Question

我有这样的测试：

我的环境：

os：debian 8

A:172.20.0.1 (gateway  suricata v3.2 )

B:172.20.0.2  (App Server)

C:172.20.0.3  (Client)

我的网络：

client(C)  ----> gateway suricata A (ids)  -----> AppServer B

我的suricata构建信息：

wget https://github.com/inliniac/suricata/archive/suricata-3.2.zip
unar suricata-3.2.zip
cd suricata-3.2
git clone https://github.com/OISF/libhtp.git
./configure --enable-nfqueue --enable-pfring --enable-hiredis --prefix=/usr --sysconfdir=/etc --localstatedir=/var
make
make install
make install-conf
make install-rules

仅加载测试规则：

alert http any any -> any any (msg:"http test"; content:"GET";) #no.1
alert tcp any any -> any any (msg:"tcp test"; content:"GET";) #no.2
alert tcp any any -> any any (msg:"tcp http test"; content:"GET";http_method;) #no.3

答：172.20.0.1（网关suricata）操作系统信息：

echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -F
iptables -F
iptables -A FORWARD -j ACCEPT

客户端发送请求

 'http://172.20.0.2/test'

尾随fast.log。只匹配＃no.2规则

我尝试用iptables打开nat：

iptables -t nat -A POSTROUTING -j MASQUERADE

这次＃no.1＃no.2＃no.3规则匹配

但是，nat打开了，appserver没有得到正确的客户端ip

地址。

而现在，我想要使用7层协议之类的参数 http_uri，http_method等。 nat必须关闭。

我想要正确的方法~~~谢谢！

Answer 1

我的方式是：

iptables -A INPUT -i eth0 -p tcp -m tcp --sport 80 -j TEE --gateway 172.20.8.147
iptables -A OUTPUT -o eth0 -p tcp -m tcp --dport 80 -j TEE --gateway 172.20.8.147

并且NAT太糟糕了，

主题关闭

Suricata网关不解码http协议

1 个答案: