Le port 161 – surtout en UDP – est un peu le cœur battant de la supervision SNMP. Mal paramétré, il devient une large brèche ; maîtrisé, il offre une vue panoramique sur vos routeurs, switches, serveurs, RTU ou objets connectés.
Ce guide fait le point : rôle précis du port 161, nuances avec les ports 162 et 6161, méthodes de sécurisation (SNMPv3, ACL, pare-feu) et conseils pour tirer le meilleur parti de votre monitoring.
1. Port 161 : de quoi parle-t-on exactement ?
Origine et enregistrement IANA
Par défaut, le protocole SNMP (Simple Network Management Protocol) passe par le port 161. L’IANA l’a répertorié de cette façon :
- 161/UDP : usage principal, quasi systématique.
- 161/TCP : même service mais sur TCP, plus rare.
Autrement dit, lorsqu’on lit « port TCP/UDP 161 », c’est surtout d’UDP qu’il s’agit.
TCP 161 vs UDP 161, quelles différences ?
En pratique :
- UDP 161 : sans connexion, léger, idéal pour interroger fréquemment des compteurs.
- TCP 161 : orienté connexion, plus fiable mais plus bavard ; on s’en sert quand la fiabilité prime (liens WAN instables, tunnels chiffrés…).
Si rien n’est précisé, partez du principe que vos agents écoutent sur UDP 161.
2. Ports 161 et 162 : qui fait quoi ?
Le port 161 et le « polling »
Dans la boucle de supervision, le NMS (Network Management System) interroge l’agent :
- Le NMS envoie ses requêtes vers UDP 161 de l’équipement.
- L’agent répond depuis un port source éphémère.
Voilà pourquoi on dit que le port 161 est la porte d’entrée pour lire (ou modifier) les informations de gestion d’un équipement.
Le port 162, royaume des traps
Complément indispensable du 161, le port 162 (en UDP) reçoit les traps et notifications que les agents émettent vers le NMS. En résumé :
- 161 : requêtes partant du manager (lecture/écriture).
- 162 : alertes asynchrones initiées par l’agent (traps, informs).
Conséquence immédiate : ouvrez les flux sortants du NMS vers UDP 161 et les flux entrants vers UDP 162 pour les traps.
3. Faut-il préférer TCP ou UDP pour SNMP ?
Les atouts (et limites) d’UDP
SNMP s’appuie avant tout sur UDP car ses messages sont courts, tolèrent la perte et doivent voyager vite. Peu d’overhead, excellente scalabilité, complexité minimale côté agent : difficile de faire mieux. Le revers ? Pas de garantie de livraison ni d’ordre.
Quand basculer sur TCP 161 ?
Quelques scénarios l’imposent ou le conseillent fortement : liaisons satellite capricieuses, tunnels VPN où l’on veut un contrôle d’erreur renforcé, infrastructures critiques qui ne supportent pas la perte de données. Pour tout le reste, UDP 161 reste le choix par défaut.
4. Le cas particulier du port 6161
Pourquoi voit-on parfois du SNMP sur 6161 ?
Certaines appliances industrielles ou de sécurité s’écartent des standards : elles écoutent sur 6161. Le but ? Éviter les collisions avec d’autres services, s’isoler dans un segment spécifique ou implémenter un proxy SNMP maison.
Configurer côté client
Si un équipement préfère le 6161, n’oubliez pas :
- de paramétrer ce port dans votre NMS ;
- d’ouvrir UDP (ou TCP) 6161 au niveau des pare-feu.
5. Sécuriser le port 161 : les bonnes pratiques
Les faiblesses historiques de SNMPv1/v2c
Ces versions se basent sur une simple community string – « public » ou « private » – envoyée… en clair. Autant dire qu’un reniflage réseau suffit pour tout dévoiler. D’où l’absolue nécessité de remplacer ces valeurs par défaut et, si possible, de couper v1/v2c.
Passer à SNMPv3
La parade ? SNMPv3, qui ajoute :
- Authentification (authNoPriv) et, mieux encore,
- Authentification + chiffrement (authPriv) avec AES ou DES.
Ajoutez des vues SNMP, des ACL et un pare-feu, et vous obtenez un trio gagnant :
- SNMPv1/v2c désactivés.
- Utilisateurs SNMPv3 forts.
- Accès au port 161 limité aux IP de confiance.
6. Pare-feu, ACL : l’art d’ouvrir juste ce qu’il faut
Flux à autoriser (et à bloquer)
Dans la majorité des architectures :
- Le NMS doit pouvoir joindre UDP 161 (et parfois TCP) des équipements.
- Les agents doivent pouvoir envoyer des traps en UDP 162 vers le NMS.
Évitez les règles « any-any » et n’exposez jamais le port 161 sur Internet.
Renforcer avec des ACL
Les ACL locales sont vos amies : elles filtrent à la source les requêtes SNMP non désirées. Autorisez uniquement les IP de vos plateformes de supervision, rien d’autre.
7. MIB, OID : la véritable richesse du port 161
Importer les MIB des constructeurs
Le tuyau ne sert à rien sans le dictionnaire. Téléchargez les MIB de vos fournisseurs, importez-les puis compilez-les si besoin.
