Suricata не работает встроенный режим

Question

Я установил Debian 7.10 и Suricata 3.0.1.

Docs помог мне установить (здесь: https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Debian_Installation)

Suricata команды запуска:

Suricata -D --pidfile /var/run/suricata.pid -c /etc/suricata/suricata.yaml --af-пакет = eth0

затем отлично работать, создает журнал, и т.д ... но если

Suricata -D --pidfile /var/run/suricata.pid -c/и т.д./Suricata/suricata.yaml -q 0

Не

Suricata не создает журнал, не записывает /var/log/suricata/*.log файлы, и ничего не происходит ...

Это VirtualBox виртуальная машина с 1 NIC. Я установил 3 машины vbox, и проблема действительно существует на всех 3 серверах.

Любой может помочь?

Answer 1

Использование -q подразумевает, что вы используете NFQUEUE, что означает, что Suricata получает его пакеты из netfilter/iptables. Поэтому необходимо установить правила iptables с ключевым словом NFQUEUE.

Простой пример для всего порта 80 трафика:

iptables -A OUTPUT -p tcp --dport 80 -j NFQUEUE 
iptables -A INPUT -p tcp --sport 80 -j NFQUEUE 

См https://redmine.openinfosecfoundation.org/projects/suricata/wiki/Setting_up_IPSinline_for_Linux для некоторых дополнительных примеров и объяснений.

(Я думаю, это было бы лучше, как комментарий, но мне нужна более высокая репутация)