centos sniffer怎么配规则

在 CentOS 上说到“sniffer 配规则”，通常指两类东西，我先帮你区分一下，再给配置方法。

一、你指的是哪种“sniffer”

1. 抓包工具（tcpdump / Wireshark）
   用 抓包过滤规则（BPF） 控制“抓什么包”
2. 入侵检测 / 网络监控（Snort / Suricata）
   用 检测规则 控制“命中什么算异常”
3. 嗅探+转发（如 arpspoof + iptables）
   用 iptables 规则 控制流量

下面分别说。

二、tcpdump（最常用 sniffer）配规则

1️⃣ 安装

yum install -y tcpdump

2️⃣ 基本抓包规则（BPF 语法）

tcpdump -i eth0 host 192.168.1.10
tcpdump -i eth0 port 80
tcpdump -i eth0 tcp and port 443
tcpdump -i eth0 src 10.0.0.5 and dst port 22

3️⃣ 写入文件

tcpdump -i eth0 -w test.pcap

4️⃣ 常见规则示例

• 只抓 HTTP：

tcpdump -i eth0 tcp port 80

• 排除 SSH：

tcpdump -i eth0 not port 22

• 抓某个网段：

tcpdump -i eth0 net 192.168.1.0/24

三、Snort（经典 IDS sniffer）配规则

1️⃣ 安装

yum install -y snort

2️⃣ 规则文件位置

/etc/snort/snort.conf
/etc/snort/rules/

3️⃣ 示例规则（alert）

alert tcp any any -> 192.168.1.0/24 80 (
    msg:"HTTP Traffic Detected";
    sid:1000001;
    rev:1;
)

4️⃣ 启动

snort -A console -q -c /etc/snort/snort.conf -i eth0

四、Suricata（更现代的 sniffer/IDS）

yum install -y suricata

规则示例：

alert tcp any any -> any 80 (msg:"HTTP"; sid:2000001;)

运行：

suricata -c /etc/suricata/suricata.yaml -i eth0

五、如果你是想“嗅探并控制流量”

常用组合：

arpspoof -i eth0 -t 192.168.1.10 192.168.1.1
iptables -A FORWARD -p tcp --dport 80 -j DROP

六、你可以告诉我

• 你用的是 tcpdump / snort / suricata / 其他
• 想实现什么效果（抓包？拦截？报警？）

我可以直接给你现成规则。