NetWorker：如何为 DSA-2018-120 禁用端口 5672，以避免扫描软件仍然显示漏洞
Summary: 由于明文身份验证漏洞，发现端口 5672 正在发送未加密的凭据。作为补救措施，引入了端口 5671 以使用 SSL 密码，但仍然打开了端口 5672，因为某些 NetWorker 功能需要此端口才能运行;因此，某些扫描软件可能会显示 NetWorker 服务器上仍然存在漏洞。本文介绍如何完全禁用此端口。
This article applies to
This article does not apply to
This article is not tied to any specific product.
Not all product versions are identified in this article.
Instructions
在阅读本文之前，请确保您已阅读并理解以下知识库文章523985：DSA-2018-120：Dell EMC NetWorker 基于网络的明文身份验证漏洞
实施修复以修正 CVE-2018-11050 后，可能需要执行一些进一步的作：
问：是否可以在防火墙中阻止端口 5672 以避免安全扫描报告它？
一个：否，必须打开从 NMC 服务器到 NetWorker 服务器的端口 5672。这是“Messmage Queue Adapter”端口。
AMQP 客户端与端口 5672 上的消息总线交互，并且该总线必须处于打开状态。必须为 SSL 打开端口 5671。
NW 服务器公开的功能是备份的作业状态，仅此而已。因此，这是一个只读作，任何恶意组件都可能带来风险。
从知识库文章 523985 中指定的固定 NetWorker 版本开始：DSA-2018-120：Dell EMC NetWorker 基于网络的明文身份验证漏洞，NW 将使用 5671 （SSL） 进行身份验证，并根据所述密码加密凭据。但是，阻止 5672 将对知识库文章 503523：NetWorker 9：当防火墙阻止端口 5672 时，NMC Monitoring 会为策略显示 Status Never Run，单击工作流状态会弹出消息总线无法打开与主机<的套接字连接> 端口 5672 上的NetWorker_server：请求计时 \BRM\DPC\FLR 等），因此：
如果扫描中显示 5672，则目前唯一的选择是忽略它， 因为我们不再使用端口 5672 发送易受攻击的凭据。（凭据现在通过端口 5671 发送）。
话虽如此，本文仅适用于以下情况：
禁用端口 5672 的步骤：
实施修复以修正 CVE-2018-11050 后，可能需要执行一些进一步的作：
- 扫描软件继续显示漏洞，因为非 SSL 端口由于向后兼容性（这是 NMC、Hyper-V FLR/NMM）仍处于打开状态。
- NetWorker 内部服务 （nsrd/nsrjobd） 已开始在固定版本上使用启用 SSL 的端口 （5761），但该端口仍处于打开状态，并由 NetWorker\NMM 用于其他作。
- 通过不通过非 SSL 端口 5672 将“未加密的用户凭据发送到远程 AMQP 服务”，这些问题在这些版本中得到了修复。
- 如果要使用非 SSL 端口，可以继续使用它。
- 对于想要使用 SSL 端口的用户，此修复提供了该机制。
- 如果禁用端口 5672，则会影响其他 NetWorker 服务的正常运行，例如 Hyper-V、NMM 等（所有应用程序客户端）。
问：是否可以在防火墙中阻止端口 5672 以避免安全扫描报告它？
一个：否，必须打开从 NMC 服务器到 NetWorker 服务器的端口 5672。这是“Messmage Queue Adapter”端口。
AMQP 客户端与端口 5672 上的消息总线交互，并且该总线必须处于打开状态。必须为 SSL 打开端口 5671。
NW 服务器公开的功能是备份的作业状态，仅此而已。因此，这是一个只读作，任何恶意组件都可能带来风险。
从知识库文章 523985 中指定的固定 NetWorker 版本开始：DSA-2018-120：Dell EMC NetWorker 基于网络的明文身份验证漏洞，NW 将使用 5671 （SSL） 进行身份验证，并根据所述密码加密凭据。但是，阻止 5672 将对知识库文章 503523：NetWorker 9：当防火墙阻止端口 5672 时，NMC Monitoring 会为策略显示 Status Never Run，单击工作流状态会弹出消息总线无法打开与主机<的套接字连接> 端口 5672 上的NetWorker_server：请求计时 \BRM\DPC\FLR 等），因此：
- RabbitMQ 总线继续在端口 5672 上通过未加密（无 TLS）amqp 提供
- RabbitMQ 总线现在也可通过端口 5671 上的加密 （TLS） amqp 获得
- 端口 5671 必须在 NetWorker 服务器上打开入站。
- NMC 服务器连接到端口 5671，因此它需要从 NMC 出站到 Networker。
如果扫描中显示 5672，则目前唯一的选择是忽略它， 因为我们不再使用端口 5672 发送易受攻击的凭据。（凭据现在通过端口 5671 发送）。
话虽如此，本文仅适用于以下情况：
- 您运行的不是知识库文章 523985中所述的受影响的 NetWorker 版本之一：DSA-2018-120：Dell EMC NetWorker 基于网络的明文身份验证漏洞
- 您不需要端口 5672，因为您不需要 Hyper-V FLR/NMM作即可正常工作。
禁用端口 5672 的步骤：
- 编辑/创建文件 /nsr/rabbitmq-server-version<>/etc/rabbitmq.config
准备好SSL选项，因为这是我们使用的SSL端口。
引用tcp_listener的行必须注释，但以下第一行除外：
{tcp_listeners， []}， %%这将使 {tcp_listeners， []} 不监听任何端口
%% {tcp_listeners， [{“127.0.0.1”， 5672}，
%% {“：：1”， 5672}]}，
%% {tcp_listeners， [{“127.0.0.1”， 5672}，
%% {“：：1”， 5672}]}，
- 为了提高安全性，建议实施以下设置（检查附加的 rabbitmq.config.example）：
{honor_cipher_order，true}，
{honor_ecc_order，true}，
{ciphers，[
“密码列表”
]}，
{honor_ecc_order，true}，
{ciphers，[
“密码列表”
]}，
如 https://www.rabbitmq.com/ssl.html 所述：
在 TLS 连接协商期间，服务器和客户端协商使用哪个密码套件。可以强制服务器的 TLS 实现规定其首选项（密码套件顺序），以避免恶意客户端故意协商弱密码套件以准备对它们运行攻击。为此，请将 honor_cipher_order 和 honor_ecc_order 配置为 true。
- 必须在 NetWorker 服务器上禁用 NSR 服务。
每次重新启动后，它都会默认再次启用，因此需要重新禁用。这是由于错误 300070 造成的，已在 9.2.2 及更高版本中修复。
禁用它的步骤：
nsradmin
> p type：nsr service
> update enabled：否
> p type：nsr service
> update enabled：否
Additional Information
由于明文身份验证漏洞，发现端口 5672 正在发送未加密的凭据。作为一种补救措施，引入了端口 5671 以使用 SSL 密码，但端口 5672 仍处于打开状态，因为某些 NetWorker 功能需要此端口才能运行;因此，某些扫描软件可能会显示 NetWorker 服务器上仍然存在漏洞。本文介绍如何完全禁用此端口。
有关 rabbitmq.configuration 选项的详细信息，请访问：
有关 rabbitmq.configuration 选项的详细信息，请访问：
- https://www.rabbitmq.com/configure.html。
- https://www.rabbitmq.com/ssl.html
- https://www.rabbitmq.com/networking.html
Affected Products
NetWorkerProducts
NetWorkerArticle Properties
Article Number: 000020688
Article Type: How To
Last Modified: 16 Jun 2025
Version: 3
Find answers to your questions from other Dell users
Support Services
Check if your device is covered by Support Services.