有没有办法从 iptables/iproute 将所有流量转发到我的 IDS，同时保持常规流量

Question

这样做的原因是，为了在现有环境中捕获所有数据包并将其放入 IDS，这样 IDS 就不会成为单点故障。如果将所有流量路由到 IDS 并从 IDS 路由到互联网，那么如果 IDS 出现故障，我的整个网络和所有 24/7 全天候生产服务都会出现故障……这不是一个好主意。有什么想法吗？谢谢

Answer 1

考虑使用 iptables TEE 目标。例如：

-t mangle -A PREROUTING -i eth0 -j TEE --gateway <your IDS IP>

更多信息这里和/或这里

Answer 2

这很容易端口镜像. 但是它需要像思科那样昂贵的交换机。