作者:微笑 | 来源:互联网 | 2023-08-29 13:26
1.首先我用的是snort-2.9.9.0版本,交换机上做的镜像数据到eth0,eth1用来与外界通讯,可以确定数据已镜像到eth0;2.iptables中将eth0口nat的PRERO
1.首先我用的是snort-2.9.9.0版本,交换机上做的镜像数据到eth0,eth1用来与外界通讯,可以确定数据已镜像到eth0;
2.iptables中将eth0口nat的PREROUTING和INPUT,FORWORD放到NFQUEUE。
3.snort.conf中设置的HOME_NET any
4.现在我遇到的问题是:当我设置local.rules后,输入命令 snort -Q --daq nfq --daq-var device=eth0 --daq-var queue=1 -c etc/snort.conf,如果是any<>any可以看到alert中有日志输入,但是没有我的通讯测试程序相关的IP记录(IP非本机),当我snort -v执行的时候是可以看到我的测试IP记录的,tcpdump抓eth0的包也能看见,但是从始至终我的通讯测试没有被阻断,并且alert文件中也一直未出现我测试IP的记录。
5.请问各位大神,是我哪里配置的不对吗,需要特殊配置,还是说snort的IPS不支持旁路阻塞,如果不支持的话能否提供一个好点的开源旁路阻塞IPS。### 问题描述
问题出现的环境背景及自己尝试过哪些方法
相关代码
// 请把代码文本粘贴到下方(请勿用图片代替代码)
你期待的结果是什么?实际看到的错误信息又是什么?