Onderwerp: Kernel limits?

Jan 9 22:06:00 bt1 /kernel: Limiting closed port RST response from 284 to 200 p
ackets per second
Jan 9 22:06:01 bt1 /kernel: Limiting closed port RST response from 274 to 200 p
ackets per second

Hier heb ik er vrij veel van, alles werkt inmiddels wel goed (heb geen downtime kunnen vinden)

Ik ben heel benieuwd wat het is, ik heb dit sinds zaterdag avond en ben de enige niet hoorde ik al.

Klinkt meer als een hack poging of DOS attack ... wat voor poort was dit op ? Blijkbaar staat je kernel ingesteld niet meer dan 200 RST per sec te sturen....

Ik zal het beter zeggen;

Vrijdag avond zag ik een site offline gaan en heb ik via msn dat direct gemeld. De hoster in kwesie is direct gaan kijken en er was weinig te redden. Na een reboot werkte alles weer perfect.

Dag later, ik had had zelfde. Mijn machine was daarbij nog wél bereikbaar alleen HTTP was geheel dood. Ook apache restarten had geen nut meer, na een reboot van de machine was alles in orde.

Tijdens de aanval had ik een piek verkeer van 8 mbit, ik kan dit niet geheel geloven (stats zijn wel vaker niet geheel accuraat) maar het wijst in elk geval op iets aparts.

Http logs bieden géén uitkomst, dit is op het hele systeem het enige vindbare. Rikhunter ook geen dingen.

--edit
Normaal had ik (volgens SNMP stats) een gemiddelde load van 0.5 tot 0.8. Dit lijkt me vrij accuraat. Sinds de aanval heb ik loads van 0.03-0.05. Iets wat niet zou kunnen als ik het met mijn logische verstand probeer te begrijpen. Alle services draaien wél in orde.

Lijkt me dat mbufs ofzo vol zitten.

Doe eens als zo een probleem optreed netstat -am

Origineel geplaatst door luser
Lijkt me dat mbufs ofzo vol zitten.

Doe eens als zo een probleem optreed netstat -am

Top, geen hoge load en niets geks.
Netstat, geen extra connecties (althans, niets geks)

Het is echt iets heel raars maar ben inmiddels samen met 2 andere in dit probleem.

Probeer eens met tcpdump te kijken wat voor een verkeer er allemaal binnen komt.

Ik heb precies hetzelfde gehad, machine was te pingen en daar bleef het bij. Alle services waren ook ineens festopt. Machine booten en het werkte weer, logs gaven helaas weer niks weer.

Dus niemand met een oplossing?

hoe doe ik een TCP dump, geen idee van dat soort dingen geloof ik.

Voor de duidelijkheid; Alle services draaide prima alleen httpd was genokt. De service (httpd) draaide nog prima zonder hoge load maar was onbereikbaar.

Origineel geplaatst door yourforum


Top, geen hoge load en niets geks.
Netstat, geen extra connecties (althans, niets geks)

Het is echt iets heel raars maar ben inmiddels samen met 2 andere in dit probleem.

netstat -am toont wat anders dan dan alleen connecties.

Ik heb het ook voorgehad bij een bridge firewall hier...

Origineel geplaatst door Mikey
Ik heb precies hetzelfde gehad, machine was te pingen en daar bleef het bij. Alle services waren ook ineens festopt. Machine booten en het werkte weer, logs gaven helaas weer niks weer.

Had precies hetzelfde probleem met 1 server van het weekend, hele rare kwestie!

ik zal de namen van de andere niet noemen, staat slecht maar je bent nu de 4e of 5e die dit meld..

--edit
Kan het een aanval zijn tegen bepaalde hosters en/of het gebruik maken van een exploit?

Het lijkt inderdaad heel erg op een exploit... Vergelijk eens de kernel versies?

Origineel geplaatst door yourforum
ik zal de namen van de andere niet noemen, staat slecht maar je bent nu de 4e of 5e die dit meld..

--edit
Kan het een aanval zijn tegen bepaalde hosters en/of het gebruik maken van een exploit?

op dit moment (12.15) ondervinden we wéér deze aanval.

67/432/16192 mbufs in use (current/peak/max):
67 mbufs allocated to data
66/384/4048 mbuf clusters in use (current/peak/max)
876 Kbytes allocated to network (7% of mb_map in use)
0 requests for memory denied
0 requests for memory delayed
0 calls to protocol drain routines

Dit keer is apache er helemaal uit geklapt, verder niets bijzonders kunnen vinden. Error log is ook (op 404 na) leeg.

Origineel geplaatst door Thijma.NL


Had precies hetzelfde probleem met 1 server van het weekend, hele rare kwestie!

fedora 1 ? 2199 ?

Freebsd 4.10 met apache 1.x hier.. (cpanel server)