在Raspberry Pi上运行Snort作为NIDS。

Question

所以我有一个项目与Raspberry Pi，该项目是:

我想在Raspberry Pi 4上运行Snort，并使其作为网络IDS（NIDS）工作，这样它就可以做到 捕获其网段上的所有数据包 (在无线网络中).我系统的概念设计如下图所示。

系统的设计

我做了什么？

1. 在树莓4上运行Raspbian
2. 安装Snort并成功运行
3. 用命令将pi的eth0设置为杂交模式。ip link set eth0 promisc on，我已经检查了 ip a show eth0 它显示eth0：[BROADCAST,MULTICAST。PROMISC,UP,下行]。
4. 创建了一个简单的测试本地规则来检测ICMP数据包。alert icmp any any -> $HOME_NET any (msg:"ICMP test"; sid:10000001; rev:001;)，并尝试运行Snort与 sudo snort -A console -i eth0 -u snort -g snort -c /etc/snort/snort.conf

我的问题是。snort只能检测到来自andor的数据包 而不能检测到来自主机A到主机B和B到A的数据包。

根据我读到的资料，snort默认运行在promposuous模式下，所以只要监听数据包的接口也在promposuous模式下，它应该可以读取其网段上的所有数据包。但是为什么我的系统不能这样工作呢？

这是我按照教程做的 https:/upcloud.comcommunitytutorialsinstall-snort-on-debian。

我在Snort和Raspberry Pi上没有太多经验，所以我真的很感激任何帮助或建议，谢谢大家。

Answer 1

我刚刚看到你按照链接安装Snort，我想你必须在HOME_NET地址中设置一个16或24。