IDS、网络监控，实现原理分析

zang12345

大家好，我是新来的，这里的技术很实在。\r\n我思考了很常的时间，关于网络监控\r\n\r\n1。很多网络监控软件，和 IDS，都是 在交换机和路由器之间，中间串接一个HUB，然后，安装网络安全软件的机器连接在这个HUB上，利用HUB的广播的特点，可以捕获所有内部计算机发送到路由器上所有的数据包。\r\n\r\n如果网络监控软件想禁止内部某计算机192。168。0。100访问某个站点www.abc.com。HTTP协议使用的是TCP\r\n那么网络监控机器就想中断该计算机与www.abc.com的正常通讯，\r\n应该是这样的\r\n a 监控机器构造一个TCP包，包的序列号也是正确的，IP包，包的目标地址为192。168。0。100，源IP地址为www.abc.com,wef    f d（其实是伪造成www.abc.com发送过来的）发送一个数据包给192。168。100，告诉，连接重置，等这个包发出去后，监控机再伪造一个假的数据包发给www.abc.com，告诉她，她想中断连接，\r\n  于是，监控机再两个机器之间的欺骗，就实现了TCP会话中断。\r\n\r\n\r\n2。 那UDP协议呢？UDP包怎么封呢？UDP封锁要使用什么手段呢？我目前能想到的是使用ICMP发送“端口不可达”，但是，如果192。168。0。100安装了个人防火墙，屏蔽了ICMP包，怎么办呢？\r\n\r\n 强烈希望各位能帮我解答，\r\n让我们一起做一个网络IDS吧！！

mars14

你的问题有很多漏洞！\r\nIDS不要配置在路由器和交换机的HUB上，HUB是一个冲撞设备，会影响流量，虽然在这样的情况下只有三个设备在HUB上也不推荐。而是应该连在SWITCH上，在SWITCH做端口镜像，把上联路由的端口镜像到IDS监听接口上就可以了。\r\n你说的那个RST包方式中断会话是只能在TCP上实现的。众所周知UDP是单向协议，所以只要在网关设备上对对应的IP进行封锁才能起到作用。就是要IDS和路由器或者防火墙联动，IDS能指挥这些设备在必要的时候封锁IP。\r\n\r\n联动通过共有接口或者接口协商实现。