WapGraf: Romka_Kharkov, это не странно, это OpenVZ. :)
Впрочем в новых ядрах уже своп есть и хостеры как правило его включают на контейнерах.
Погоди, еще раз, есть своп который можно включить в контейнер как ты говоришь, путем предварительного выделения раздела под него, но я не могу въехать что мешает создать своп внутри ФС и подключить его? Если не сложно с пруфами, интересно....
Я тоже не работаю с OVZ ;) Но своп это такая штука....
Её ведь не обязательно надо включать через раздел, можно ведь и файлик создать на FS который сделать свопом в следствии... Вопрос в том, что свопа то НЕТ, или OVZ его не отображает в top или free ? Как реагирует система когда своп не предусмотрен, а память кончилась?
Я предполагаю что путем FS своп можно включить в любой среде не зависимо виртуализация это или нет...
aprika, простите, в первом случае ключ -v надо убрать, но по второму выводу все равно ясно что у вас named.
Ссылочку уже дал Evas. Если по ней что-то не ясно, спрашивайте дальше.
А я вам пока что расскажу что такое open resolver и как проверить вашу открытость...
По хорошему обычный ДНС не должен отвечать на запросы к зонам которые он не содержит у себя, стало быть , если к моему NS1 обратится за доменом скажем mail.ru, должна вернуться ошибка типа SERVFAIL или что-то там такое, я уж не помню. Рекурсия сделана для того, что бы дать нижестоящим компьютерам в иерархии информацию для DNS, фактически насроенный у вас в "сетевом окружении" Сервер Имен, так же является рекурсором установленным вашим провайдером для своих клиентов (вас).... но скорее всего ваш провайдер не разрешает рекурсивные запросы с отличных от его ИП адресов....
Проверять доступность рекурсии можно следующим образом:
Non-authoritative answer: *** Can't find mail.ru: No answer
В обоих вариантах ns сервера ответили ошибкой и приобразование имени в ИП не случилось.... При обращении к доступному рекурсору мы получим в ответ адреса mail.ru, например так:
Стало быть берем любой домен который заведомо не существует в ваших ДНС, а потом делаем прямые запросы к ДНС серверу (ип адресу) по поводу этого домена, если получаем ответ - стало быть произошла рекурсия, если нет - то нет.
ТС, вы меня конечно простите но что будет делать ваш сервер когда у вас 0 свободной памяти и при этом у вас НЕТ свопа !!!!!
Посмотрите на свой скриншот внимательно у вас вообще НЕТ свопа.... по этому при достижении пика памяти, конечно же будут вылетать процессы включая возможно и само ядро.....
Вот вам 3 команды, выполняйте их, результат в студию, сейчас починим ваши утечки памяти и смерть сервера путем включением свопа :D
#1
swapon -a ; free -m
#2
cat /etc/fstab
#3
1. df -h (выяснить какое устройство основное sd[a,b,c,d] или что там будет 2. fdisk -l /dev/sda (или b,c,d или что там будет)
Как защищаться? 3. блокировать на роутере исходящий трафик не с ваших сетей явными правилами.
Обычно я бдителен в этом вопросе, но решил после вашего поста еще разок перепроверить свои сети, в одном из сегментов, таки позволялось слать "не с наших адресов"..... Спасибо.
rpne: сейчас такой способ.
1. Делаем бэкап в CPanel, потом скачиваю данный бэкап.
2. Помещаю данный бекап в ЯндексДиск
3. Жду окончание синхронизации - готово.
Хотелось немного минимизировать процесс, примерно так.
1. Заходим в Сpanel, заказываем создание бэкапа - данный бекап уходит каким-то чудом в ЯндексДиск.
2. Готово
Я честно говоря не пользовался YandexDisk, но вот тут вам уже ответили, надо смонтировать webdav к себе на сервер и сливать в него бекап, наверное можно даже предварительно не помещать его на свой диск, а сразу лить туда. ;)
Вопрос заключается в том, сможете ли вы смонтировать сей удаленный диск в систему, т.е достаточно ли у вас для этого будет прав, полагаю что если вы пользователь cpanel то вам мало вероятно это доступно, но если вы владелец WHM (рут на сервере) , тогда не вижу никаких сложностей.
Судя по тому, что описано например тут .... есть даже готовые пакеты yandex-disk для разных OS.....
Romka_Kharkov, это не странно, это OpenVZ. :)
Впрочем в новых ядрах уже своп есть и хостеры как правило его включают на контейнерах.
Погоди, еще раз, есть своп который можно включить в контейнер как ты говоришь, путем предварительного выделения раздела под него, но я не могу въехать что мешает создать своп внутри ФС и подключить его? Если не сложно с пруфами, интересно....
