T-Pot项目中LLM蜜罐集成实践与问题排查指南

前言

T-Pot作为一个多蜜罐平台，在其24.04版本中引入了基于LLM(大语言模型)的蜜罐组件Beelzebub和Galah。本文将深入探讨这两个组件的集成原理、典型配置方案以及常见问题排查方法。

核心组件架构

1. Beelzebub蜜罐

Beelzebub是一个交互式SSH蜜罐框架，通过LLM模型实现智能响应。其核心功能包括：

• 构建SSH登录会话
• 动态生成命令响应
• 支持多种LLM后端集成

2. Galah蜜罐

Galah是一个基于LLM的Web应用蜜罐，特点包括：

• 构建HTTP/HTTPS服务
• 包含多种Web应用场景
• 支持请求内容智能分析

典型部署模式

Ollama服务部署

LLM服务通常通过Ollama容器部署，推荐配置：

services:
  ollama:
    image: ollama/ollama
    ports:
      - 11434:11434
    volumes:
      - ollama:/root/.ollama

网络连接方案

蜜罐容器与OLLama服务的连接有三种可行方案：

1. 同主机部署：使用宿主机IP而非localhost
2. 跨主机部署：使用FQDN或固定IP
3. Docker网络：创建专用bridge网络

常见配置问题解析

1. 连接拒绝问题

症状表现为蜜罐无法连接LLM服务，日志显示"connection refused"。根本原因包括：

• 使用了容器内的localhost指向
• 网络策略限制
• 端口映射错误

解决方案：

# 错误配置
BEELZEBUB_LLM_HOST: "http://localhost:11434/api/chat"

# 正确配置(宿主机IP示例)
BEELZEBUB_LLM_HOST: "http://192.168.1.100:11434/api/chat"

2. 模型名称错误

常见拼写错误导致模型加载失败：

# 错误示例
BEELZEBUB_OLLAMA_MODEL: "lamma3.2"

# 正确示例
BEELZEBUB_OLLAMA_MODEL: "llama3.2"

3. DNS解析问题

Galah蜜罐出现的反向DNS查询失败属于预期行为，因为：

• 内网IP通常没有PTR记录
• Docker内置DNS不维护本地网络解析

性能优化建议

1. GPU加速：为Ollama容器配置NVIDIA运行时
2. 模型选择：优先使用官方测试过的默认模型
3. 资源隔离：LLM服务与蜜罐分主机部署

排错方法论

1. 基础连通性测试：

curl -X POST http://<ollama_ip>:11434/api/chat

2. 容器网络诊断：

docker exec -it <container> sh
nslookup <target>
ping <target>

3. 日志分析要点：

• 关注"connection refused"类错误
• 检查模型加载状态
• 验证请求/响应时序

结语

T-Pot的LLM蜜罐组件为威胁检测提供了智能交互能力，正确的网络配置和模型选择是关键。建议生产环境中采用分离式部署架构，并为LLM服务配置足够的计算资源。通过系统化的排错方法，可以快速解决大多数集成问题。