Raro ATAQUE a Apache en mi server linux.

wartortol · #1 (**permalink**) 02/06/2006, 19:07

Amigos,

Acudo a ustedes buscando una solución a mi problema..
Tengo un Xeon dual 3.2 GB con RedHat Ent. 3, en él estoy usando Apache, MYSQL, server de correo, etc..

Sucede que la carga gral del server esta elevándose demasiado, por ello me da por fijarme si es un ataque, y veo lo siguiente:

Código:

root@server [/tmp]# netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr | more
386 XX.XX.XX.XX ----------------> IP RIMARIA DEL SERVER
104 24.42.134.253
90 201.247.190.136
67 85.57.5.50
65 217.216.144.66
58 88.14.20.182
58 85.54.231.126
58 81.33.213.96
58 81.231.92.63
56 83.32.70.11
54 83.103.128.166

Son 386 conexiones a Apache desde la IP primaria del server

!!!
Desde el comando netstat veo que las conexiones estan en TIME_WAIT.. el 99% de ellas:

Código:

tcp 0 0 server.myserver:http 22.Red-83-59-187.dyna:10429 TIME_WAIT
tcp 0 0 server.myserver:http 77.Red-83-52-236.dynam:2238 TIME_WAIT
tcp 0 0 server.myserver:http cm16161.red.mundo-r.co:4441 TIME_WAIT
tcp 0 0 server.myserver:http ti200720a080-0340.bb.:53028 TIME_WAIT
tcp 0 0 server.myserver:http 77.Red-83-52-236.dynam:2233 TIME_WAIT
tcp 0 0 server.myserver:http cm16161.red.mundo-r.co:4446 TIME_WAIT
tcp 0 0 server.myserver:http host86-141-166-187.ran:1858 TIME_WAIT

Alguien puede ayudarme en esto ? que tenga idea de porque hay tantas conexiones en TIME_WAIT a la IP primaria ?? Me he fijado y la seguridad del server no ha sido comprometida, pero me resulta muy raro esto..

Algun guru experto q me de una idea

Koveart · #2 (**permalink**) 02/06/2006, 20:34

Leete esto porfavor...

Saludos

wartortol · #3 (**permalink**) 03/06/2006, 07:49

Gracias Koveart,

Entendi algo de lo que he leido, pero no estoy al 100% seguro de los conceptos que me quedaron. Justamente tal como se advierte allí al final de ese documento, estoy usando Apache 1.3.

Por ello te pregunto y disculpa mi ignorancia, me puedes dar un pantallazo de esto justamente.. es que no logro entender.. debo implementar Resin 3.0 en mi server ? ajustándolo a los parametros que se muestra en la página. ¿? Eso ayudará a que las conexiones en Time_Wait puedan cerrarse antes, o desaparecer ?? Me recomiendas tener keepalives off o on ? He visto mucha discrepancia respecto a esto en muchos foros q me lo han recomendado.

Te agradezco desde ya tu respuesta,
Saludos.

Koveart · #4 (**permalink**) 03/06/2006, 08:24

Perdona no ser experto en Apache asi que movere tu pregunta al foro de apache a er si alli te pueden ayudar de una manera mas satisfactoria.

Saludos

Okidoki · #5 (**permalink**) 03/06/2006, 17:49

Pueden ser muchas las causas se tendria que ver tu archivo httpd.conf, pero bueno una muy comun es cuando se tien en On a: HostnameLookups , pon lo en off porque si estas teniendo problemas de DNS de tu lado o del lado del visitante, testo origna mucho el problema que mensionas.

Yo te recomiendo mantener keepalives en on.