我们这里加入我们 logger 服务器的真实 MAC 地址就可以了。

　　arp -s 192.168.1.123 00：D0：B7：DB：BF：95

　　在 Logger 服务器设定 snort

　　/etc/snort/snort.conf

　　var EXTERNAL_NET any

　　#等于 snort -d

　　config dump_payload

　　#等于 snort -C

　　config dump_chars_only

　　#设定 log 存放的 path

　　config logdir： /var/log/snort

　　# frag2 所做的动作就是把 fragmented 给我们 re-assembly

　　preprocessor frag2

　　log udp 192.168.1.1/32 any -> 192.168.1.123/32 514(logto： "logged-packets";)

　　最后一行需要稍微解释一下∶

　　我们这里把 snort 来做 packet logger. 也就是说，并不是把所有的东西都写入到 /var/log/snort/alert 中。而是 log any packets with match the rule without writing an alert.

　　udp： 是说，我们这里用 udp 的 protocol. system log 通常都是使用 udp 的。

　　192.168.1.1/32： 就是只我们的服务器啦，也就是送 log 的机器。 如果您是从整个一个网路段中收 log 也可以用 192.168.1.0/24.

　　any： any source port 任何 port

　　->： 这个是 direction operator 大家都知道的

　　192.168.1.123/35 514 就是我们给出的那个空 ip 啦，port 514

　　如果没有指定 logto： 的话，log 会分别保存在不同的文件中。 而指定 logto 的话，就会把 log 全部存放到我们指定的文件中，看起来方便多了。

　　更安全的保存 log 就可以更安全的保护服务器。 snort 的功能实际上非常的强大， 这里只是一个简单的介绍而已。如果您对这些东西有兴趣。可以去 www.snort.org/docs/ 下面看到非常多的有用的文件。