1 Тема от XliN (24.08.2013 21:41:02 отредактировано XliN)

  • XliN
  • XliN
  • С нами Бог
  • На форуме
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

Не пойму что случилось. Стал постоянно отваливаться сервер. Перестает пинговаться и все сайты на нем уходят в аут.
На шлюзе вижу что на него постоянно идут arp запросы

[root@ldap named]# tcpdump -i vlan4 -nn -tt host 192.168.1.120
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on vlan4, link-type EN10MB (Ethernet), capture size 96 bytes
1377366142.169941 arp who-has 192.168.1.120 tell 192.168.1.77
1377366143.178915 arp who-has 192.168.1.120 tell 192.168.1.77
1377366144.178887 arp who-has 192.168.1.120 tell 192.168.1.77
1377366145.178858 arp who-has 192.168.1.120 tell 192.168.1.77
1377366146.188831 arp who-has 192.168.1.120 tell 192.168.1.77
1377366147.188806 arp who-has 192.168.1.120 tell 192.168.1.77
1377366148.188779 arp who-has 192.168.1.120 tell 192.168.1.77
1377366149.198750 arp who-has 192.168.1.120 tell 192.168.1.77
1377366150.198724 arp who-has 192.168.1.120 tell 192.168.1.77
1377366151.197696 arp who-has 192.168.1.120 tell 192.168.1.77

192.168.1.120 -- как раз вебсервер
192.168.1.77 -- сам шлюз (он перенаправляет трафик из вне на веб сервер)

не знаю. От этого или нет. Подскажите куда капать пожалуйста.

З.Ы. Попутно вопрос. Вижу что сеть еще загружает торрент. Кто то на ночь врубил закачку. Как разорвать соединение? Пакеты уже значатся как ESTABILESHED и iptables на него не действует. Шлюз перезапускать не хочется.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

2 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • На форуме
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

И bind выдает вот такие ошибки на шлюзе. Вообще с DNS не понятки творятся. Что это?

Aug 24 21:57:56 ldap named[16984]: zone 0.in-addr.arpa/IN: loaded serial 42
Aug 24 21:57:56 ldap named[16984]: zone 168.192.in-addr.arpa/IN: loaded serial 4212
Aug 24 21:57:56 ldap named[16984]: zone 0.0.127.in-addr.arpa/IN: loaded serial 1997022700
Aug 24 21:57:56 ldap named[16984]: zone 255.in-addr.arpa/IN: loaded serial 42
Aug 24 21:57:56 ldap named[16984]: zone 0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa/IN: loaded serial 1997022700
Aug 24 21:57:56 ldap named[16984]: zone mageialinux.ru/IN: loaded serial 2007022600
Aug 24 21:57:56 ldap named[16984]: zone mgkb1.local/IN: loaded serial 6002
Aug 24 21:57:56 ldap named[16984]: zone localdomain/IN: loaded serial 42
Aug 24 21:57:56 ldap named[16984]: zone localhost/IN: loaded serial 42
Aug 24 21:57:56 ldap named[16984]: all zones loaded
Aug 24 21:57:56 ldap named[16984]: running
Aug 24 21:57:56 ldap named[16984]: zone mgkb1.local/IN: sending notifies (serial 6002)
Aug 24 21:57:56 ldap named[16984]: zone 168.192.in-addr.arpa/IN: sending notifies (serial 4212)
Aug 24 21:57:56 ldap named[16984]: zone mageialinux.ru/IN: sending notifies (serial 2007022600)
Aug 24 21:58:05 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.41.8#53
Aug 24 21:58:05 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.32.5#53
Aug 24 21:58:07 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.32.5#53
Aug 24 21:58:07 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.41.8#53
Aug 24 21:58:13 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.41.8#53
Aug 24 21:58:13 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.32.5#53
Aug 24 21:58:16 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.32.5#53
Aug 24 21:58:16 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.41.8#53
MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

3 Ответ от XliN (24.08.2013 22:11:20 отредактировано XliN)

  • XliN
  • XliN
  • С нами Бог
  • На форуме
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

Занес 192.168.1.120 (webserver) в записи DNS и arp вроде как норм отработал

[root@ldap named]# arp -na | grep 120
? (192.168.1.120) at 52:54:00:20:2B:38 [ether] on vlan4

Но ARP все равно постоянно идут

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

4 Ответ от marikk (25.08.2013 08:12:18 отредактировано marikk)

  • marikk
  • Пользователь
  • Неактивен
  • Зарегистрирован: 24.10.2011
  • Сообщений: 681
  • Репутация : [ 18 | 0 ]

arp who-has 192.168.1.120 tell 192.168.1.77

Попробуйте сделать более подробный вывод и посмотреть с какого mac идут запросы. Может кто то балуется ?

XliN⇓ пишет:

. Как разорвать соединение?

Отпрваить поддельный arp reply с ложным mac адресом и ip шлюза. Через пару минут отправить нормальный reply.

5 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • На форуме
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]
marikk⇓ пишет:

Попробуйте сделать более подробный вывод и посмотреть с какого mac идут запросы. Может кто то балуется ?

Каким образом? Кстати я отрубил всех кто качал, но сайты все равно так же не доступны. Пинги то есть, то нету. Сейчас все запросы перенаправил на другой сервер, заглушку. Так тот сервер сразу отвис и доступ к нему нормальный по ssh.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

6 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • На форуме
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

И я не пойму, почему из сети идут запросы на slave DNS сервер (192.168.3.223), он их не может обработать и перенаправляет на мастер DNS (192.168.1.77) тем самым получаю кучу запросов и логи растут.

