10161 是什么
10161 是 SNMP 走 DTLS 的注册端口，配套的通知端口是 10162，登记名分别为 snmpdtls 与 snmpdtls-trap。传统 SNMP 的查询与告警使用 161 与 162，只有启用加密传输后才会改用这一对端口。因此见到 10161 通常说明环境的监控链路已经在往加密方向迁移，防火墙与网管平台的端口清单需要同步更新。
基本信息
| 服务名 | snmpdtls（查询） |
|---|---|
| 配套端口 | snmpdtls-trap 10162 |
| 协议 | UDP + DTLS |
| 传统对应 | 161 查询、162 通知 |
| 典型角色 | 网管平台与被监控设备 |
| 暴露要求 | 仅网管网段 |
典型使用场景
- 监控迁移排障：设备批量失联时先确认新端口是否已放行
- 防火墙规划：加密监控上线前把 10161 与 10162 写进策略
- 安全审计：确认 SNMP 没有以明文版本暴露在业务网段
- 变更核对：平台升级后端口清单与策略是否同步
- 设备侧核对：确认设备是否支持并已启用加密传输
- 回退预案：切换加密时保留可回退的过渡配置
探测与放行
探测与放行
ss -lunp | grep 10161 # 查看本机 UDP 监听情况
nc -zuv device01 10161 # 授权范围内探测 UDP 可达性
# 放行: firewall-cmd --permanent --add-port=10161/udp && firewall-cmd --reload
# 通知方向: 设备到网管平台的 10162/udp 同样需要放行
# 加密参数按设备与平台文档配置，认证与加密配置不一致会导致设备失联排查判定参考
| 检查项 | 方法 | 判读要点 |
|---|---|---|
| 监听与绑定 | ss 查看 UDP 监听 | 平台侧通常有监听，设备侧多为出站 |
| 双向放行 | 检查设备到平台的策略 | 只放查询方向会导致告警收不到 |
| 参数协商 | 核对认证与加密配置 | 参数不匹配时告警同样收不到 |
| 回退路径 | 保留过渡期策略 | 切换加密后急停需要可回退方案 |
升级到加密监控时最容易漏的不是查询方向，而是告警方向：设备到平台的通知走另一个端口，漏放行会出现能查询、没告警的现象。
传统版本 SNMP 没有加密，社区字符串相当于口令。在业务网段继续使用明文版本，等于把设备信息与口令直接暴露在链路上。