Атака на tcp LAST_ACK

Запросы ботов как раз и не должны доходить до бекенда, после настройки.

Надо смотреть файл acees.log в nginx и тогда все станет ясно.

Запросов теперь получаю в лог действительно больше, 30тыс за 30 сек, а было 10тыс,

добавились как раз ошибки 504 когда нет ответа от апача, но этого всё ещё мало (

Попробую поиграть с этим

proxy_read_timeout 60;

proxy_send_timeout 60;

Dimanych добавил 22-06-2011 в 17:49

Проблема решена:

proxy_connect_timeout 20;

proxy_read_timeout 20;

proxy_send_timeout 20;

Эти параметры дают хороший поток логов, анализатор легко банит всех без угрозы для нормальных посетителей ;)

Всем спасибо за помощь, теперь разбираюсь намного лучше во всей этой фигне :) А то уже несколько лет встречался с этой атакой которая не отбивалась в автоматическом режиме.

Вопрос только в том, достаточно ли 20 сек для нормальных запросов?

Dimanych, т.е. мы так и не узнаем чем занимаются апачи?

netwind добавил 22.06.2011 в 17:57

об этом тебе расскажут пользователи запускающие конвертацию данных, закачивающие дампы баз и тд.

Да я сам пока пытаюсь анализировать.

wireshark -k -i file.cap

(wireshark:6251): Gtk-WARNING **: cannot open display:

не читает, а в самом файле видно такие запросики

GET /login/ HTTP/1.0

Host: domain.ru

Remote-Addr: 175.140.68.40

Connection: close

Dimanych, дак не надо сервере это запускать .

wireshark себе на комп для игр поставь и просматривай файл.

Если никаких аномалий в запросе нет, а я их не вижу в твоем сообщении, то, получается, прямой связи между запросом и зависанием нет. Может какой-то ресурс ОС закончился.

Придется munin ставить и надеяться, что он там что-нибудь нарисует. И что ты сможешь догадаться по картинкам в чем дело.

Чесно сказать я уже отчаялся, то банит то не банит, то пишется в лог достаточно то нет, видимо действительно что-то в системе какой то лимит, но сил уже нет разбираться (

В любом случае обработка лога только от nginx лучше, а дальше я и не продвинулся.

Dimanych, ну покажи файл, что ты такой вредный? не нужны мне эти кукисы или чего ты там опасаешься.

да и munin поставь. вдруг там действительно что-то видно полезное.

При запуске команды:

systat -netstat 3

нашел в выдаче подозрительные данные:

домен.r.http  gw2.mss.am.56235       tcp4       0   1583 LAST_ACK

домен.r.http  gw2.mss.am.58460       tcp4       0   1583 LAST_ACK

Это висит уже несколько дней.

Я скопировал дамп трафика для wireshark:

tcpdump -i em0 -s 65000 -w file.cap

Однако не сумел ничего найти в дампе, имеющего отношение к хосту gw2.mss.am.

Подскажите, пожалуйста, что бы это могло быть?

Ок, отправлю в личку.

Dimanych, да, трафик самый обычный.