【注意：此文章为博主原创文章！转载需注意，请带原文链接，至少也要是txt格式！】

这里有一个小坑，需要注意，编辑config.ini 一定要是 UTF-8编码 千万千万不可以是UTF-8 BOM编码保存！！！

# Latest settings documentation: https://github.com/aol/moloch/wiki/Settings
#
# Moloch使用分层系统来配置变量。 这允许Moloch为许多机器共享一个配置文件。 
# 此文件中各节的顺序无关紧要。
#
# 配置变量的顺序：
# 1st) [optional] 首先使用标题为节点名称的部分。 
# Moloch将始终使用节点标记会话：<节点名称>
# 2nd) [optional] 如果节点具有nodeClass变量，则接下来使用标题为nodeClass名称的分区。 
# 会话将使用node：标记，这在观看不同的网络类时很有用。
# 3rd) 最后使用标题为“默认”的部分。
# 

[default]
# 逗号分隔的elasticsearch 主机:端口 组合。 如果不使用Elasticsearch负载均衡器，
# 则可以为每个Moloch节点指定群集中的不同弹性搜索节点，
# 以帮助在高容量群集上分散负载。 For user/password
# use http://user:pass@host:port
elasticsearch=http://0.0.0.0:9200

# 多久创建一个新的elasticsearch索引。 可用参数：hourly,hourly6,daily,weekly,monthly
# 每小时，每小时6，每日，每周，每月更改该值将导致以前的会话无法访问
rotateIndex=daily

# 要使用的Cert文件，如果被注释掉则使用http代替。
# certFile=/data/moloch-nightly/etc/moloch.cert

# 带有可信根/证书的文件。警告！这代替了用自签名证书使用的默认根，并且可以对每个节点进行设置。
# caTrustFile=/data/moloch-nightly/etc/roots.cert

# 要使用的私钥文件，如果被注释掉则使用http代替。
# keyFile=/data/moloch-nightly/etc/moloch.key

# 密码哈希和S2S密码 - 必须在默认部分。由于弹性搜索在默认情况下是开放的，
# 因此我们使用此加密存储的密码哈希值，因此恶意的人无法插入正在运行的新帐户。
# 它还用于安全的S2S通信。 注释为没有用户身份验证。更改值将使所有先前存储的密码不再工作。
# 让这个随机，你永远不需要键入
passwordSecret = root

# 使用不同的密码进行S2S通信，然后使用passwordSecret。
# 必须在默认部分。 让这个随机，你永远不需要键入
#serverSecret=

# HTTP摘要领域 - 必须在默认部分。 更改该值将使以前存储的所有密码不再起作用
httpRealm = Moloch

# Moloch web访问的基本路径。 必须以 a / or 坏事结束
# Default: "/"
# webBasePath = /moloch/

# 使用“分号”；“分离的用于侦听流量的接口的网卡列表”
interface=ens33

# 要忽略的流量的bpf过滤器
#bpf=not port 9200

# yara文件名
#yara=

# 主机连接到wiseService
#wiseHost=127.0.0.1

# 日志查看器对不同日志文件的访问请求
#accessLogFile = /data/moloch-nightly/logs/access.log

# 保存原始pcap文件的目录
pcapDir = /data/moloch-nightly/raw

# 最大原始Pcap文件大小为千兆字节，最大值为36g。
# 这个磁盘应该有至少10个最大文件的空间。
maxFileSizeG = 12

# 回转pcap文件之间的最长时间（分钟）。 
# 默认值为0，表示仅基于当前文件大小和maxFileSizeG变量进行回转
#maxFileTimeM = 60

# TCP超时值。 经过这么多秒的不活动后，Moloch写了一段会话记录。
tcpTimeout = 600

# 无论是活动还是非活动状态，Moloch都会在这么多秒后写一条会话记录
tcpSaveTimeout = 720

# UDP超时值。 Moloch假设UDP会话在这么多秒不活动后结束。
udpTimeout = 30

# ICMP超时值。 Moloch假设ICMP会话在这么多秒不活动后结束。
icmpTimeout = 10

# 将尝试和监控一个近似的最大活动会话数量Moloch / libnids
maxStreams = 1000000

# 在这个多个数据包之后写一个会话记录
maxPackets = 10000

# 当可用空间低于此时以千兆字节为单位时删除pcap文件或者可以将其表示为百分比（例如：5％）。 
# 这不会删除数据库中的会话记录。 建议此值介于磁盘的5％到10％之间。
# 数据库删除由db.pl过期脚本完成
freeSpaceG = 5%

# 默认情况下侦听的端口8005。意为moloch的访问端口
viewPort = 8005

# 要监听的host / ip，默认为0.0.0.0，即ALL
#viewHost = localhost

# 默认情况下，每个节点的查看器进程为 https://hostname:
#viewUrl = https://HOSTNAME:8005

# maxmind geoip国家/地区文件的路径。 从以下地址免费下载：
#  https://updates.maxmind.com/app/update_secure?edition_id=GeoLite2-Country
geoLite2Country = /data/moloch-nightly/etc/GeoLite2-Country.mmdb

