>> Какаой смысл 3-4 пакета ловить? syn + syn-ack + rst/fin = 3-4
>> пакета. TCP-сессия без передачи данных.
> вот начальство даже такое хочет видеть, скажем так - параноя :) Тут я конечно немного загнул (ибо flow считается перечача данных в одном направлении), но сенсор и это скушает. И отправит данные на коллектор по окончанию сессии или после таймаута.
>[оверквотинг удален]
> вы предлагаете создавать 300 vlan?! А вы представляете сколько они (интерфейсы) будут
> подниматься на том же linux? И какой приймут вид правила iptables.
> У меня сейчас около 20 vlan и поднимаются они около минуты (секунд
> 30-40 так точно) ;)
>> PS
>> 3-4 пакета? тотальная слежка? это имеет смысл организовывать только за подозрительными
>> лицами, а не за всеми клиентами - иначе никаких мощностей и
>> времени на анализ собранных данных не хватит. да и вообще -
>> это отдельная тема (другие подходы и другие методы).
> да, хотят знать все и про всех :)