Solaris 10: Capacidade de descartar pacotes UDP 162

Question

Temos tido problemas recentemente com servidores incorretos lançando armadilhas e inundando nosso servidor de interceptação SNMP

O servidor SNMP Trap está executando o Solaris 10 sem o Firewall instalado. Gostaria de saber se há algum recurso dentro de uma versão básica do Solaris 10 (peço desculpas, percebo que é uma descrição vaga) que pode ser usada para permitir que eu o configure para remover o UDP162 de um host se eu identificar uma inundação

O motivo pelo qual eu procuro essa solução é porque 1) o proprietário do dispositivo está com dificuldades para interromper a inundação mesmo com o SNMP Service Offline e os destinos de Interceptação SNMP removidos da configuração (não consigo acessar o sistema para investigar mais 2) obter mudanças no Firewall leva semanas, então o processo não é realmente ágil o suficiente para minha exigência (estou perseguindo uma mudança de política sobre isso dentro da minha organização ...)

Muito obrigado por qualquer ajuda

    

Answer 1

Eu não tenho muita experiência com o Solaris 10, mas acho que você tem o IPFilter, que é um firewall parecido com o da Pf no Solaris 10, como parte do sistema operacional padrão. Você quer modificar o /etc/ipf/ipf.conf e adicionar uma regra como:

block in quick proto udp from 172.16.1.11/32 port 162

Você pode encontrar mais instruções no link

Se isso não for possível, você poderá sempre direcionar nulo os servidores que não deseja que os traps acessem:

route add -host 10.10.0.1 127.0.0.1 -blackhole