Доброго времени суток!
Сервер на freebsd 6.2RC1 перезагружается сам по себе. Перечитал темы по этому вопросу, отключил сервер - перебрал все комплектующие, почистил разъемы, почистил от пыли, собрал, запустил - не помогло. Прогнал GoldMemory по оперативке, все нормально, заменил нарддиск, блок питания, кулер - трабла осталась. Поменять материнскую и проц пока нет возможности, но в этом направлении тоже работаю. Вопрос вот в чем - а может быть такая ситуация из-за того что ДДОСят? Т.к. сервак уходит в перезагрузку в момент пиковой нагрузки, и всегда по вечерам, когда меня нет на работе. Иногда при этом портится один из слайсов, чаще всего /var, и он не может сам загрузиться, только после ручного запуска fsck на /var. Пару раз оставлял tcpdump в режиме логирования в файл и два раза весь сетевой трафик до момента перезагрузки записал. Может есть какие-то общие признаки ДДОС? И по анализу лога tcpdump можно выяснить это?
>Доброго времени суток!
>Сервер на freebsd 6.2RC1 перезагружается сам по себе. Перечитал темы по этому
>вопросу, отключил сервер - перебрал все комплектующие, почистил разъемы, почистил от
>пыли, собрал, запустил - не помогло. Прогнал GoldMemory по оперативке, все
>нормально, заменил нарддиск, блок питания, кулер - трабла осталась. Поменять материнскую
>и проц пока нет возможности, но в этом направлении тоже работаю.
>Вопрос вот в чем - а может быть такая ситуация из-за
>того что ДДОСят? Т.к. сервак уходит в перезагрузку в момент пиковой
>нагрузки, и всегда по вечерам, когда меня нет на работе. Иногда
>при этом портится один из слайсов, чаще всего /var, и он
>не может сам загрузиться, только после ручного запуска fsck на /var.
>Пару раз оставлял tcpdump в режиме логирования в файл и два
>раза весь сетевой трафик до момента перезагрузки записал. Может есть какие-то
>общие признаки ДДОС? И по анализу лога tcpdump можно выяснить это?
>
Канал на мониторинг! После этого задавайте более конкретные вопросы.
>>Доброго времени суток!
>>Сервер на freebsd 6.2RC1 перезагружается сам по себе. Перечитал темы по этому
>>вопросу, отключил сервер - перебрал все комплектующие, почистил разъемы, почистил от
>>пыли, собрал, запустил - не помогло. Прогнал GoldMemory по оперативке, все
>>нормально, заменил нарддиск, блок питания, кулер - трабла осталась.
...
>>Пару раз оставлял tcpdump в режиме логирования в файл и два
>>раза весь сетевой трафик до момента перезагрузки записал. Может есть какие-то
>>общие признаки ДДОС? И по анализу лога tcpdump можно выяснить это?
>>
>Канал на мониторинг! После этого задавайте более конкретные вопросы.А включенный на логирование трафика на интерфейсе tcpdump разве не подходит?
смотри в файле наличие таких последовательных запросов
pendos.us.50703 > your.host.com.http: S 3459735524:3459735524(0)
pendos.us.50705 > your.host.com.http: S 3459735524:3459735524(0)
pendos.us.50707 > your.host.com.http: S 3459735524:3459735524(0)
pendos.us.50709 > your.host.com.http: S 3459735524:3459735524(0)
pendos.us.50711 > your.host.com.http: S 3459735524:3459735524(0)
это и есть дос.
>смотри в файле наличие таких последовательных запросов
>pendos.us.50703 > your.host.com.http: S 3459735524:3459735524(0)
>pendos.us.50705 > your.host.com.http: S 3459735524:3459735524(0)
>pendos.us.50707 > your.host.com.http: S 3459735524:3459735524(0)
>pendos.us.50709 > your.host.com.http: S 3459735524:3459735524(0)
>pendos.us.50711 > your.host.com.http: S 3459735524:3459735524(0)
>это и есть дос.
Ок. Счас логи буду просматривать ...
просмотрел логи за несколько дней, таких явных "столбцов" SYN пакетов с одного IP с чередованием портов источника не нашел. Зато есть "столбцы (по 11 строк) ASK пакетов с одного источника, например такого вида:
---
IP 194.158.xx3.xx7.3425 > 82.209.2xx.xx3.80: . ack 2921 win 65535
IP 194.158.xx3.xx7.3425 > 82.209.2xx.xx3.80: . ack 4381 win 65535
IP 194.158.xx3.xx7.3425 > 82.209.2xx.xx3.80: . ack 7301 win 65535
IP 194.158.xx3.xx7.3425 > 82.209.2xx.xx3.80: . ack 8761 win 65535
IP 194.158.xx3.xx7.3425 > 82.209.2xx.xx3.80: . ack 11681 win 62615
IP 194.158.xx3.xx7.3425 > 82.209.2xx.xx3.80: . ack 14601 win 59695
IP 194.158.xx3.xx7.3425 > 82.209.2xx.xx3.80: . ack 17521 win 56775
IP 194.158.xx3.xx7.3425 > 82.209.2xx.xx3.80: . ack 20441 win 53855
IP 194.158.xx3.xx7.3425 > 82.209.2xx.xx3.80: . ack 23361 win 50935
IP 194.158.xx3.xx7.3425 > 82.209.2xx.xx3.80: . ack 24333 win 49964
IP 194.158.xx3.xx7.3425 > 82.209.2xx.xx3.80: . ack 24333 win 65535
---В файрвол я забил строку лимита:
ipfw add pass tcp from any to me dst-port 80,8888 setup limit src-addr 9но, видимо, это правило не срабатывает, или неполно срабатывает, т.к. таких столбцов довольно много и с разных IP. Причем через короткое время опять идет столбец с того же IP, ощущение что limit закрывает IP после 11 соединений, а потом снова открывается доступ с этого IP. Как-нибудь можно от такого (похоже сканирования) закрыться?
PS. Реальные IP заменил на "хх"
PS2. Может быть стоит убрать setup из правила или поставить два лимита? Один с setup второй без на эти порты?