Blokada w iptables nie pomaga...

[bigmen 0]

Witam! Mam na swoim VPS postawiony serwer www na nginx + php fastcgi.

 

Co jakiś czas zużycie procesora sięga 100% przez kilka - kilkanaście minut. Wybadałem przy pomocy iftop że zawsze, gdy to się dzieje połączony z serwerem jest adres IP z OVH. Próbowałem więc dodać reguły do iptables:

 

iptables -A INPUT --source nsxxxxxx.ovh.net -j DROP

iptables -A OUTPUT --source nsxxxxxx.ovh.net -j DROP

iptables -A FORWARD --source nsxxxxxx.ovh.net -j DROP

 

Niestety "atak" trwa dalej. Co można na to poradzić? Dodam że nsxxxxxx.ovh.net zawsze jest to samo.

[is_wm 287]

Mogę się mylić, ale iptables, jak sama nazwa wskazuje, blokuje adresy IP a nie hosty?

[bigmen 0]

Dodawałem także adres IP tej subdomeny - po dodaniu adresu IP w iptables i tak widniał host.

[xorg 693]

A co dokładnie się wtedy dzieje ? Jakim protokołem ? Iptables tylko via TCP możesz coś zdziałać w takich momentach.

[bigmen 0]

Tak jak napisałem wyżej, zużycie CPU sięga wtedy 100%, przez co strony dosyć wolno się ładują.

 

Samo obciążenie jest wtedy generowane przez php-fastcgi.

[lazy 33]

Witam! Mam na swoim VPS postawiony serwer www na nginx + php fastcgi.

 

Co jakiś czas zużycie procesora sięga 100% przez kilka - kilkanaście minut. Wybadałem przy pomocy iftop że zawsze, gdy to się dzieje połączony z serwerem jest adres IP z OVH. Próbowałem więc dodać reguły do iptables:

 

iptables -A INPUT --source nsxxxxxx.ovh.net -j DROP

iptables -A OUTPUT --source nsxxxxxx.ovh.net -j DROP

iptables -A FORWARD --source nsxxxxxx.ovh.net -j DROP

 

Niestety "atak" trwa dalej. Co można na to poradzić? Dodam że nsxxxxxx.ovh.net zawsze jest to samo.

 

iptables -I ... powinno wystarczyc, tak dodajesz cos na koncu firewalla a ruch od nich jest widac juz wczesniej zaakceptowany

 

--

Lazy

[p 3]

Jakim protokołem ? Iptables tylko via TCP możesz coś zdziałać w takich momentach.

Gdyby tak było to narzędzie nazywałoby się tcptables, a nie iptables...

 

Co zwraca:

# iptables -L

?

[bigmen 0]

Aktualnie nic, bo wyczyściłem iptables'y bo i tak dodane reguły wtedy nie pomagały.

 

Ale po dodaniu iptables -L pokazywało te reguły które dodałem.