А если нет? :)
Дайте доступ на сервер, посмотрим что у вас там с рекурсией и за одно посмотрим что там за трафик.
Не знаю как сейчас, но ранее mkswap /file нельзя было использовать на OpenVZ.
Я конечно понимаю, что в самом гипервизоре может быть что-то свое на тему свопа.... но как по мне.... это странно :D
WapGraf, IPzon
Я тоже не работаю с OVZ ;) Но своп это такая штука....
Её ведь не обязательно надо включать через раздел, можно ведь и файлик создать на FS который сделать свопом в следствии... Вопрос в том, что свопа то НЕТ, или OVZ его не отображает в top или free ? Как реагирует система когда своп не предусмотрен, а память кончилась?
Я предполагаю что путем FS своп можно включить в любой среде не зависимо виртуализация это или нет...
aprika, простите, в первом случае ключ -v надо убрать, но по второму выводу все равно ясно что у вас named.
Ссылочку уже дал Evas. Если по ней что-то не ясно, спрашивайте дальше.
А я вам пока что расскажу что такое open resolver и как проверить вашу открытость...
По хорошему обычный ДНС не должен отвечать на запросы к зонам которые он не содержит у себя, стало быть , если к моему NS1 обратится за доменом скажем mail.ru, должна вернуться ошибка типа SERVFAIL или что-то там такое, я уж не помню. Рекурсия сделана для того, что бы дать нижестоящим компьютерам в иерархии информацию для DNS, фактически насроенный у вас в "сетевом окружении" Сервер Имен, так же является рекурсором установленным вашим провайдером для своих клиентов (вас).... но скорее всего ваш провайдер не разрешает рекурсивные запросы с отличных от его ИП адресов....
Проверять доступность рекурсии можно следующим образом:
В обоих вариантах ns сервера ответили ошибкой и приобразование имени в ИП не случилось.... При обращении к доступному рекурсору мы получим в ответ адреса mail.ru, например так:
Non-authoritative answer:
Name: mail.ru
Address: 217.69.139.199
Name: mail.ru
Address: 94.100.180.199
Name: mail.ru
Address: 217.69.139.201
Name: mail.ru
Address: 94.100.180.201
Стало быть берем любой домен который заведомо не существует в ваших ДНС, а потом делаем прямые запросы к ДНС серверу (ип адресу) по поводу этого домена, если получаем ответ - стало быть произошла рекурсия, если нет - то нет.
aprika, выполните следующее:
А так же не помешает
Результат покажите сюда, станет ясно что у вас за DNS сервер, потом подскажем как отключить рекурсию.
А принципиальный смысл указанной вам атаки, буквально недавно обсуждался вот тут вот.
ТС, вы меня конечно простите но что будет делать ваш сервер когда у вас 0 свободной памяти и при этом у вас НЕТ свопа !!!!!
Посмотрите на свой скриншот внимательно у вас вообще НЕТ свопа.... по этому при достижении пика памяти, конечно же будут вылетать процессы включая возможно и само ядро.....
Вот вам 3 команды, выполняйте их, результат в студию, сейчас починим ваши утечки памяти и смерть сервера путем включением свопа :D
#1
#2
#3
[ Скидка 20% в Январе 2014 ]
Еще раз всех с Наступившим Новым Годом !!!
Как защищаться?
3. блокировать на роутере исходящий трафик не с ваших сетей явными правилами.
Обычно я бдителен в этом вопросе, но решил после вашего поста еще разок перепроверить свои сети, в одном из сегментов, таки позволялось слать "не с наших адресов"..... Спасибо.
сейчас такой способ.
1. Делаем бэкап в CPanel, потом скачиваю данный бэкап.
2. Помещаю данный бекап в ЯндексДиск
3. Жду окончание синхронизации - готово.
Хотелось немного минимизировать процесс, примерно так.
1. Заходим в Сpanel, заказываем создание бэкапа - данный бекап уходит каким-то чудом в ЯндексДиск.
2. Готово
Я честно говоря не пользовался YandexDisk, но вот тут вам уже ответили, надо смонтировать webdav к себе на сервер и сливать в него бекап, наверное можно даже предварительно не помещать его на свой диск, а сразу лить туда. ;)
Вопрос заключается в том, сможете ли вы смонтировать сей удаленный диск в систему, т.е достаточно ли у вас для этого будет прав, полагаю что если вы пользователь cpanel то вам мало вероятно это доступно, но если вы владелец WHM (рут на сервере) , тогда не вижу никаких сложностей.
Судя по тому, что описано например тут .... есть даже готовые пакеты yandex-disk для разных OS.....