останавливаются службы (проблемы с DNS BIND и ProFTP)

[alexey84]

Добрый день.
В линуксе я новичок, но получилось так что мне по работе досталось админить сервер под FreeBSD 5.4, возникает такая проблема, что время от времени, примерно раз в 2 недели останавливаются сервера DNS BIND и ProFTP. в чем может быть проблема?

[mczim]

для этого нам нужно посмотреть на логи

dmesg
/var/log/messages

[alexey84]

по логам такое ощущение что пытались сломать с 195.22.234.46
в логах после их действий - попытка подключится к фтп, пишется вот такое:
swap_pager_getswapspace(16)
swap_pager_getswapspace(9)
и так очень много кода
после чего система убивала httpd и так постоянно повторялось до 21 часов вечера.
самое странное то что после 9 я заходил на сервер и все работало а утром сервер лежал хотя по логам уже ничего не было.

[mczim]

с чего вы взяли что вас пытались взломать? Узнайте какой комп в вашей сети занимает этот ip адрес 195.22.234.46

посмотрите что у вас со swap:

#free покажите вывод!

[alexey84]

этот адрес занесен в список черных адресов с которых идут dos атаки
http://cs01.vkontakte.ru/infested_ip_list.html

[mczim]

этот адрес занесен в список черных адресов с которых идут dos атаки
http://cs01.vkontakte.ru/infested_ip_list.html

ну если вы помните ip с 195 это не из внешней сети а из внутренней, значит это не человек вас атакует а программа, лечите пользователей!!!

[spielmann]

ну если вы помните ip с 195 это не из внешней сети а из внутренней

Адрес немного молдавский (https://www.nic.ru/whois/?query=195.22.234.46). Для интранетов 195/8 вроде не зарезервированы.

лечите пользователей!!!

Да, в любом случае, проверить, как минимум.

Можно просто добавить правило iptables, чтобы дропались все пакеты с этого адреса (или со всего блока адресов этого оператора).

На proftpd ограничить количество сессий с одного IP адреса.
Для апача был модуль, mod_evasive, для примерно таких случаев.

[mczim]

я думаю что правильнее было бы использовать snort!

[DaemonTux]

ну если вы помните ip с 195 это не из внешней сети а из внутренней

Адрес немного молдавский (https://www.nic.ru/whois/?query=195.22.234.46). Для интранетов 195/8 вроде не зарезервированы.

лечите пользователей!!!

Можно просто добавить правило iptables, чтобы дропались все пакеты с этого адреса (или со всего блока адресов этого оператора).

Во фряхо нет IPtables

[spielmann]

Во фряхо нет IPtables

Упс. Там про линух сначала было

Тогда ipfw. Но суть не меняется.

[mczim]

Во фряхо нет IPtables

Упс. Там про линух сначала было

Тогда ipfw. Но суть не меняется.

в каком месте было про линух?

[spielmann]

в каком месте было про линух?

В линуксе я новичок

[mczim]

в каком месте было про линух?

В линуксе я новичок

значит человек не знает что линукс и фряха разные вещи

[alexey84]

ну гуру разъясните, если честно я путаюсь еще во всем этом, только начинаю знакомится поближе с никс системами

[mczim]

ну гуру разъясните, если честно я путаюсь еще во всем этом, только начинаю знакомится поближе с никс системами

у фряхи ядро BSD у линуха ядро Linux и то и то ядро Unix подобные!

когда говорят линукс, многие подразумевают что это ОС, на самом деле это ядро!!! А на нем базируются ОС!

[alexey84]

спасибо за ликбез
только вот что мне делать чтобы больше сервер не падал я так и не понял.