FB und SNMP Abfragen ins WAN

[old_bill]

Hallo,

ich wollte mal nachfragen, ob mit den neueren Firmwares es schon mal jemand
geschafft hat, ein Gerät via SNMP auf der WAN-Seite abzufragen?
Um es zu verdeutlichen, ich will ein anderes Gerät im Internet via SNMP abfragen.
Mit den alten Firmwares <29.xx.29 war das möglich, mit den neueren scheitere
ich leider trotz Portfreigabe und entsprechender Weiterleitung, bei den entsprechenden
Geräten kommen keine Anfragen an.
Schließe ich einen anderen Router an, klappt das ganze ohne Probleme.

Gruß,

 

[masterSLZ]

Also ich weiss nicht ob das schon jemals moeglich war, aber ohne weitere Informationen rate ich jetzt einfach mal das es an der Standard "DAU Filter" Access Liste der Fritzboxen liegt - da wird neben Windows Dingen (CIFS..) eben auch aus unerfindlichem Grund SNMP geblockt:

                                             "reject udp any any range 161 162",

==> Da hilft vermutlich nur Handarbeit an der ar7.cfg auf der Box.

Wenn jemand andere Vorschlaege und Ideen hat, kann man mich natuerlich korrigieren.
Ich weiss nur das ich die ganze Gruetze von sinnlosen Default-Accesslisten ueberall entfernt habe auf meinen Fritzboxen, seither geht u.a. auch SNMP wunderbar.
Hat mich auch ein wenig Zeit gekostet anfangs - mit SMB/CIFS und Co blocken rechnete ich ja noch bei Enduser-Routern, aber SNMP!? Was AVM da geraucht hat, will ich auch mal rauchen.

bye
-slz

 

[wichard]

aber SNMP!? Was AVM da geraucht hat, will ich auch mal rauchen.

Vielleicht war in dem Kraut sowas enthalten wie

Sowohl Windows 2000, XP und 2003 (jeweils alle Service Packs) waren vor dem Patchday für Angriffe über das Netzwerkmanagementprotokoll SNMP verwundbar, sofern es installiert war. [...] Ein Buffer Overflow ermöglichte es Angreifern über manipulierte SNMP-Pakete, Code in den Rechner zu schleusen und mit Systemrechten zu starten.

Die Meldung ist zwar schon etwas älter (ziemlich genau ein Jahr...), aber beim Googlen finden sich diverse weitere Berichte über weitere Vulnerabilities dank SNMP.

Aber ich gebe Dir insofern Recht, dass dieser Eintrag in die ACL auch ohne Editieren der ar7.cfg löschbar sein sollte - obwohl... Wer SNMP wirklich braucht, der ist auch dazu in er Lage.


Gruß,
Wichard

 

[old_bill]

Hallo,

danke für die Infos, AVM selber hat mir mittlerweile auch bestätigt,
das SNMP intern geziehlt verworfen wird.

Gruß,

 

[Gerard_Dirks]

[...] Standard "DAU Filter" Access Liste der Fritzboxen liegt - da wird neben Windows Dingen (CIFS..) eben auch aus unerfindlichem Grund SNMP geblockt:

                                             "reject udp any any range 161 162",

==> Da hilft vermutlich nur Handarbeit an der ar7.cfg auf der Box.

Kann mir jemand sagen wie ich dies auf die box kriege?

Gruss
Gérard

 

[wichard]

Das geht z.B. per telnet und dann mittels "nvi /var/flash/ar7.cfg" die ar7.cfg editieren.


Gruß,
Wichard

 

[Gerard_Dirks]

[Edit Novize: Verschoben aus anderem Uralt-Thread :motz:]
Hallo

Wie kriege ich dieses ar7.cfg file geaendert. Dies ist für mich ein Grund die Fritbox herauszuschmeissen und ein Lancom Router zu nehmen.

Gruss
Gérard

 

[Novize]

FBEditor oder telnet nvi sollten als Suchstichwort ausreichen...

BtW: Warum diese Frage in einem anderen Thread stellen, da Du Dein Problem doch gerade hier bearbeitest. :?
Ich habe mal zusammengefügt, was zusammengehört :!: