Контроль фырканья охвата интерфейса

В зависимости от конфигураций, которые поставлялись с Вашим пакетом, у Вас могут быть некоторые настройки неправильно. Основа snort.conf файл должна работать, однако необходимо осмотреть системный файл конфигурации /etc/sysconfig/snort и удостоверьтесь, что эти две опции установлены нормально.

• ИНТЕРФЕЙС
• BPF

Также необходимо посмотреть на системный журнал, /var/log/messages по умолчанию, чтобы видеть, переходит ли интерфейс на самом деле к неразборчивому режиму. Если так, необходимо видеть что-то вдоль этих строк

ядро: устройство eth1 перешло к неразборчивому режиму

Можно также получить хорошую отладочную информацию от perfmonitor препроцессора. Можно включить его в snort.conf с чем-то как

preprocessor perfmonitor: time 300 file /var/log/snort/snort.stats pktcnt 10000

Это выведет очерченный список ОЧЕНЬ большой запятой значений производительности из приложения фырканья. Полный список всех выведенных значений может быть найден в руководстве, или поставленном или в snort_manual.pdf, на который Вам могло бы быть интересно смотреть:

• Общие полученные пакеты
• Мбит/с (applayer)
• Инициализация сеансов TCP

Значения от тех и возможно другие, должны помочь определить, видит ли само приложение даже пакеты, уже не говоря об обработке их.