# maxmind geoip ASN文件的路径。 下载免费版本地址:
#  https://updates.maxmind.com/app/update_secure?edition_id=GeoLite2-ASN
geoLite2ASN = /data/moloch-nightly/etc/GeoLite2-ASN.mmdb

# rir分配文件的路径
#  https://www.iana.org/assignments/ipv4-address-space/ipv4-address-space.csv
rirFile = /data/moloch-nightly/etc/ipv4-address-space.csv

# 来自whareshark的OUI文件的路径
#  https://raw.githubusercontent.com/wireshark/wireshark/master/manuf
ouiFile = /data/moloch-nightly/etc/oui.txt

# 将特权降至. pcapDir必须可由以下用户或组写入
dropUser=nobody

# 组权限删除权限。 pcapDir必须可由上述组或用户写入
dropGroup=daemon

# 分号“;”标记的分离列表，一旦捕获会话的集合，就会导致剩余的pcap无法保存到会话中。
# 可能初始分组将保存为会话，因为标记通常在几个分组之后才设置。
# 每个标签可以选择后跟一个：指定要保存的总数据包数量
#dontSaveTags=

# 用于确定要在数据库中检入的用户名而不是使用http摘要的标头。 
# 如果apache或其他东西正在进行身份验证，请使用此选项。
# 将viewHost设置为localhost或使用iptables
# http.conf中可能需要添加下面的样式。
# RewriteRule .* - [E=ENV_RU:%{REMOTE_USER}]
# RequestHeader set MOLOCH_USER %{ENV_RU}e
#userNameHeader=moloch_user

# 我们应该解析额外的smtp流量信息吗？
parseSMTP=true

# 我们应该解析额外的smb流量信息
parseSMB=true

# 我们应该解析HTTP QS值吗？
parseQSValue=false

# 我们是否应该计算 sha256 for bodies
supportSha256=false

# 仅索引小于此字节数的HTTP请求体 */
maxReqBody=64

# 只存储Utf-8的请求主体?
config.reqBodyOnlyUtf8 = true

# 分号';' 分隔的SMTP标头列表有ips，需要有终止冒号 ':'
smtpIpHeaders=X-Originating-IP:;X-Barracuda-Apparent-Source-IP:

# 分号';' 从中加载解析器的分隔目录列表
parsersDir=/data/moloch-nightly/parsers

# 分号';' 从中加载插件的分隔目录列表
pluginsDir=/data/moloch-nightly/plugins

# 分号';'分隔了要加载的插件列表和要加载的顺序
# plugins=tagger.so; netflow.so

# 插件以root身份加载，通常只是读者
#rootPlugins=reader-pfring; reader-daq.so

# 分号';'分隔了要加载的查看器插件列表和要加载的顺序
# viewerPlugins=wise.js

# NetFlowPlugin 网络流插件
# Input device id, 0 by default 输入设备ID，默认为0
#netflowSNMPInput=1
# Outout device id, 0 by default  输出设备ID，默认为0
#netflowSNMPOutput=2
# 支持Netflow版本1,5,7，默认为7
#netflowVersion=1
# Semicolon ';' seperated list of netflow destinations 分号';' 分离的netflow目的地列表
#netflowDestinations=localhost:9993

# 指定我们为spidata计算的索引的最大数量。
# 如果我们允许spiData搜索太多的索引，ES它就会崩溃。
spiDataMaxIndices=4

# 取消注释以下内容以允许直接上传。 这是实验性的
#uploadCommand=/data/moloch-nightly/bin/moloch-capture --copy -n {NODE} -r {TMPFILE} -c {CONFIG} {TAGS}

# 标题模板
# _cluster_ = ES cluster name   ES集群名称
# _userId_  = logged in User Id   登录用户ID
# _userName_ = logged in User Name   登录用户名
# _page_ = internal page name   内部页面名称
# _expression_ = current search expression if set, otherwise blank  设置当前搜索表达式，否则为空
# _-expression_ = " - " + current search expression if set, otherwise blank, prior spaces removed  如果设置了当前搜索表达式，则删除空白前空间
# _view_ = current view if set, otherwise blank   设置当前视图，否则为空白
# _-view_ = " - " + current view if set, otherwise blank, prior spaces removed   如果设置了当前视图，则删除空白之前空间
#titleTemplate=_cluster_ - _page_ _-view_ _-expression_

# 处理数据包的线程数
packetThreads=2

# 高级 - 分号';' 要为配置加载的文件的分隔列表。 文件已加载
# 按顺序，可以替换此文件或以前文件中设置的值。
#includes=

# ADVANCED(高级) - 如何将pcap写入磁盘
#  simple          = 使用O_DIRECT（如果可用），在pcapWriteSize块中写入，每个数据包线程一个文件.
#  simple-nodirect = 不要使用O_DIRECT。 zfs和其他人都需要
pcapWriteMethod=simple

