Сегодня мы подверглись атаке ddos, и все началось там.
Вот наша установка:
Попытка загрузить сайт по доменному имени не удалась. 504 таймаут nginx. Я на 100% уверен, что это сообщение исходит от обратного прокси нашего хостера, и сотрудники службы поддержки подтвердили это и сказали, что у них в журналах есть такие сообщения:
2016/08/29 14:47:34 [ошибка] 3658 # 0: * 51642375 истекло время ожидания восходящего потока (110: тайм-аут соединения) при подключении к восходящему потоку, клиент: 11.111.11.111, сервер:, запрос: «GET / HTTP / 1.1 ", вверх по течению:"http://12.34.56.78:80/";, хост:" имя-домена.com "
И вот что происходит:
12.34.56.78:8080
загружает сайт. lynx domain-name.com
загружает сайт при запуске с самого сервераiptables -P INPUT ACCEPT
), чтобы разрешить весь входящий трафикВ логах ничего интересного, кроме /var/log/messages
имеет это:
Aug 29 17:54:06 client3738 named[22407]: error (network unreachable) resolving 'ns.isc.afilias-nst.info/AAAA/IN': 2001:500:19::1#53
Aug 29 17:54:06 client3738 named[22407]: error (network unreachable) resolving 'ns.isc.afilias-nst.info/A/IN': 2001:500:19::1#53
Aug 29 17:54:06 client3738 named[22407]: error (network unreachable) resolving 'ns.isc.afilias-nst.info/A/IN': 2a01:8840:6::1#53
Aug 29 17:54:06 client3738 named[22407]: error (network unreachable) resolving 'ns.isc.afilias-nst.info/AAAA/IN': 2a01:8840:6::1#53
Aug 29 17:54:08 client3738 named[22407]: error (network unreachable) resolving 'dlv.isc.org/DNSKEY/IN': 2001:4f8:0:2::19#53
Aug 29 17:54:08 client3738 named[22407]: error (network unreachable) resolving 'dlv.isc.org/DNSKEY/IN': 2001:500:2c::254#53
Aug 29 17:56:33 client3738 rsyslogd-2177: imuxsock begins to drop messages from pid 1900 due to rate-limiting
Aug 29 17:56:41 client3738 rsyslogd-2177: imuxsock lost 1098 messages from pid 1900 due to rate-limiting
Aug 29 18:01:33 client3738 rsyslogd-2177: imuxsock begins to drop messages from pid 1900 due to rate-limiting
Aug 29 18:01:40 client3738 rsyslogd-2177: imuxsock lost 1091 messages from pid 1900 due to rate-limiting
PID 1900 - это qmgr -l -t fifo -u
.
Ну и вопрос: что делать?
Заранее спасибо!
Итак, все работает отлично, пока вы не используете прокси-сервер вашего провайдера? Тогда позвольте вашему провайдеру разобраться с этим. С вашим сервером все в порядке. Это похоже на провайдер, а вы проблема.
Где информация об атаке ddos?
Узнайте, что такое qmgr и что он сообщает системному журналу. Я почти уверен, что это Postfix, так что проверьте свой почтовый журнал.