Форум Сайтостроение Администрирование серверов

флуд CONNECT ip http/1.0

F1
На сайте с 22.05.2007
Offline
95
Fr13nd
960

вобщем такая проблема на один из сайтов идет постонный флуд

114.45.63.133 - - [23/Apr/2010:02:56:04 +0400] "CONNECT 203.188.197.10:25 HTTP/1.0" 403 269 "-" "-"

114.36.26.226 - - [23/Apr/2010:02:56:05 +0400] "CONNECT 203.188.197.10:25 HTTP/1.0" 403 269 "-" "-"

за пол дня набирается по 600 метров логов

Изначально код ответа моего сервера был 200, но я добавил запрет на коннект в http.conf.

Стал отвечать 403 ошибкой, но этот флуд не прекратился.

погуглил немного, решил заблокировать подсеть

ipfw add 31340 deny all from 114.0.0.0/8 to any

Я особо не шарю в никсах, и эта настройка фаервола почему то не работает.

Кто может объяснить? что я делаю не так , и как вообще остановить весь этот спам. Обычно

загрузка памяти всегда на 50%, в пиках до 100% и падают сервисы : (

Andris
На сайте с 10.12.2006
Offline
167
Andris
#1

Fr13nd, HTTP-метод CONNECT применяется в proxy для туннелирования соединений на некоторый адрес, возможно с указанием порта. В Вашем случае кто-то считает, что Ваш сервер поддерживает этот метод (т.е. фактически является HTTP proxy) и более того, позволяет устанавливать соединения на произвольные порты, в данном случае SMTP. Иными словами, через Ваш сервер пытаются рассылать спам.

203.188.197.10 - это один из релеев Yahoo!. Для начала поищите IP Вашего сервера в различных блоклистах, т.к. ранее Ваш сервер отвечал на попытки соединения 200 OK, т.е. фактически создавал туннель :(. Прошерстите ещё раз конфиг используемого httpd на предмет явных ошибок и обратите особое внимание на ненужные Вам опции. А по поводу неработы правил ipfw - возможно оно имеет неверный порядковый номер и где-то ранее Вы явно разрешили тот трафик, который ниже пытаетесь запретить.

Типовые договоры передачи прав на домены, их доработка Выполнение функций гаранта сделок с доменами Юридическое обеспечение сделок, консультации
F1
На сайте с 22.05.2007
Offline
95
Fr13nd
#2

root@*:/home/httpd-logs# ipfw list

31338 deny ip from 118.168.0.0/24 to any

31339 deny ip from 114.36.0.0/24 to any

31340 deny ip from 114.36.0.0/24 to any dst-port 80,25

65535 allow ip from any to any

root@*:/home/httpd-logs# ipfw delete 65535

ipfw: rule 65535: setsockopt(IP_FW_DEL): Invalid argument

root@*:/home/httpd-logs#

не дает удалить почему-то :(

Andris
На сайте с 10.12.2006
Offline
167
Andris
#3

Fr13nd, это правило по умолчанию, его нельзя удалить.

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий