Увеличение пропускной способности межсетевого экрана, но постоянный трафик
Я не могу понять, почему пропускная способность брандмауэра моего сервера значительно выросла за последние несколько дней, в то время как все остальное, включая трафик, остается на нормальном уровне.
Какой сценарий может привести к стабильному трафику, но увеличению пропускной способности межсетевого экрана?
Я показываю вам два ежемесячных графика мунинов:
Заглядывает ок. 4 часа утра каждый день с ночной работы. Они нормальные. Ненормальным является увеличение пропускной способности межсетевого экрана с прежних менее 15 пакетов в секунду до 30+ пакетов в секунду, пока трафик остается на нормальном уровне.
Мой сервер - это виртуальный корневой сервер в удаленной ферме серверов. ОС - Linux Ubuntu 14.04 LTS. Веб-сервер - это Apache. Почтовый сервер Postfix. Все модули в новейшей версии.
Я не менял никаких настроек в течение последних недель. Последняя перезагрузка (после обновления всех пакетов) была 4 февраля. Странное поведение началось утром 9 февраля. Вчера я снова обновил все пакеты (без перезагрузки), но это не повлияло на высокую пропускную способность межсетевого экрана.
редактировать (отвечая на комментарий):
Вот результат `iptables -nvL ':
root@myServer:~# iptables -nvL
Chain INPUT (policy ACCEPT 10M packets, 2883M bytes)
pkts bytes target prot opt in out source destination
3860K 499M fail2ban-apache-nohome tcp -- * * 0.0.0.0/0 0.0.0.0/0 multiport dports 80,443
3860K 499M fail2ban-apache tcp -- * * 0.0.0.0/0 0.0.0.0/0 multiport dports 80,443
77714 24M fail2ban-postfix tcp -- * * 0.0.0.0/0 0.0.0.0/0 multiport dports 25,465,587
3860K 499M fail2ban-apache-noscript tcp -- * * 0.0.0.0/0 0.0.0.0/0 multiport dports 80,443
3344 714K fail2ban-ssh tcp -- * * 0.0.0.0/0 0.0.0.0/0 multiport dports 21101
Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
Chain OUTPUT (policy ACCEPT 7652K packets, 5305M bytes)
pkts bytes target prot opt in out source destination
Chain fail2ban-apache (1 references)
pkts bytes target prot opt in out source destination
3860K 499M RETURN all -- * * 0.0.0.0/0 0.0.0.0/0
Chain fail2ban-apache-nohome (1 references)
pkts bytes target prot opt in out source destination
3860K 499M RETURN all -- * * 0.0.0.0/0 0.0.0.0/0
Chain fail2ban-apache-noscript (1 references)
pkts bytes target prot opt in out source destination
3860K 499M RETURN all -- * * 0.0.0.0/0 0.0.0.0/0
Chain fail2ban-postfix (1 references)
pkts bytes target prot opt in out source destination
77714 24M RETURN all -- * * 0.0.0.0/0 0.0.0.0/0
Chain fail2ban-ssh (1 references)
pkts bytes target prot opt in out source destination
3344 714K RETURN all -- * * 0.0.0.0/0 0.0.0.0/0
Fail2ban не блокировал подключения в течение последних 2 недель. Он запретил 4 подключения в январе, 3 декабря 2015 года и 3 ноября 2015 года. Он никогда не запрещал ничего, кроме соединений с postfix, за одним исключением: в августе 2015 года он запретил ssh, которое было моим собственным соединением: я трижды пытался войти в систему с неправильным паролем.
Если уровни трафика такие же, но количество пакетов увеличилось (и эти счетчики точны), то простой ответ состоит в том, что размеры ваших пакетов со временем в среднем уменьшаются, но это не нормальное поведение само по себе. Я бы запустил tcpdump или tcpstat и получил бы захват пакетов по сети. Даже если у вас нет исторических данных (т.е. до увеличения количества пакетов) для сравнения, вы сможете реально взглянуть на пакеты и то, что в них находится.
Причина найдена (и проблема решена):
В своем вопросе я сказал вам, что мой сервер является виртуальным корневым сервером в удаленной ферме серверов. Другой виртуальный сервер, арендованный другим клиентом этой серверной фермы и находившийся в том же сегменте, что и мой собственный сервер, был взломан. На моем брандмауэре я увидел tcp-пакеты с этого взломанного сервера. Но ни один из этих пакетов не попал в мою область, поэтому ни один из них не мог увеличить мой собственный трафик.
Команда серверной фермы отключила взломанную машину, и в тот же момент пропускная способность моего собственного брандмауэра вернулась к нормальному уровню.