我正在 RedHat 6 上设置一个网络监控系统，它将接收来自内联分路器的数据包馈送。该设备的功能之一是运行 Snort。在系统中放置两个 NIC 用于 tap 是没有问题的，但是由于每个 snortd 实例只能在一个接口上运行，因此分别监控两个接口将中断大量的流重组和流跟踪。
由于这些 NIC 仅用于接收，绑定是聚合这些接口的正确方法吗？文档似乎在暗示我，因为我不太关心传输数据包，所以任何模式都可以满足我的需要。这是一个有效的假设吗？如果我为此使用绑定，是否需要注意任何异常情况？
AskOverflow.Dev
你是对的，几乎任何模式都可以。
如果您不使用分路器，那么重要的配置将在您的网络交换机中。您将不得不选择一个负载平衡选项，该选项将尽可能平均地分配您的 2 个网卡之间的负载。每个数据包循环法应该导致最佳分割，但大多数交换机不支持。如果您要监控的主机大多位于不同的子网上，则下一个最佳选择是 IP，如果它们主要位于同一子网上，则选择 mac 地址。
由于您使用的是分路器，因此除了绑定网卡外，不需要其他配置。
Caveat: I've never configured such a beast in practice.您的建议应该没问题——只要绑定接口只接收任何允许您在两个接口上接收的绑定模式，就可以满足您的需求。
我建议
balance-xor或balance-rr仅仅是因为您不需要分配 IP（您将以混杂模式监听每个数据包）并且您不会传输，因此 Round-Robin 或 XOR 平衡的潜在缺点不会影响你，其他任何方法的好处都是没有意义的。对于此实现， 我会避免几种绑定模式：
模式 1 (
active-backup)此模式将一个 NIC 置于“备用”模式。您需要使用绑定模式，其中两个 NIC 都处于“活动”状态（或至少接收数据包）以执行您要执行的操作。
模式 3（
broadcast- 传输的所有内容都从每个接口发出）即使适当的窃听不会让您将数据放到您正在监控的网络上，但安全总比后悔好。如果其中一个接口连接到将接受数据包的东西，这种模式真的会扰乱你的一天。
模式 4（
802.3ad链路聚合）因为这需要一个理解 802.3ad 链路聚合的交换机，并且您正在插入分路器，所以这可能无法正常工作。
另一种选择是使用类似Netgraph 系统的东西（one2many模块是最好的选择）来构建一个虚拟接口来重新组合流量（并最终将其发送到黑洞，你的 IDS 在输出端监听). 尽管有适用于 Linux 的 Netgraph 实现，但在 BSD 系列操作系统上这将是一个更可行的解决方案。