Explorer les OID pour aller plus loin
snmpwalk, snmpget ou un MIB browser vous révéleront trésors cachés : températures, sessions VPN, compteurs GSM… De quoi bâtir des tableaux de bord vraiment utiles.
8. RTU, IoT, SMS : SNMP sort des salles serveurs
RTU et équipements industriels
Les RTU exposent leurs E/S, capteurs ou alimentations sur le port 161 et déclenchent des traps vers 162. Idéal pour unir IT et OT sous un même toit de supervision.
Quand le trap voyage… en SMS
Pas de data IP fiable ? Certaines architectures envoient un SMS vers un concentrateur, qui le transforme ensuite en trap SNMP à destination du NMS. Pratique sur des sites isolés où la 3G/5G fait office de plan B.
9. Optimiser la supervision : fréquence, charge et corrélation
À quelle cadence faut-il interroger ?
Tout est question d’équilibre :
- Suivi temps réel : 30 – 60 s.
- Métriques classiques : 3 à 5 min.
- Données inventaire : quotidiennement suffit.
On n’oublie pas de régler time-out et retries pour éviter d’asphyxier le réseau… ou les CPU des petits équipements.
Éviter les tempêtes d’alertes
Votre NMS doit filtrer, corréler, dédoublonner. Un lien down n’a pas besoin de déclencher cent alertes interfaces. Un peu d’hystérésis, des seuils intelligents, et vos équipes dormiront mieux.
10. FAQ : questions qui reviennent (toujours)
« Le port 161 semble fermé, pourquoi ? »
Par expérience, trois suspects : la règle pare-feu manque ou n’est pas au bon endroit, une ACL sur l’équipement bloque votre NMS, ou l’agent SNMP est tout simplement inactif. Sur certains liens cellulaires, l’opérateur filtre aussi les ports de management.
Comment vérifier l’ouverture ?
Commencez par un scan :
nmap -sU -p 161 <IP_équipement>
Puis enchaînez avec un snmpwalk :
snmpwalk -v2c -c public <IP_équipement> 1.3.6.1.2.1.1
Ou, en SNMPv3 :
snmpwalk -v3 -l authPriv -u monUser -a SHA -A "motdepasseAuth" -x AES -X "motdepasseChif" <IP_équipement> 1.3.6.1.2.1.1
Si la réponse remonte, c’est ouvert et fonctionnel.
Qu’héberge le port 161 ?
Le plus souvent, un processus d’agent SNMP (snmpd ou équivalent) à l’écoute des requêtes. Selon la config, il parle en SNMPv1/v2c ou – mieux – en SNMPv3.
Conclusion : faites du port 161 votre meilleur allié
Combiné au port 162 pour les traps (et parfois à un 6161 atypique), le port 161 est l’épine dorsale de votre monitoring IT, OT et IoT. Pour l’exploiter sans vous mettre en danger :
- Comprenez les rôles distincts des ports 161, 162 et 6161.
- Passez à SNMPv3, bannissez « public » et compagnie.
- Verrouillez l’accès : ACL, segmentation, pare-feu adaptés.
- Capitalisez sur les MIB et OID pour un suivi pointu.
- Réglez pollings et traps pour garder le contrôle du trafic… et de votre sérénité.
La prochaine étape ? Cartographier vos flux SNMP, poser une baseline de sécurité solide, et systématiser vos tests avec nmap et snmpwalk. Un petit effort maintenant, beaucoup d’ennuis évités demain.
Questions fréquentes sur le port TCP 161
Qu’est-ce que le port TCP 161 ?
Le port TCP 161 est utilisé par le protocole SNMP (Simple Network Management Protocol) pour la gestion des équipements réseau. Bien que SNMP utilise principalement UDP 161, TCP 161 est parfois préféré pour des communications plus fiables.
Quel protocole utilise le port 161 ?
Le port 161 est principalement utilisé par le protocole SNMP (Simple Network Management Protocol). SNMP fonctionne principalement sur UDP 161, mais peut également utiliser TCP 161 dans des cas spécifiques.
À quoi sert le port 161 ?
Le port 161 permet au NMS (Network Management System) d’interroger les équipements réseau pour collecter ou modifier des données de gestion via SNMP. Il est essentiel pour le monitoring et la supervision des infrastructures.
Quelle est la différence entre les ports 161 et 162 ?
Le port 161 est utilisé pour les requêtes SNMP (lecture/écriture) initiées par le NMS, tandis que le port 162 reçoit les traps et notifications SNMP envoyés par les équipements vers le NMS.
Pourquoi certains équipements utilisent le port 6161 pour SNMP ?
Le port 6161 est parfois utilisé par des équipements spécifiques pour éviter les conflits avec d’autres services ou pour des configurations personnalisées. Il nécessite une configuration adaptée dans le NMS et les pare-feu.
Comment sécuriser le port 161 ?
Pour sécuriser le port 161, utilisez SNMPv3 avec authentification et chiffrement, désactivez SNMPv1/v2c, configurez des ACL pour limiter les accès et bloquez l’exposition du port 161 sur Internet.