И ещё я к тому что вероятно боты изредка проверят доступность сервера, например запрос на днс или что то в этом роде, и если отрубить это всё то возможно появление новых ботов предотвратится? кто нибуть в курсе?
С некоторой долей вероятности это может помочь.
Но с таким же успехом можно просто выключить сайт, и все.
Когда я первый раз это увидел - поменял все пароли. Не помогло.
Второй раз - увидел в логах что по ssh и по ftp долбятся очень сильно с перебором огромного количества логинов. Но успешных входов вроде бы не было.
Раз разломали после отключения ftp/ssh - дыра в веб-скриптах. Внимательно смотреть в лог nginx, причем я бы пожалуй начал с изучения метода POST. Посмотрев предварительно mtime заломаных скриптов, и изучал бы именно это промежуток времени.
Хотя замечу, что несколько раз видел вирус, собирающий с клиентских машин параметры ftp и вкрячивающий везде, куда дотянется, похожий iframe.
ncux: Медленные запросы пишу, даже планку опустил до 3-х секунд - все равно в логах ни одного запроса нет (только записи о рестартах базы). Все работает в большинстве запросов по индексам...
Не забывайте, что время, когда запрос висит в ожидании снятия лока с таблицы, не входит в log-slow-queries.
То бишь при залоченой таблице у вас запрос может висеть двадцать минут, а потом выполниться за 2 секунды - и в лог он, разумеется, не попадет
Теоретически, может сработать схема с прописыванием домену domain.ru ns-серверов по хостнейму в другом домене, например ns1.mydomain.ru и ns2.mydomain.ru, при этом они могут резолвится в один и тот же ip.
И ещё я к тому что вероятно боты изредка проверят доступность сервера, например запрос на днс или что то в этом роде, и если отрубить это всё то возможно появление новых ботов предотвратится? кто нибуть в курсе?
С некоторой долей вероятности это может помочь.
Но с таким же успехом можно просто выключить сайт, и все.
Когда я первый раз это увидел - поменял все пароли. Не помогло.
Второй раз - увидел в логах что по ssh и по ftp долбятся очень сильно с перебором огромного количества логинов. Но успешных входов вроде бы не было.
Раз разломали после отключения ftp/ssh - дыра в веб-скриптах. Внимательно смотреть в лог nginx, причем я бы пожалуй начал с изучения метода POST. Посмотрев предварительно mtime заломаных скриптов, и изучал бы именно это промежуток времени.
Хотя замечу, что несколько раз видел вирус, собирающий с клиентских машин параметры ftp и вкрячивающий везде, куда дотянется, похожий iframe.
Как такие отловить?
В общем случае - никак. Смотреть руками show processlist. Либо, написав скрипт / вкрячив мониторилку mysql.
Если проблема действительно в это - оптимизировать структуру базы.
Медленные запросы пишу, даже планку опустил до 3-х секунд - все равно в логах ни одного запроса нет (только записи о рестартах базы). Все работает в большинстве запросов по индексам...
Не забывайте, что время, когда запрос висит в ожидании снятия лока с таблицы, не входит в log-slow-queries.
То бишь при залоченой таблице у вас запрос может висеть двадцать минут, а потом выполниться за 2 секунды - и в лог он, разумеется, не попадет
TCP пакетик не долетит
Да ну? :) SYN - это не пакетик? :-)
Плюс, в исходном посте все-таки про udp-flood речь шла.
1. Сервер будут посещать много людей, ориентировочно это от 10к в сутки, на начальном этапе.
10к в сутки - это ниочем. Любая железка спокойно вытягивает такую нагрузку.
сейчас вот дос прекратился, либо совпадение либо после того как я заблокировал через iptables всё кроме порта 22..
Если вы рубите все это локальным фаерволом на своем сервере - легче не станет, пакетик-то должен долететь до вашей железки.
Такое лечится только и исключительно общением с аплинком (ну, если вам действительно всю полосу съели).
Делать конечно можно и нужно, но исключительно с целью защиты от дурака. На сохранность данных при рассыпании диска не влияет.
Бэкап системы делать бессмысленно, имеет смысл бэкапить /etc, /usr/local/etc, ну и куски /var с настройками крона, почтой и прочим.
Теоретически, может сработать схема с прописыванием домену domain.ru ns-серверов по хостнейму в другом домене, например ns1.mydomain.ru и ns2.mydomain.ru, при этом они могут резолвится в один и тот же ip.
Легкой. CNAME-запись в зоне купленного домена.