Aug 24 21:58:05 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.41.8#53
Aug 24 21:58:05 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.32.5#53
Aug 24 21:58:07 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.32.5#53
Aug 24 21:58:07 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.41.8#53

Лечится отключением логирования на мастере, но это не выход думаю. Может где в сети вирус завелся?

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

7 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • На форуме
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

Прошу помощи. Не знаю куда копать ((( Руки опускаются.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

8 Ответ от Alexey_1

  • Alexey_1
  • Новичок
  • Неактивен
  • Зарегистрирован: 09.10.2012
  • Сообщений: 77
  • Репутация : [ 1 | 0 ]
XliN пишет:

Прошу помощи. Не знаю куда копать ((( Руки опускаются.

Я бы железо протестировал, и не только память. И блок питания и стресс-тесты погонял.

Сайт Alexey_1

9 Ответ от yars

  • yars
  • yars
  • Slacker
  • Неактивен
  • Откуда: Тамбовская область
  • Зарегистрирован: 23.03.2012
  • Сообщений: 10,043
  • Репутация : [ 309 | 1 ]

Да нет, железо тут, скорее всего, ни при чем, кто-то действительно балуется, я тут видел: 

Aug 24 21:58:05 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.32.5#53

Эти два IP ведь извне, я правильно понимаю?

Истинный hotplug - это обычная электрическая розетка: воткнул - работает, и никаких драйверов.
Arch Linux/Xfce/Xiaomi Mi Notebook Pro 15.6 | Slackware64-current/Xfce/Lenovo G580

10 Ответ от XliN (26.08.2013 13:46:08 отредактировано XliN)

  • XliN
  • XliN
  • С нами Бог
  • На форуме
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]
yars⇓ пишет:

Эти два IP ведь извне, я правильно понимаю?

Да. Из вне. Идут от DNS Slave. Если я на нем ставлю recursion no, то пропадают, но инет отваливается у всех, кто использует этот DNS Slave как основной.
Бинды на все обновлены до последней версии. Система CentOS 5.8 и 6.2

Получается 195.162.32.5 не может отрезолвиться на Slave и пересылает его на форвадинг (мастер). Только не понятно почему обратная зона. Могу ошибаться.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

11 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]
XliN пишет:
yars⇓ пишет:

Эти два IP ведь извне, я правильно понимаю?

Да. Из вне. Идут от DNS Slave. Если я на нем ставлю recursion no, то пропадают, но инет отваливается у всех, кто использует этот DNS Slave как основной.
Бинды на все обновлены до последней версии. Система CentOS 5.8 и 6.2

Получается 195.162.32.5 не может отрезолвиться на Slave и пересылает его на форвадинг (мастер). Только не понятно почему обратная зона. Могу ошибаться.

А как они вообще из вне к вам попадают? Вывесил slave dns наружу?

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

12 Ответ от AlfaStriker (26.08.2013 15:38:39 отредактировано AlfaStriker)

  • AlfaStriker
  • Пользователь
  • Неактивен
  • Откуда: Almaty
  • Зарегистрирован: 01.03.2011
  • Сообщений: 1,779
recursion no

Ну так надо прописать вот так, а не как ты прописываешь:

allow-recursion   { 127.0.0.1; 10.168.50.0/24;};

Где:

127.0.0.1 - адрес внутренней петли
10.168.50.0/24 - адрес локальной сети

Обычно вот такую вставку надо вставлять для авториатрного DNS сервера:

allow-query       { any;};
allow-query-cache { 127.0.0.1; 10.168.50.0/24;};
allow-recursion   { 127.0.0.1; 10.168.50.0/24;};

Нельзя чтобы рекурсивные запросы шли от других DNS серверов на твой.
Поэтому в allow-recursion  только твои доверенные сети и компы.

Сайт AlfaStriker

13 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • На форуме
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

AlfaStriker, Не надо меня совсем за идиота держать. У меня так и было прописано. Если прочитать внимательно, то можно понять что вопрос стоит в том что бы узнать с какого лешего лезет  обратная зона.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

14 Ответ от AlfaStriker

  • AlfaStriker
  • Пользователь
  • Неактивен
  • Откуда: Almaty
  • Зарегистрирован: 01.03.2011
  • Сообщений: 1,779

Конфигов твоих не видно, вот и дал маленький советик ab
Как решил проблему?

Сайт AlfaStriker

15 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • На форуме
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]
AlfaStriker⇓ пишет:

Конфигов твоих не видно, вот и дал маленький советик

Ты извини. На нервах был. Не серчай.

AlfaStriker⇓ пишет:

Как решил проблему?

Да понимаешь какое дело, как то само все перестало. Походу мини атака =( Другого объяснения не нахожу.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

16 Ответ от XELFAER

  • XELFAER
  • XELFAER
  • Пользователь
  • Неактивен
  • Откуда: ДНР, Донецк
  • Зарегистрирован: 22.02.2010
  • Сообщений: 788
  • Репутация : [ 26 | 0 ]
XliN⇓ пишет:

Походу мини атака

хм, с какого места интересно она исходила  bw

Верить нельзя никому...

Сайт XELFAER

17 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • На форуме
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]
XELFAER⇓ пишет:

хм, с какого места интересно она исходила 

не знаю. Может и нет. Просто уже и не знал на что подумать. Сейчас все нормализовалось.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"