# Suricata en mode IPS inline : NFQUEUE ou AF_PACKET ?

- Link: https://dpioch.aristeecampus.org/veille/suricata-en-mode-ips-inline-nfqueue-ou-af_packet/
- Published: 2025-12-09T09:00:00+01:00
- Author: Admin

[⌊Capture réelle de la page source : Documentation Suricata⌉⌊Capture réelle de la
page source : Documentation Suricata⌉[

Page de documentation Suricata User Guide indiquant la documentation de Suricata
8.0.7. Capture du 7 octobre 2026. [Consulter la source](https://docs.suricata.io/)

## Contexte

En mode détection d’intrusion (IDS), Suricata observe une copie du trafic. En mode
prévention d’intrusion (IPS) inline, il se place sur le chemin des paquets et peut
les bloquer : le choix du mode de capture devient alors structurant.

## Analyse

**NFQUEUE** s’appuie sur Netfilter : nftables envoie les paquets à Suricata, qui
rend un verdict (accepter / rejeter). **AF_PACKET** relie deux interfaces en pont
logiciel, avec de meilleures performances mais moins de finesse de sélection du 
trafic.

    ```
    # nftables : envoyer le trafic transféré à Suricata
    nft add rule inet filter forward queue num 0 bypass
    suricata -c /etc/suricata/suricata.yaml -q 0
    ```

## À retenir

 * NFQUEUE : flexible, s’intègre aux règles nftables existantes, idéal pour un déploiement
   granulaire.
 * AF_PACKET : meilleure performance brute, configuration plus simple.
 * L’option `bypass` évite de couper le réseau si Suricata s’arrête.

## Application dans mon lab

Suricata tourne en IPS inline (NFQUEUE) dans le lab SOC GSB, en complément de CrowdSec
et Wazuh.