# ADVANCED(高级) - 写入pcap文件时的缓冲区大小。 应该是raid 5或xfs条带大小的倍数。 默认为256k
pcapWriteSize = 262143

# ADVANCED - 每次批量索引的字节数
dbBulkSize = 300000

# ADVANCED - 压缩对ES的请求，以增加的CPU为代价将ES带宽减少约80％。 必须在elasticsearch.yml文件中有“http.compression：true”
compressES = false

# ADVANCED - 弹性搜索的最大连接数
maxESConns = 30

# ADVANCED - q中未完成的es请求的最大数量
maxESRequests = 500

# ADVANCED - 要求libnids / libpcap 读取每个轮询/旋转的数据包数
# 增加可能会损害统计数据和ES表现
# 减少可能导致更多丢包
packetsPerPoll = 50000

# ADVANCED - Moloch将尝试通过交换来补偿SYN数据包的丢失
# 首先捕获SYN-acK数据包时的源地址和目标地址。
# 由于SYN攻击正在运行的Moloch时，将其设置为false可能很有用。
antiSynDrop = true

# DEBUG - 对每隔X个数据包写入stdout信息。 Write to stdout unknown protocols
# 设置为-1表示永不记录状态
logEveryXPackets = 100000

# DEBUG - 写入标准输出未知协议
logUnknownProtocols = false

# DEBUG - 写入标准输出弹性搜索请求   Write to stdout elastic search requests
logESRequests = true

# DEBUG - 写入标准输出文件创建信息
logFileCreation = true


### 高性能设置 High Performance settings
# https://github.com/aol/moloch/wiki/Settings#High_Performance_Settings
# magicMode=basic
# pcapReadMethod=tpacketv3
# tpacketv3NumThreads=2
# pcapWriteMethod=simple
# pcapWriteSize = 2560000
# packetThreads=5
# maxPacketsInQueue = 200000

### 低带宽设置 Low Bandwidth settings
# packetThreads=1
# pcapWriteSize = 65536


##############################################################################
# 类的节点 Classes of nodes
# 可以覆盖大多数默认值，并创建一个标记调用节点：  Can override most default values, and create a tag call node:
[class1]
freeSpaceG = 10%

##############################################################################
# Nodes
# 通常只需在第一个点之前使用主机名作为节点名称
# 可以覆盖大多数默认值

[node1]
nodeClass = class1
# 可能使用不同的elasticsearch节点
elasticsearch=elasticsearchhost1

# 如果此节点应处理cron查询，则取消注释，只有一个节点应处理cron查询  
# Uncomment if this node should process the cron queries, only ONE node should process cron queries
# cronQueries = true

[node2]
nodeClass = class2
# 可能使用不同的elasticsearch节点
elasticsearch=elasticsearchhost2
# 使用不同的接口
interface = eth4

##############################################################################
# override-ips是一个特殊的部分，它覆盖了字段集的MaxMind数据库，
# 但是未设置的字段仍将使用MaxMind（例如，如果您设置标记但不是国家，它将使用MaxMind作为国家/地区）空格和大小写非常重要。
# IP可以是单个IP或CIDR
# 最多可以添加10个标签
#
# ip=tag:TAGNAME1;tag:TAGNAME2;country:3LetterUpperCaseCountry;asn:ASN STRING
#[override-ips]
#10.1.0.0/16=tag:ny-office;country:USA;asn:AS0000 This is an ASN

##############################################################################
# 现在可以在配置文件中定义额外的http / email头索引。
# 可以使用表达式http。和email来访问它们。
# 带有可选.cnt表达式的
#
# Possible config atributes for all headers
#   type: (string|integer|ip)  = data type                (default string)
#  count:                     = index count of items     (default false)
#  unique:                    = only record unique items (default true)

# headers-http-request用于配置索引的请求标头
#[headers-http-request]
#referer=type:string;count:true;unique:true

# headers-http-response 用于配置http响应头以进行索引
#[headers-http-response]
#location=type:string;count:true

# headers-email 用于配置要编制索引的电子邮件标头
#[headers-email]
#x-priority=type:integer


##############################################################################
# 如果您有多个群集，并且您希望能够手动或使用cron功能将会话从一个群集发送到另一个群集，请填写此部分

#[moloch-clusters]
#forensics=url:https://viewer1.host.domain:8005;passwordSecret:password4moloch;name:Forensics Cluster
#shortname2=url:http://viewer2.host.domain:8123;passwordSecret:password4moloch;name:Testing Cluster



# WARNING: 这是一个带有部分的ini文件，很可能你不想在这里设置。
#          新设置通常接近[default]部分的顶部或[nodename]部分。