[solved] Suricata IDS/ IPS erstellt keine Alerts

[skaalian]

Hallo zusammen,

leider erstellt Suricata IDS / IPS bei mir keine Alerts.
Ich habe ausschliesslich auf dem LAN Interface die Zenarmor aktiv und auf dem WAN Interface ausschliesslich Suricata IDS / IPS.

Zenarmor und Suricata koennen sich meiner Meinung nach eigentlich nicht stoeren, da diese ja auf unterschiedlichen Interfaces horchen. Laut Zenarmor ist die Konfiguration auch so empfohlen.

Habt ihr einen Rat, woran es liegen kann?

Vielen Dank.

[skaalian]

Folgend noch die Einstellungen vom Alert.

[skaalian]

Hat denn wirklich niemand eine Idee, woran das liegen kann? :-(

Ich habe schon alles mögliche versucht:
-> Regeln alle deaktiviert und wieder aktiviert
-> Dienst reinstalliert
-> Alert Einstellungen komplett entfernt und neu gesetzt
-> Schnittstelle rausgeworfen und neu definiert

Als ich Suricata noch auf dem LAN Interface definiert hatte, haben die Mitteilungen funktioniert.
Da ich dort aber nun Zenarmor habe, habe ich Suricata auf das WAN gelegt (ist ja so von Zenarmor empfohlen)

Alles ohne Erfolg.

Vielleicht kann mir ja jemand helfen!? Danke!

[Patrick M. Hausen]

Hast du PPPoE WAN? Wenn ich mich recht erinnere, funktioniert das schlicht nicht.

[skaalian]

Hast du PPPoE WAN? Wenn ich mich recht erinnere, funktioniert das schlicht nicht.

Ja, ich habe die opnsense mit dem WAN Interface direkt am Vigor hängen und betreibe somit das WAN auch per PPPoE.
Ok, schade :-(...

Das würde aber doch bedeuten, dass ich auf Suricata IDS / IPS komplett verzichten müsste, da ich Zenarmor bereits auf dem LAN Interface horchen habe. Korrekt?

[chemlud]

IPS auf WAN (wenn man nicht gerade jede Menge Ports/Services nach aussen öffnet) -> Eine Menge Noise (ALARM!) ohne Mehrwert, da das meiste über die (fehlenden) WAN-Rules sowieso nie dein Netzwerk erreicht.

[skaalian]

IPS auf WAN (wenn man nicht gerade jede Menge Ports/Services nach aussen öffnet) -> Eine Menge Noise (ALARM!) ohne Mehrwert, da das meiste über die (fehlenden) WAN-Rules sowieso nie dein Netzwerk erreicht.

Ich habe nach außen hin gar nichts offen. Dann werde ich Suricata für den Port ebenfalls deaktivieren.
Vielen Dank.