Помогите разобраться плз!

rkhunter к примеру... И прочие подобные вещи (даже тот же clamav) вам бы не помешал. ИМХО.

Сервер на взлом проверить бы стоило, если проги траф не видят, то скорее всего их просто подменили, и они не видят дополнительные интерфейсы с которых и идет траф.

rkhunter и сhkrootkit запустите и посмотрите, что скажут.

rkhunter врятли поможет

Если сервер скомпрометирован проверять что либо есть мало смысла, так как могут быть загружены модули которые уже ничего не покажут из трафика, а так же в редких случаях и ядро может быть уже чужое, где-то читал, что "горе админ" около месяца жил внутри chroot на своем сервере ....... ;))))))

А что касается "перепутали пачкорды" вполне может быть..... говорю вам как хостер а не как клиент, когда кол-во воткнутых серверов в разные свичи превышает сотни... запутаться просто элементарно ;)

Но если таки поломали, но Reinstall OS это первое что стоит сделать.

Самое простое это сверить ARP, вы ж не забывайте наверное, что у хостеров могут быть прорехи и в VLaN И в маршрутизации , например какой-то злоумышленник пользуется внутри VLAN-а выданным вам ИП (типичные случаи), сверьте с хостером ARP , посмотрите свой MAC и все станет понятно.... Хотя как показывает практика смена Мака на сетевке это пятиминутное дело, редко где хостеры пользуются трапами для включения \ отключения портов в случае нахождения незарегистрированного мака.....

Тут на самом деле можно предполагать разное, например битый пачкорд который на левом оборудовании показывает например 100% загрузки порта при том, что там трафика вообще нет.... (Зафиксировано на DLINK), а так же могут быть какие-то шумы броадкста в влане или например вообще multicast какой-то..... Все зависит от того, на каком этапе хостер снимает эту информацию, у них может от перегрузки netflow отдает шо попало в билинг сервер..... :))))

имхо для начала полезно попросить выключить на минут 10-30 ваш сервер, а потом поинтересоваться у провайдера наблюдал ли он в это время ту самую 50 мегабитную активность.

Если сервер выключен, а трафик продолжается - пусть пров вернет деньги списанные за этот трафик на счет

и разбирается в присядку с происходжением проблемы _за пределами вашего сервера_.

Вы выждали годы и зарегистрировались только ради этого поста? )))) Вот это мстительность... просто граф Монте-Кристо.

часть сайтов перевез на vds и там почти сразу случилось тож самое. по протоколу udp они сказали прет траф на сайт какой-то онлайн игры. но они тут же всё сами блокирнули... 15 минут делов... поглядим что дальше будет.

Я чето не понял, Вы еще и хостер чтоль? 😮

Qwert, запаситесь немного деньгами и обратитесь к админам... На форуме в соседнем разделе их вагон и маленькая тележка тусуется ;).

А вообще, при закрытых портах на файрволле у вас трафик е? chkrootkit что говорит? Какая ОС у вас на сервере? uname -a?

у меня есть два админа, правда пока мало чего добились. ось - фря. и сейчас обращаться уже не знаю с чем - оставил 80й только открытым и вроде траф не прёт, но чтоб сказать это наверняка надо потратить кучу времени на наблюдения. chkrootkit не ставили.