Уважаемые посетители!

XliN · 24.08.2013 21:37:43

XliN
С нами Бог
Неактивен

Откуда: Белгород
Зарегистрирован: 23.04.2010
Сообщений: 4,524
Репутация : [ 93 | 1 ]

Не пойму что случилось. Стал постоянно отваливаться сервер. Перестает пинговаться и все сайты на нем уходят в аут.
На шлюзе вижу что на него постоянно идут arp запросы

[root@ldap named]# tcpdump -i vlan4 -nn -tt host 192.168.1.120
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on vlan4, link-type EN10MB (Ethernet), capture size 96 bytes
1377366142.169941 arp who-has 192.168.1.120 tell 192.168.1.77
1377366143.178915 arp who-has 192.168.1.120 tell 192.168.1.77
1377366144.178887 arp who-has 192.168.1.120 tell 192.168.1.77
1377366145.178858 arp who-has 192.168.1.120 tell 192.168.1.77
1377366146.188831 arp who-has 192.168.1.120 tell 192.168.1.77
1377366147.188806 arp who-has 192.168.1.120 tell 192.168.1.77
1377366148.188779 arp who-has 192.168.1.120 tell 192.168.1.77
1377366149.198750 arp who-has 192.168.1.120 tell 192.168.1.77
1377366150.198724 arp who-has 192.168.1.120 tell 192.168.1.77
1377366151.197696 arp who-has 192.168.1.120 tell 192.168.1.77

192.168.1.120 -- как раз вебсервер
192.168.1.77 -- сам шлюз (он перенаправляет трафик из вне на веб сервер)

не знаю. От этого или нет. Подскажите куда капать пожалуйста.

З.Ы. Попутно вопрос. Вижу что сеть еще загружает торрент. Кто то на ночь врубил закачку. Как разорвать соединение? Пакеты уже значатся как ESTABILESHED и iptables на него не действует. Шлюз перезапускать не хочется.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

XliN · 24.08.2013 21:52:11

XliN
С нами Бог
Неактивен

Откуда: Белгород
Зарегистрирован: 23.04.2010
Сообщений: 4,524
Репутация : [ 93 | 1 ]

И bind выдает вот такие ошибки на шлюзе. Вообще с DNS не понятки творятся. Что это?

Aug 24 21:57:56 ldap named[16984]: zone 0.in-addr.arpa/IN: loaded serial 42
Aug 24 21:57:56 ldap named[16984]: zone 168.192.in-addr.arpa/IN: loaded serial 4212
Aug 24 21:57:56 ldap named[16984]: zone 0.0.127.in-addr.arpa/IN: loaded serial 1997022700
Aug 24 21:57:56 ldap named[16984]: zone 255.in-addr.arpa/IN: loaded serial 42
Aug 24 21:57:56 ldap named[16984]: zone 0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa/IN: loaded serial 1997022700
Aug 24 21:57:56 ldap named[16984]: zone mageialinux.ru/IN: loaded serial 2007022600
Aug 24 21:57:56 ldap named[16984]: zone mgkb1.local/IN: loaded serial 6002
Aug 24 21:57:56 ldap named[16984]: zone localdomain/IN: loaded serial 42
Aug 24 21:57:56 ldap named[16984]: zone localhost/IN: loaded serial 42
Aug 24 21:57:56 ldap named[16984]: all zones loaded
Aug 24 21:57:56 ldap named[16984]: running
Aug 24 21:57:56 ldap named[16984]: zone mgkb1.local/IN: sending notifies (serial 6002)
Aug 24 21:57:56 ldap named[16984]: zone 168.192.in-addr.arpa/IN: sending notifies (serial 4212)
Aug 24 21:57:56 ldap named[16984]: zone mageialinux.ru/IN: sending notifies (serial 2007022600)
Aug 24 21:58:05 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.41.8#53
Aug 24 21:58:05 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.32.5#53
Aug 24 21:58:07 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.32.5#53
Aug 24 21:58:07 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.41.8#53
Aug 24 21:58:13 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.41.8#53
Aug 24 21:58:13 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.32.5#53
Aug 24 21:58:16 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.32.5#53
Aug 24 21:58:16 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.41.8#53

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

XliN · 24.08.2013 21:55:01

XliN
С нами Бог
Неактивен

Откуда: Белгород
Зарегистрирован: 23.04.2010
Сообщений: 4,524
Репутация : [ 93 | 1 ]

Занес 192.168.1.120 (webserver) в записи DNS и arp вроде как норм отработал

[root@ldap named]# arp -na | grep 120
? (192.168.1.120) at 52:54:00:20:2B:38 [ether] on vlan4

Но ARP все равно постоянно идут

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

marikk · 25.08.2013 08:09:37

marikk
Пользователь
Неактивен

Зарегистрирован: 24.10.2011
Сообщений: 681
Репутация : [ 18 | 0 ]

arp who-has 192.168.1.120 tell 192.168.1.77

Попробуйте сделать более подробный вывод и посмотреть с какого mac идут запросы. Может кто то балуется ?

