我在Centos 5上运行KVM.我有一个客户操作系统,ubuntu 10.04,上面安装了Snort 2.9.客户操作系统有(2)nic,eth0和eth1.一个nic,eth0配置有IP,可以从主机操作系统所在的网络访问.第二个NIC没有IP,用于从Cisco交换机接收镜像流量.在主机操作系统端,br1上的tcpdump(用于运行Snort的guest虚拟机操作系统的网桥接口)确实可以看到来自交换机的镜像流量.但是在客户操作系统的eth1上运行tcpdump,这是由Snort监控的接口,只能看到来自交换机的广播或cdp数据包.在来宾操作系统的eth0上运行的tcpdump确实显示来自交换机的镜像流量.
有任何想法吗？
我不知道这是否会有所帮助,但我遇到了类似的问题,同时在两台运行Ubuntu 10.04的
Linux KVM客户机上进行故障排除.我发现在运行tcpdump -i eth1时会看到多播地址(这是一个不同的子网,然后是分配给NIC的IP),但如果我运行tcpdump -i,它就不会.我在监视dmesg时进行了一些tcpdump的进一步测试,发现当我在tcpdump上使用eth1设备时,它会使NIC混乱,但是当使用“any”设备时,eth0或eth1都没有进入混杂状态.这与它在物理主机上的处理方式相反,其中“任何”将所有NIC放入混杂或至少在我测试的主机上.
我运行命令ip link set eth1 promisc on然后当我使用“any”设备时,它现在能够看到流量.这同样适用于eth0但是我知道我想要的流量不是来那里所以我只是这样测试.您可以通过编辑/ etc / network / interfaces并添加以“post-up”开头的行,然后添加刚刚使用的命令来为主机保存此项,这可确保设备在引导最佳时进入混杂状态.
我不相信NIC通常需要混杂地看到多播流量,但在这种情况下与KVM来宾似乎就是这种情况,如果设备没有设置为混杂,那么它似乎只能看到IP数据包如果不是混杂的,则使用与NIC相同的IP子网. Snort使用libpcap,与tcpdump IIRC相同的库,如果它试图通过任何接口设置混杂,那么它似乎没有成功应该的地方.我不认为keepalive在正常情况下需要混杂,但在这种情况下,它似乎是查看多播流量的唯一方法.
希望这可以帮助.
