snort和snort_inline之间的差异

Question

我使用" snort_inline“，并将所有使用iptables的数据包转发到队列，以便snort_inline可以根据规则选择它们进行检查和丢弃/警报。但是，在内联模式下运行的"Snort“是否也接受来自iptables的数据包？当涉及到阻止数据包时，Snort和Snort_inline有什么区别？我观察到，当我在不使用iptables的情况下运行"Snort“时，不知何故我的数据包被丢弃了。如果有人帮我澄清这件事会很有帮助。谢谢！

Answer 1

snort_inline已经贬值，您应该将Snort与DAQ一起使用。带有DAQ的Snort可以处理同样的Snort“丢弃”数据包。

DAQ支持几种不同的内联模式，iptables (nfqueue)就是其中之一。