对于IDS，我计划在网关上运行Win 2008服务器，并禁用大部分angular色。 我打算阻止Internet连接，但我也想安装Snort作为IDS工作。 不过，我猜测，无论混杂的Winpcap驱动程序的Snort安装，我将无法监视防火墙阻止的端口。 我的思路是stream动链是：
Internet-> Win2008上的防火墙 – > Winpcap-> Snort->内部networking
有没有办法监视防火墙将阻塞的服务（即TCP 445 SMB）？ 也许通过Snort然后通过防火墙运行数据？
谢谢
通常情况下，您将IDS放在防火墙的内部，以防止IDS日志中通常的“噪音”。 每个防火墙都不需要为正常的端口扫描发出警报。 使用IDS（和/或具有IPS的模块）所要看到的就是通过防火墙的所有有趣的东西。
{ Internet }---[ WAN Router ]---[ IDS/IPS ]---[ Firewall ]---{ internal network }
不过，我在这里看到使用Windows的一些缺点。 我是对的，你想使用2k8许可只是为了过滤和转发一些stream量？ 听起来很好。 而且有些不安全。 如果你没有Unix的经验，那么预先打包好的Linux / BSD发行版和良好的web-GUI。
看看pfSense ，这是一个非常好的防火墙。 这里有一篇描述Snort集成的文章。 例如，您可以使用VMWare进行testing。
HTH，
PERA
我发现你selectServer 2008对于防火墙来说很奇怪。 为什么不使用更合适的东西，而且更具成本效益？ 有很多基于Linux的防火墙发行版，包括操作系统和商业版本。 我的个人喜好是Smoothwall ，其中包括Snort等等。 如果添加Guardian附加组件，那么它也会响应Snort警报，使其比只有一堆静态规则更有效。
你可以监视你喜欢的任何端口，不pipe它们是否被阻塞。 当然，你可能实际上并没有看到阻塞的端口上的任何stream量，但是当然，你仍然可以监控它。
有没有办法监视防火墙将阻塞的服务（即TCP 445 SMB）？
取决于您select的防火墙 – 我假设您将使用“真正的”防火墙引擎，而不仅仅是Windows非常有限的内置function？ 我所见过的所有防火墙都将愉快地logging下所有的连接尝试，但是正如PEra所写，很less有人这样做，因为日志变得非常快速。
Kerio有一个很好的小型企业防火墙 ，内置了很好的报告。 我真的不知道任何其他“在Windows之上安装的防火墙” – 几年前这是一种常见的模式，但是现在防火墙已经转移到了设备上，而且似乎正在进入路由器。