snort抓包异常时应关闭lro/gro：先用ip -br a查网卡名，再ethtool -k确认状态，依次执行ethtool -k 网卡名 lro off和gro off，最后tcpdump验证包长≤1500字节。
当Snort抓包出现乱序、TCP连接异常或网络延迟波动时，很可能是网卡开启了LRO/GRO导致数据包被内核驱动提前合并，破坏了原始流顺序。关闭这两项特性可让协议栈收到原始小包，确保分析与调试准确性。
临时关闭LRO和GRO（重启后失效）
第一步：确认当前网卡名称，执行 ip -br a 或 ls /sys/class/net/，找到活动网卡（如 eth0、ens33、enp0s3）。【必须使用实际网卡名，不能直接套用 eth0】
第二步：检查当前LRO/GRO状态，运行 ethtool -k 网卡名（例如 ethtool -k ens33），在输出中定位 “large-receive-offload” 和 “generic-receive-offload” 行，确认其值为 “on”。
第三步：依次关闭——先执行 ethtool -K 网卡名 lro off，再执行 ethtool -K 网卡名 gro off。两步缺一不可，因为GRO是LRO的软件替代方案，只关一个仍可能引发问题。
第四步：立即验证是否生效，再次运行 ethtool -k 网卡名，确认两项均已显示为 “off”。若仍为 “on”，说明该网卡驱动不支持动态关闭，需走永久方案。
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
永久关闭LRO和GRO（系统重启后仍生效）
方法一：适用于RHEL/CentOS 7及更早版本（ifcfg-格式）
编辑网卡配置文件，例如 /etc/sysconfig/network-scripts/ifcfg-eth0，在末尾新增一行：ETHTOOL_OPTS="lro off gro off"
保存后执行 systemctl restart network 或 ifdown eth0 && ifup eth0 重载配置。
方法二：适用于RHEL/CentOS 8+、Rocky Linux、AlmaLinux（NetworkManager管理）
创建或编辑连接对应的nmcli配置片段：nmcli connection modify "System eth0" ethtool.lro off ethtool.gro off
然后重新激活连接：nmcli connection down "System eth0" && nmcli connection up "System eth0"
方法三：通用兼容方案（所有发行版均适用）
新建 systemd 服务单元文件：/etc/systemd/system/disable-lro-gro.service，内容如下：
[Unit]<br>After=network.target<br><br>[Service]<br>Type=oneshot<br>ExecStart=/sbin/ethtool -K 网卡名 lro off<br>ExecStart=/sbin/ethtool -K 网卡名 gro off<br>RemainAfterExit=yes<br><br>[Install]<br>WantedBy=multi-user.target
将其中“网卡名”替换为真实名称，然后执行：
systemctl daemon-reload && systemctl enable --now disable-lro-gro.service
验证关闭效果
执行 tcpdump -i 网卡名 -c 10 -nn tcp port 22 抓10个SSH包，观察包长——若全部 ≤1500 字节（不含VLAN标签），说明GRO/LRO已关闭成功；若出现 >1500 字节的包（如 6000+），则仍处于开启状态，需回查配置或驱动限制。
查看内核日志确认驱动响应：dmesg | grep -i "gro\|lro"，无相关启用提示即为正常。