XliN⇓ пишет:

. Как разорвать соединение?

Отпрваить поддельный arp reply с ложным mac адресом и ip шлюза. Через пару минут отправить нормальный reply.

XliN · 25.08.2013 12:32:24

XliN
С нами Бог
Неактивен

Откуда: Белгород
Зарегистрирован: 23.04.2010
Сообщений: 4,524
Репутация : [ 93 | 1 ]

marikk⇓ пишет:

Попробуйте сделать более подробный вывод и посмотреть с какого mac идут запросы. Может кто то балуется ?

Каким образом? Кстати я отрубил всех кто качал, но сайты все равно так же не доступны. Пинги то есть, то нету. Сейчас все запросы перенаправил на другой сервер, заглушку. Так тот сервер сразу отвис и доступ к нему нормальный по ssh.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

XliN · 25.08.2013 12:42:57

XliN
С нами Бог
Неактивен

Откуда: Белгород
Зарегистрирован: 23.04.2010
Сообщений: 4,524
Репутация : [ 93 | 1 ]

И я не пойму, почему из сети идут запросы на slave DNS сервер (192.168.3.223), он их не может обработать и перенаправляет на мастер DNS (192.168.1.77) тем самым получаю кучу запросов и логи растут.

Aug 24 21:58:05 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.41.8#53
Aug 24 21:58:05 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.32.5#53
Aug 24 21:58:07 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.32.5#53
Aug 24 21:58:07 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.41.8#53

Лечится отключением логирования на мастере, но это не выход думаю. Может где в сети вирус завелся?

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

XliN · 25.08.2013 14:37:22

XliN
С нами Бог
Неактивен

Откуда: Белгород
Зарегистрирован: 23.04.2010
Сообщений: 4,524
Репутация : [ 93 | 1 ]

Прошу помощи. Не знаю куда копать ((( Руки опускаются.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

Alexey_1 · 26.08.2013 08:06:29

Alexey_1
Новичок
Неактивен

Зарегистрирован: 09.10.2012
Сообщений: 77
Репутация : [ 1 | 0 ]

XliN пишет:

Прошу помощи. Не знаю куда копать ((( Руки опускаются.

Я бы железо протестировал, и не только память. И блок питания и стресс-тесты погонял.

yars · 26.08.2013 08:54:35

yars
Slacker
Неактивен

Откуда: Тамбовская область
Зарегистрирован: 23.03.2012
Сообщений: 10,043
Репутация : [ 309 | 1 ]

Да нет, железо тут, скорее всего, ни при чем, кто-то действительно балуется, я тут видел:

Aug 24 21:58:05 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.32.5#53

Эти два IP ведь извне, я правильно понимаю?

Истинный hotplug - это обычная электрическая розетка: воткнул - работает, и никаких драйверов.
Arch Linux/Xfce/Xiaomi Mi Notebook Pro 15.6 | Slackware64-current/Xfce/Lenovo G580

XliN · 26.08.2013 13:42:06

XliN
С нами Бог
Неактивен

Откуда: Белгород
Зарегистрирован: 23.04.2010
Сообщений: 4,524
Репутация : [ 93 | 1 ]

yars⇓ пишет:

Эти два IP ведь извне, я правильно понимаю?

Да. Из вне. Идут от DNS Slave. Если я на нем ставлю recursion no, то пропадают, но инет отваливается у всех, кто использует этот DNS Slave как основной.
Бинды на все обновлены до последней версии. Система CentOS 5.8 и 6.2

Получается 195.162.32.5 не может отрезолвиться на Slave и пересылает его на форвадинг (мастер). Только не понятно почему обратная зона. Могу ошибаться.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

Kettler · 26.08.2013 14:47:10

Kettler
Пользователь
Неактивен

Зарегистрирован: 07.10.2010
Сообщений: 4,105
Репутация : [ 131 | 4 ]

XliN пишет:

yars⇓ пишет:
Эти два IP ведь извне, я правильно понимаю?
Да. Из вне. Идут от DNS Slave. Если я на нем ставлю recursion no, то пропадают, но инет отваливается у всех, кто использует этот DNS Slave как основной.
Бинды на все обновлены до последней версии. Система CentOS 5.8 и 6.2
Получается 195.162.32.5 не может отрезолвиться на Slave и пересылает его на форвадинг (мастер). Только не понятно почему обратная зона. Могу ошибаться.

