SNMP 陷阱源的防火墙配置。在 iptables 停止工作之前，请勿继续执行第二步。

调试第二步：grep -i /etc/services显示大量与各种 SNMP 相关的条目。您可以阅读文档并找出您的软件在哪些端口上进行通信，或者发挥自己的聪明才智。假设后者在 OUTPUT 链配置的末尾添加一行，将所有内容发送到 LOGDROP 链。然后启动 iptables，验证规则是否存在于 OUTPUT 链中并创建要发送的陷阱。然后查看您的 /var/log/messages，您将看到由 LOGDROP 生成的条目，它将告诉您，从本地计算机到远程计算机使用协议 UDP 发送到端口 XXX 的数据包已被丢弃。Bingo！

调试步骤三。在 OUTPUT 链规则（LOGDROP 条目上方）中添加一行，接受通过调试步骤三中确定的端口 XXX（）-p udp向远程服务器（）发送的 UDP 数据包（）。验证（）规则是否存在。发送一个陷阱并查看它是否安全到达目的地。如果没有到达，您的软件可能在多个端口上进行通信，但随后转到调试步骤二。在病理情况下，您应该确定软件正在使用大型（数十、数百……）端口，并且如果您的安全策略允许，您可能只允许从此框到远程计算机的所有（或所有 UDP）传出流量。-d <IP_ADDRESS>--dport XXXiptables -L -n -v

利润 ;）

Answer

据我理解，您的问题您希望这台机器（我们在其上使用 iptables 进行对抗的机器）能够向远程服务器发送陷阱，对吗？

在这种情况下，有趣的部分是 OUTPUT 链，因为它决定了源自盒子的数据包的命运。