Bekijk Volledige Versie : Plots veel traffic
Ik heb sinds een half jaar een server bij LeaseWeb. Altijd werkte hij perfect. Tot ik vandaag opmerk dat ik gisteren maar liefst 80gb traffic had.
Op de MRTG stats op control pannel van Leaseweb zie ik extreem veel traffic.
www.dupondje.be/piek.JPG
Nu heb ik zelf ook mrtg draaien, en daar is de traffic normaal. Geen zo'n extreme piek. Ook iptraf toont geen process die zoveel traffic zou verbruiken.
Iemand enig id waaraan dit kan liggen ?
DDOS? controleer eens via ifstat op openstaande verbindingen
draai je misschien sinds kort backups (en verkeerde config dus backup van backup?)
Snel iemand inhuren die ernaar kijkt? Waarschijnlijk een brak CMS of een lek script en staat je server nu vol met video's en warez.
find / -size +10000000k -print -xdev
Had vorige maand ook drie mensen die me belden met een server bij Leaseweb en een heel gepeperde rekening gekregen hebben voor overusage!
Geen warez ofzo op de server, aangezien hij traffic niet toont op mrtg op server zelf.
ook niet een download iets? pdf bestanden? of andere bestanden behorende bij jou server of wat er ook op draait? veel universiteiten hebben tegenwoordig 100mbit netwerken. Misschien dat net iemand een bestandje opvroeg.
Een vriend van me op de universiteit groningen download rustig met 90 mbit dus jou server verstuurt dat ook als hij bezig is.
De traffiek op MIJN mrtg & in ifconfig/iptraf is verwaarloosbaar in vergelijking met wat Leaseweb control panel toont ...
De traffiek op MIJN mrtg & in ifconfig/iptraf is verwaarloosbaar in vergelijking met wat Leaseweb control panel toont ...
Gaat er misschien verkeer over een netwerk interface die mrtg niet graphed?
ken mrtg niet echt, maar pakt die bijvoorbeeld ook je eth0:0 mee?
Anders even contact opnemen met leaseweb, als dus hun grafiekjes blijkbaar fout zijn?
Kan ook nog verschil zijn tussen moment waarop statistieken worden bekeken, als je net doet als er geen verkeer is ;)
De traffiek op MIJN mrtg & in ifconfig/iptraf is verwaarloosbaar in vergelijking met wat Leaseweb control panel toont ...
Probleem is dat Leaseweb daar totaal geen boodschap aan heeft. Hun grafiekjes bepalen overusage. Dus zoek het zsm uit.
Heb ze gemailed. Maar waarschijnlijk maar maandag antwoord :(
Maar het lijkt erop dat er een fout is met de monitoring aan hun kant. Want de trafiek die ik zie is veel te normaal om ddos te zijn denkek zo. Amper traffic in de vroege morgen/voormiddag, en veel meer s'avonds ...
Wel raar dat het enkel inbound traffiek is. Dus traffiek naar server toe. Zeer vreemd :(
iptraf toont wel veel:
UDP (48 bytes) from 85.17.141.253:1985 to 224.0.0.2:1985 on eth0
Een vriend van me op de universiteit groningen download rustig met 90 mbit dus jou server verstuurt dat ook als hij bezig is.
Joh, dat doe ik thuis nog. De tijd dat enkel uni's glasvezel hadden liggen is wel voorbij hoor.
Joh, dat doe ik thuis nog. De tijd dat enkel uni's glasvezel hadden liggen is wel voorbij hoor.
20 mbit is normaal, daarboven in de glasvezel-steden ook maar in heel veel delen van nederland hebben ze echt nog geen glasvezel.
Server was om een of andere reden down vannacht voor 2uur. Geen errors in logs. Heb hem moeten rebooten via LeaseWeb control panel. Maar de tijd dat hij down was, bleef de traffic die ik verstookte onverminderd voortgaan ... Hoe is dat nou mogelijk :P
Het kan toch zijn dat al je services er uit liggen, dat server down lijkt. maar niet down is, is heel goed mogelijk dat server dan nog steeds verbruikt.
of gewoon zo'n extreme load bij je apache of mysql server dat de rest zooo traag reageert, (>1 minuut ofzo) dat jij ondertussen al gestopt bent omdat je denkt dat hij hangt en internet explorer inmiddels al een timeout gaf
of gewoon zo'n extreme load bij je apache of mysql server dat de rest zooo traag reageert, (>1 minuut ofzo) dat jij ondertussen al gestopt bent omdat je denkt dat hij hangt en internet explorer inmiddels al een timeout gaf
Nee, Want logs geven niets voor 2uur. MRTG werd niet geupdate. Dus hij lag echt wel plat :p
Of de load was zo hoog dat MRTG niet meer kon draaien.. :P
Swiftway-UK
22/06/08, 12:08
Maar de tijd dat hij down was, bleef de traffic die ik verstookte onverminderd voortgaan ... Hoe is dat nou mogelijk :P
Laat de jongens van Leaseweb even checken of ze niet per ongeluk de traffic van een andere server meten, waar gewerkt word, worden er fouten gemaakt.
Het lijkt er op inderdaad. Fouten gebeuren inderdaad. Maar heb dit topic gemaakt omdat het evengoed ik kon zijn die een fout had gemaakt, en dat het toch mijn traffic was. En hoe rapper dat was opgelost hoe beter :)
Zal hopelijk morgen antwoord krijgen van LeaseWeb
Ik heb sinds een half jaar een server bij LeaseWeb. Altijd werkte hij perfect. Tot ik vandaag opmerk dat ik gisteren maar liefst 80gb traffic had.