А как они вообще из вне к вам попадают? Вывесил slave dns наружу?

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

AlfaStriker · 26.08.2013 15:37:09

AlfaStriker
Пользователь
Неактивен

Откуда: Almaty
Зарегистрирован: 01.03.2011
Сообщений: 1,779

recursion no

Ну так надо прописать вот так, а не как ты прописываешь:

allow-recursion   { 127.0.0.1; 10.168.50.0/24;};

Где:

127.0.0.1 - адрес внутренней петли
10.168.50.0/24 - адрес локальной сети

Обычно вот такую вставку надо вставлять для авториатрного DNS сервера:

allow-query       { any;};
allow-query-cache { 127.0.0.1; 10.168.50.0/24;};
allow-recursion   { 127.0.0.1; 10.168.50.0/24;};

Нельзя чтобы рекурсивные запросы шли от других DNS серверов на твой.
Поэтому в allow-recursion только твои доверенные сети и компы.

XliN · 27.08.2013 00:41:16

XliN
С нами Бог
Неактивен

Откуда: Белгород
Зарегистрирован: 23.04.2010
Сообщений: 4,524
Репутация : [ 93 | 1 ]

AlfaStriker, Не надо меня совсем за идиота держать. У меня так и было прописано. Если прочитать внимательно, то можно понять что вопрос стоит в том что бы узнать с какого лешего лезет обратная зона.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

AlfaStriker · 01.09.2013 10:36:56

AlfaStriker
Пользователь
Неактивен

Откуда: Almaty
Зарегистрирован: 01.03.2011
Сообщений: 1,779

Конфигов твоих не видно, вот и дал маленький советик
Как решил проблему?

XliN · 01.09.2013 11:32:03

XliN
С нами Бог
Неактивен

Откуда: Белгород
Зарегистрирован: 23.04.2010
Сообщений: 4,524
Репутация : [ 93 | 1 ]

AlfaStriker⇓ пишет:

Конфигов твоих не видно, вот и дал маленький советик

Ты извини. На нервах был. Не серчай.

AlfaStriker⇓ пишет:

Как решил проблему?

Да понимаешь какое дело, как то само все перестало. Походу мини атака =( Другого объяснения не нахожу.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

XELFAER · 04.09.2013 02:16:40

XELFAER
Пользователь
Неактивен

Откуда: ДНР, Донецк
Зарегистрирован: 22.02.2010
Сообщений: 788
Репутация : [ 26 | 0 ]

XliN⇓ пишет:

Походу мини атака

хм, с какого места интересно она исходила

Верить нельзя никому...

XliN · 04.09.2013 09:58:47

XliN
С нами Бог
Неактивен

Откуда: Белгород
Зарегистрирован: 23.04.2010
Сообщений: 4,524
Репутация : [ 93 | 1 ]

XELFAER⇓ пишет:

хм, с какого места интересно она исходила

не знаю. Может и нет. Просто уже и не знал на что подумать. Сейчас все нормализовалось.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

Уважаемые посетители!

Падает сервер с сайтами

Сообщений 17

1 Тема от XliN 24.08.2013 21:37:43 (24.08.2013 21:41:02 отредактировано XliN)

2 Ответ от XliN 24.08.2013 21:52:11

3 Ответ от XliN 24.08.2013 21:55:01 (24.08.2013 22:11:20 отредактировано XliN)

4 Ответ от marikk 25.08.2013 08:09:37 (25.08.2013 08:12:18 отредактировано marikk)

5 Ответ от XliN 25.08.2013 12:32:24

6 Ответ от XliN 25.08.2013 12:42:57

7 Ответ от XliN 25.08.2013 14:37:22

8 Ответ от Alexey_1 26.08.2013 08:06:29

9 Ответ от yars 26.08.2013 08:54:35

10 Ответ от XliN 26.08.2013 13:42:06 (26.08.2013 13:46:08 отредактировано XliN)

11 Ответ от Kettler 26.08.2013 14:47:10

12 Ответ от AlfaStriker 26.08.2013 15:37:09 (26.08.2013 15:38:39 отредактировано AlfaStriker)

13 Ответ от XliN 27.08.2013 00:41:16

14 Ответ от AlfaStriker 01.09.2013 10:36:56

15 Ответ от XliN 01.09.2013 11:32:03

16 Ответ от XELFAER 04.09.2013 02:16:40

17 Ответ от XliN 04.09.2013 09:58:47

Сообщений 17

Просматривают тему: 1 гость, 0 пользователей