Hoher Paketloss

[papagei9]

Hallo,

ich musste seit ein paar Tagen feststellen, dass mein Rootserver teilweise Paketloss von bis zu 80% hat...
Eine Traceroute ergab, dass das Problem beim Root selbst liegt.
Wenn jetzt dies auftaucht (ist nicht immer da), beende ich MySQL oder Apache und gleich darauf ist alles wieder ok.

Ich tippe mal auf eine Flooding-Attacke, bei der die MySQL-Datenbank vollgestopft wird...

Wenn ich den Load betrachte, steigt er nicht merklich. Jedoch schnellt die Fork-Rate in die Höhe...

Ich habe schon zig Logs durchgeschaut aber nichts entdecken können.

Weiss vielleicht jemand einen Rat, wie ich das Problem angehen könnte?

Grüsse

papagei9

 

[dante]

Ai,

mal ein Versuch ins Blaue:
Schau dir dein ApacheLog an, ob da z.B. die MaxClients Direktive ihr Limit erreicht hat. Könnte ein Slowloris sein, dem kann man mit mod_qos schon das Handwerk legen.

Ansonsten bräuchte man mal mehr Infos, netstat etc.

Gruß
dante

 

[Deleted member 4401]

Ein Slowloris Angriff würde so ein Verhalten nicht verursachen da hierbei nur Apache Prozesse gespawnt werden bis MaxClients erreicht ist und so gut wie kein Traffic verursacht wird...deswegen würde Datenverkehr der mit dem Apachen nichts zu tun hat (wie ICMP bei traceroute) dadurch nicht beeinflusst.

Netstat und Apache access Logs checken.

 

[papagei9]

Danke für die Antworten.

Im Moment besteht das Problem nichtmehr, habe die fail2ban-Konfiguration nochmals überarbeitet und nun läuft bis jetzt alles normal.

Grüsse

papagei9