我有一个防火墙（Debian稳定7.5）在桥接模式下工作。 接口eth0 （WAN）和eth1 （LAN）与网桥接口br0相连。
eth0
eth1
br0
我可以在这台服务器上部署一个NIDS（例如Snort ）吗？ 如果是这样，应该听哪个接口？
我相信在这种情况下，它应该嗅探br0stream量。 但是，如果它的规则不关心源地址，并且不想阻止或警告潜在的出站入侵（为什么不呢？），那么很可能在WAN接口上嗅探而不会造成伤害。
嗅探是被动的，或多或less，只是允许你检查通过界面的一切。