Op de MRTG stats op control pannel van Leaseweb zie ik extreem veel traffic.
www.dupondje.be/piek.JPG
Nu heb ik zelf ook mrtg draaien, en daar is de traffic normaal. Geen zo'n extreme piek. Ook iptraf toont geen process die zoveel traffic zou verbruiken.
Iemand enig id waaraan dit kan liggen ?
hoi, ik had net geleden het zelfde probleem in par dagan hadden ze 400 gb download, er was een script op de root via daar kunnen ze video up en donwloaden die van me ging via japan... ik heb niet kunnen oplossen ik heb helle server stop gezet ..en volledig opnieuw instaltie...
nu de probleem voorbij..die van me ze hadden via ray module een script geupload..
suc6
Als in je server log kijken zie je iets vreemds?
Kom je deze user agent vaak tegen:
Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1;1813)
Ik zie niets abnormaal! Ik meet zelf traffic op mijn server, en daar is alles perfect normaal. Daarom dat ik denk dat er foutje zit bij meting van Leaseweb. Morgen zal ik wel antwoord krijgen op mijn mail.
Het probleem is verholpen, het betrof vreemd broadcast traffic
veroorzaakt door de switchopstelling in uw kast. Dit probleem is nu
verholpen, mocht dit dataverkeer voor een oververbruik factuur zorgen
zullen wij deze crediteren.
Netjes van LeaseWeb :)
kijk je niet naar het traffic van een andere server? ipv die van je zelf?
kijk je niet naar het traffic van een andere server? ipv die van je zelf?
Kijk even post boven u :) Probleem is inmiddels verholpen :)
Okay, wat was het probleem?
Tevens had je ook een ander IP adres aan kunnen hangen zodat het verkeer dat naar je oude IP adres gestuurt werd, genullrouted zou worden.
Zoals hierboven:
Het probleem is verholpen, het betrof vreemd broadcast traffic
veroorzaakt door de switchopstelling in uw kast. Dit probleem is nu
verholpen, mocht dit dataverkeer voor een oververbruik factuur zorgen
zullen wij deze crediteren.
En van IP veranderen was niet echt een optie ... alles zou dan down zijn (of toch tot DNS is aangepast) + ik heb maar 1 ip :)
We zijn enkele maanden later, en plots, krijg ik weer last van extreme traffic waarden :(
Mijn MRTG, Cacti, Iptraf, niets toont zo'n hoge waarden, maar op SCC van Leaseweb zit ik met continu 2mbit verkeer, en uitschieters tot 24mbit ...
En volgens LeaseWeb zijn hun metingen correct ...
Als je ROUNDCUBE gebruikt, kijk even welke versie je hebt.
(/var/www/html)
Als je ROUNDCUBE gebruikt, kijk even welke versie je hebt.
(/var/www/html)
Gebruik geen roundcube! Toch bedankt voor de tip!
Ik heb een uur iptraf zitten draaien, en gemiddelde ligt rond de 3kbit/sec ... Dat is 1024keer minder dan statistieken volgens LW :(
Heb je hierbij ook geen onverklaarbaar hoge load op de server? Ik heb het zelf wel gehad met een DoS attack, waarbij de server zo zwaar belast werd dat ik er zelfs niet eens meer op kon komen. Maar dat soort traffic zou ook op cacti (Traffic en Unicast packets graphs) te zien moeten zijn.
Heb je leaseweb er op gewezen dat het de vorige keer ook aan hun kant lag?
load average: 0.10, 0.09, 0.09
Load is dus perfect. Er lijkt me echt niets mis op de server zelf.
Heb ze er op gewezen, maar reply gekregen dat ze traffic testen op de switch, en dat hun monitoring klopt...
Even wireshark installed, en wat zien we:
37.049072 x -> 85.17.239.1x UDP Source port: 27005 Destination port: 28020
37.051067 x -> 85.17.239.1x UDP Source port: 27005 Destination port: 28016
37.051071 x -> 85.17.239.1x UDP Source port: 27005 Destination port: 28016
37.055065 x -> 85.17.239.1x TCP 64633 > 13728 [ACK] Seq=911 Ack=878924 Win=256 Len=0
Ik krijg constant pakketten binnen die bestemd zijn voor ANDERE ip's, maar zelfde subnet ... Lijkt een brakke (en serieus onveilige) configuratie van switch @ LeaseWeb !
En mijn ticket is nog steeds niet opgelost :( Is dit normaal dat het ZO lang duurt ?
Dat zou idd kunnen. Afwachten is denk ik de enige optie.
wordt je overigens ook belast op hoeveelheid binnenkomende data bij jouw coloprovider? Zo niet kan je het evt gewoon nullrouten.
wordt je overigens ook belast op hoeveelheid binnenkomende data bij jouw coloprovider? Zo niet kan je het evt gewoon nullrouten.
Ja ik wordt hierop belast! Alsook vind ik het niet echt veilig! Misschien krijgen andere servers wel verkeer die bestemd is voor mijn server ook ... Kunnen ze al het verkeer naar mijn server onderscheppen, logins, wachtwoorden, ... noem maar op !
Ja ik wordt hierop belast! Alsook vind ik het niet echt veilig! Misschien krijgen andere servers wel verkeer die bestemd is voor mijn server ook ... Kunnen ze al het verkeer naar mijn server onderscheppen, logins, wachtwoorden, ... noem maar op !
ik doe alles encrypted dus ze hebben niet veel aan wat ze onderscheppen maar verkeerd is het zeker.