Hoher Traffic seit paar Tagen

R

Rebelhig

New Member
Hallo,

ich habe einen Rootserver bei 1&1 mit CentOS und Plesk 9.5.4. Darauf befinden sich mehrere Domains, welche fast alle Typo3 benutzen.

Seit einigen Tagen habe ich sehr hohen Traffic auf den Server, welcher mir täglich zugeschickt wird. Ich habe mir den Traffic pro Domain in Plesk angesehen, kann aber nicht erkennen, wo er verursacht wird. Der Traffic in der Statistik der einzelnen Domains ist soweit im grünen Bereich.

Was kann ich tun, damit ich die Ursache des Traffics heraus bekomme? könnt Ihr mir hier weiterhelfen?

Danke
Reiner
 
Ich habe nur folgende Info erhalten:
Transfervolumen für den 22.01.2012: 1.432,64 MB
Transfervolumen der Woche vom 16.01.2012: 6.728,36 MB
Transfervolumen für den Monat 01/2012: 9.764,07 MB
Geschätztes Transfervolumen im Monat 01/2012: 13.758,47 MB
(Hochrechnung ohne Gewähr)

In Ihrem Paket ist monatlich unlimitiertes Transfervolumen inbegriffen.

Ich weiß nicht worauf sich das bezieht.
 
Das solltest du DRINGENDST!!! herausfinden. Ist es ausgehender Traffic, hast du mit ziemlicher Sicherheit ein dickes Problem am Bein.

Code: 
man tcpdump
 
Oder, um den fertig formulierten Befehl zu geben:

Code: 
tcpdump -i eth0 -n -K -v "not port 22"
eth0 ersetzt du ggf. durch das korrekte Interface. Wenn dein SSH-Server nicht auf Port 22 lauschst, musst du am Ende das "not port 22" ebenfalls durch den korrekten Port ersetzen (sonst siehst du irgendwann nur noch deine SSH-Pakete).
Beenden kannst du das Ganze dann mit STRG+C.

Die Ausgabe sollte so Ähnlich aussehen wie diese:

Code: 
19:30:47.638223 IP (tos 0x0, ttl 127, id 2670, offset 0, flags [DF], proto TCP (6), length 48)
    92.226.120.12.1517 > 188.138.94.37.80: Flags [S], seq 3732310697, win 8192, options [mss 1452,nop,nop,sackOK], length 0
19:30:47.680058 IP (tos 0x0, ttl 55, id 0, offset 0, flags [DF], proto TCP (6), length 48)
    188.138.94.37.80 > 92.226.120.12.1517: Flags [S.], seq 2392996690, ack 3732310698, win 5840, options [mss 1460,nop,nop,sackOK], length 0
19:30:47.680356 IP (tos 0x0, ttl 127, id 2672, offset 0, flags [DF], proto TCP (6), length 40)
    92.226.120.12.1517 > 188.138.94.37.80: Flags [.], ack 1, win 65340, length 0
19:30:47.686300 IP (tos 0x0, ttl 127, id 2675, offset 0, flags [DF], proto TCP (6), length 1492)
    92.226.120.12.1517 > 188.138.94.37.80: Flags [.], seq 1:1453, ack 1, win 65340, length 1452
Daraus lassen sich dann die Quell-IP (Quellport hinter dem letzten Punkt), die Ziel-IP mit Zielport und das Protokoll ablesen. Natürlich noch mehr, aber das sind erstmal die wichtigsten Details.
 
PapaBaer said:
Das solltest du DRINGENDST!!! herausfinden. Ist es ausgehender Traffic, hast du mit ziemlicher Sicherheit ein dickes Problem am Bein
Click to expand...
Seh ich momentan nicht so. Wir reden hier von 1.432,64 MB am Tag. 1.432,64 MB sind gerade mal 1,5 GB. Das ist nicht wirklich viel...
Wenn da z.B. ein paar Backups nachts übertragen werden, hat man das ganz schnell zusammen.
 
Ich würde auch sagen, schau mal auf den Traffic Graphen, wann der Traffic entsteht und ob dieser regelmäßig Nachts generiert wird oder unregelmäßig über den Tag verteilt. Das kann dir schoneinmal verraten, ob es sich um einen Backup Job oder um Mehrtraffic handelt.
 
wstuermer said:
Natürlich ist das ein Alarmsignal, wenn man den folgenden Satz zugrunde legt!
Click to expand...
Es ist sicherlich ein Grund zu prüfen was los ist, aber nicht um gleich durchzudrehen. Mein "seh ich momentan nicht so" bezog sich auf "...ein dickes Problem am Bein.".
Wie gesagt, wir reden hier von 1,5 GB am Tag bei einem Server, auf dem "mehrere Domains" laufen.
Wäre der Server gehackt worden und würde jetzt missbraucht werden, würden wir hier von 1,5 TB am Tag reden.
 
Du solltest aber evtl. mal die Logs des Mailservers überprüfen. Evtl. wird der Server als Spam-Schleuder (oder für DDos) missbraucht. Das würde auch den relativ geringen Traffic erklären.
 
Wenn man plötzlich 1.5GB ausgehenden Traffic hat, ohne zu wissen wo der herkommt, hat man ein Problem am Bein! Ein externes Backup hätte man sicher wissentlich eingerichtet und würde daher auch mit höherem Traffic rechnen. Mit 1.5GB kann man schon ordentlich Mist in Form von Spam oder Injection-Angriffen auf Server Dritter anstellen.
 
Das sind 1.5 GB insgesamt. Wenn man bedenkt, dass mehrere Seiten auf dem Server laufen, sind es also sicherlich einiges weniger an unbekanntem Traffic. Und ein paar hundert MB kommen sehr schnell zusammen (durch etwas mehr Besucher, durch ein paar Bilder die irgendwo extern Verlinkt wurden etc.).
Mehr kann uns aber nur der Threadstarter sagen... aber wegen ein paar hundert MB würde ich noch nicht gleich die große Panik schieben.
 
Wenn man bedenkt, daß bis zum 22.01. insgesamt nur knapp 10 GB an Traffic zusammen gekommen sind, dann sind 1,5 GB an einem Tag schon ungewöhnlich viel, falls man nicht was am Server gemacht hat (Backup, Updates installieren o.ä.).
 
Ich stimme fx123 zu;
Da wir nicht wissen ob er oder ein anderer die Webspaces administriert könnte es sein dass durch eine Werbekampagne, eingebettete Medien-Elemente, .... Mehrtraffic entsteht der leicht erklärt ist.

Aber solange der Threadersteller hierzu keine weiteren Details gibt bleibt nur der Blick in die (verkratzte) Kristallkugel. Zumindest meine zeigt gerade einen Regenbogen, soll das bedeuten dass der Server high ist :confused:
 
d4f said:
Aber solange der Threadersteller hierzu keine weiteren Details gibt bleibt nur der Blick in die (verkratzte) Kristallkugel. Zumindest meine zeigt gerade einen Regenbogen, soll das bedeuten dass der Server high ist :confused:
Click to expand...

:D

Ich deute die Aussage des Threaderstellers - er spricht von Traffic, der ihm zugeschickt wird - eigentlich als "incoming". :/
 
You must log in or register to reply here.
Back
Top