Ubuntu Sniffer如何配置

Ubuntu 嗅探器配置指南

一 概念与合规

• Sniffer（嗅探器）用于捕获与分析网络数据包，常见工具有tcpdump、Wireshark，以及基于规则的Snort 3（NIDS）。
• 进行嗅探前务必取得明确授权，仅在自有或获准的网络与主机上操作，避免触犯隐私与合规要求。
• 建议以最小权限运行（仅在需要时提权），并妥善保护捕获数据。

二 快速上手 tcpdump

• 安装：sudo apt update && sudo apt install tcpdump
• 选择网卡并查看流量：sudo tcpdump -i eth0（将 eth0 替换为你的实际接口名）
• 设置捕获过滤表达式：sudo tcpdump -i eth0 port 80
• 保存为 pcap 文件：sudo tcpdump -i eth0 -w capture.pcap
• 读取与分析：tcpdump -r capture.pcap；复杂分析可用 Wireshark 打开 pcap 文件进行可视化查看。

三 图形化分析 Wireshark

• 安装：sudo apt update && sudo apt install wireshark
• 运行后选择需要监听的网络接口，必要时开启混杂模式以捕获经过接口的所有流量。
• 设置捕获过滤器（如仅捕获某端口/协议），开始捕获并用图形界面进行协议解析与问题定位。

四 进阶配置 Snort 3 入侵检测

• 网卡准备
  • 将监听网卡设为混杂模式：sudo ip link set dev ens33 promisc on
  • 为避免GRO/LRO导致的大包截断，建议关闭：sudo ethtool -K ens33 gro off lro off
• 规则集配置
  • 默认规则路径由 /usr/local/etc/snort/snort_defaults.lua 中的 RULE_PATH 指定（常见为 /usr/local/etc/rules）
  • 创建规则目录并下载社区规则：
    sudo mkdir -p /usr/local/etc/rules
    wget https://www.snort.org/downloads/community/snort3-community-rules.tar.gz
    sudo tar xzf snort3-community-rules.tar.gz -C /usr/local/etc/rules/
• 运行与验证
  • 按实际接口启动嗅探/检测（示例）：snort -i ens33 -c /usr/local/etc/snort/snort.lua
  • 按需配置输出（日志、告警）与规则启用，完成基础 NIDS 部署。

五 常见问题与优化

• 权限不足或找不到设备：嗅探通常需要root或具备 CAP_NET_RAW 能力的账户；以普通用户运行时可能报“no suitable device found”。
• 大包被截断或性能下降：关闭网卡 GRO/LRO，并使用合适的BPF 捕获过滤表达式减少无关流量。
• 合规性：在捕获、存储与分析过程中，注意隐私保护与合法合规，仅在授权范围内使用。