9.1. 运行模式¶
Suricata由多个“构建块”组成,称为线程、线程模块和队列。线程就像在计算机上运行的进程。Surica是多线程的,因此多个线程同时处于活动状态。线程模块是功能的一部分。例如,一个模块用于解码数据包,另一个模块用于检测模块,另一个模块用于输出模块。一个包可以由多个线程处理。包将通过队列传递给下一个线程。数据包将由一个线程一次处理,但引擎一次可以处理多个数据包。(参见 最大挂起数据包数 )一个线程可以有一个或多个线程模块。如果它们有更多的模块,则一次只能激活。线程、模块和队列排列在一起的方式称为运行模式。
9.1.1. 不同的运行模式¶
您可以从几个预定义的运行模式中选择一个运行模式。命令行选项--list runmodes显示所有可用的runmodes。所有运行模式都有一个名称:single、workers、autopp。
一般来说, workers
运行模式的性能最好。在这种模式下,NIC/驱动程序确保数据包在Suricata的处理线程上得到适当的平衡。然后,每个包处理线程都包含完整的包管道。
用于处理PCAP文件,或者在某些IP设置(如NFQ)的情况下, autofp
使用。这里有一个或多个捕获线程,它们捕获数据包并进行数据包解码,然后将其传递给 flow worker
线程。
最后, single
运行模式与 workers
模式,但是只有一个包处理线程。这在开发过程中很有用。
有关运行模式的命令行选项的详细信息,请参阅 命令行选项 .