Freesco, NND, CDN, EOS http://forum.freesco.pl/ |
|
Zadyszki serwera / analiza logów http://forum.freesco.pl/viewtopic.php?f=22&t=16829 |
Strona 1 z 2 |
Autor: | mes mariusz [ sobota, 19 kwietnia 2008, 23:22 ] |
Tytuł: | Zadyszki serwera / analiza logów |
Witam. Coś mi się nie podoba zachowanie się mojego NND. Po pierwsze same od siebie zablokowały się niektóre porty (już odblokowane). Po drugie co jakiś czas przy uruchamianiu czegokolwiek np. mc, zamiast uruchamiania pojawia się komunikat "Unicestwiony". Raz przy logowaniu zamknął mi się putty (jakbym nie maił dostępu do shela), ale co dziwne za chwilę loguje się ok. Pierwszy raz mam coś takiego. Czyżby jakiś włam? Co robić w takich sytuacjach? Gdzie szukać interesujących logów? |
Autor: | JakubC [ sobota, 19 kwietnia 2008, 23:30 ] |
Tytuł: | |
w /var/log/ , oprócz tego przejrzyj /root/.bash_history , /etc/passwd , last . Pamiętaj też, że "dobry" włamywacz nie zostawi po sobie żadnych śladów. |
Autor: | Maciek [ sobota, 19 kwietnia 2008, 23:40 ] |
Tytuł: | |
Raczej problemy ze sprzętem. |
Autor: | mes mariusz [ sobota, 19 kwietnia 2008, 23:46 ] |
Tytuł: | |
JakubC pisze: w /var/log/ , oprócz tego przejrzyj /root/.bash_history , /etc/passwd , last . Pamiętaj też, że "dobry" włamywacz nie zostawi po sobie żadnych śladów. Zastanawiam się czy to efekt zadyszki serwera, która ustąpi po reebocie, ale objawy są co najmniej dziwne. Kilku krotne logowanie do su i ciągłe pozostawanie na koncie zwykłego użytkownika, uruchomienie mc zakończone po trzeciej próbie (poprzenie zakończone odpowiedzią "Unicestwiony")... Dziwne, dziwne... Maciek pisze: Raczej problemy ze sprzętem.
Ten komunikat "Unicestwiony" to normalka przy problemach ze sprzętem? |
Autor: | Maciek [ niedziela, 20 kwietnia 2008, 00:02 ] |
Tytuł: | |
Unicestwiony często zdarza się przy nadmiernym obciążeniu. Może uptime ci pokaże nadmierny load average? Oczywiście włamania nie można wykluczyć, ale musi być ono czymś spowodowane. Jakieś zlekceważenie powszechnie stosowanych zasad? Standardowo nie jest wcale tak łatwo się włamać na nnd. |
Autor: | mes mariusz [ niedziela, 20 kwietnia 2008, 00:23 ] |
Tytuł: | |
Maciek pisze: Unicestwiony często zdarza się przy nadmiernym obciążeniu. Może uptime ci pokaże nadmierny load average? Oczywiście włamania nie można wykluczyć, ale musi być ono czymś spowodowane. Jakieś zlekceważenie powszechnie stosowanych zasad? Standardowo nie jest wcale tak łatwo się włamać na nnd.
Może się mylę, ale zdaje się, że widziałem komunikaty "load average" czy coś w tym rodzaju. Tak czy siak, po reboocie system wydaje się zacząć działać normalnie. Rzeczywiście wyglądało to na jakieś przeładowanie systemu, ale tak na dobrą sprawę, to nie mam pewności co to było, i zastanawiam się, czy nie przywrócić obrazu dysku i nie zmienić hasła do su. |
Autor: | mes mariusz [ środa, 23 kwietnia 2008, 22:31 ] |
Tytuł: | |
Nie miałem czasu, ale muszę się wreszcie za to zabrać. NND już drugi raz dostało takiej zadyszki, że nawet na shel-a nie mogłem się zalogować (najpierw wyłączało zaraz po próbie nawiązania połączenia przez putty, później wyłączało się po wpisaniu hasła zwykłego usera. Ostatecznie po wielu prubach udało mi się zalogować na su i wykonać reboot. Oglądam sobie właśnie logi, i uczę się przy okazji co i gdzie ciekawego można sobie odnaleźć. W /var/log/auth można zobie poczytać o logowaniu na ssh, pocztę (imap2), batdzo ładnie też widać nieudane próby logowania na pocztę złymi użytkownikami. Zastanawiam się, gdzie znajdę informacje na temat tego, co powodowało przerwanie sesji podczas logowania na zwykłego usera, albo zaraz po próbie nawiązania połączenia z NND? W /var/log/errors bardzo często pojawia się: Apr 23 10:25:16 serwer sshd[20145]: error: Could not get shadow information for NOUSER I w zasadzie tylko to. No może raz pojawiło się coś takiego: Apr 23 21:30:33 serwer kernel: kmod: failed to exec /sbin/modprobe -s -k scsi_hostadapter, errno = 2 W /var/log/faillog widzę długi szlaczek @^@^@^@^@... W /var/log/kernel, jeśli się nie mylę rejestrowane są logi zwracane przez system od momentu wydania komendy reboot (zabijane po kolei wszystkie procesy) a później zdaje się uruchamianie serwera od nowa. W /var/log/laselog widzę kolejny długi szlaczek @^@^@^@^@... W /var/log/mail cała historia login/logout na pocztę dla poszczególnych użytkowników. W /var/log/messages głównie historia DHCP. W /var/log/pacman historia instalacji pakietów. W /var/log/wtmp znowu jakieś krzaczki W /var/log/xferlog historia operacji na FTP Hmm. Clamav by się przydał, o jest: W /var/log/clamav/clamd.log Wed Apr 23 00:02:04 2008 -> SelfCheck: Database modification detected. Forcing reload. Wed Apr 23 00:07:58 2008 -> Reading databases from /var/lib/clamav Wed Apr 23 00:08:37 2008 -> Database correctly reloaded (266846 signatures) Wed Apr 23 02:01:37 2008 -> SelfCheck: Database status OK. Wed Apr 23 13:15:03 2008 -> SelfCheck: Database modification detected. Forcing reload. Wed Apr 23 13:15:03 2008 -> Reading databases from /var/lib/clamav Wed Apr 23 13:18:39 2008 -> Database correctly reloaded (266954 signatures) Wed Apr 23 19:57:50 2008 -> SelfCheck: Database modification detected. Forcing reload. Wed Apr 23 19:57:50 2008 -> Reading databases from /var/lib/clamav Wed Apr 23 20:01:19 2008 -> Database correctly reloaded (266965 signatures) Wed Apr 23 21:28:01 2008 -> SelfCheck: Database status OK. Wed Apr 23 21:30:48 2008 -> +++ Started at Wed Apr 23 21:30:48 2008 Wed Apr 23 21:30:48 2008 -> clamd daemon 0.92.1 (OS: linux-gnu, ARCH: i386, CPU: i686) Wed Apr 23 21:30:48 2008 -> Running as user root (UID 0, GID 0) Wed Apr 23 21:30:48 2008 -> Log file size limited to 1048576 bytes. Wed Apr 23 21:30:48 2008 -> Reading databases from /var/lib/clamav Wed Apr 23 21:30:48 2008 -> Not loading PUA signatures. Wed Apr 23 21:31:51 2008 -> Loaded 266967 signatures. Wed Apr 23 21:31:55 2008 -> Unix socket file /var/lib/clamav/clamd.sock Wed Apr 23 21:31:55 2008 -> Setting connection queue length to 15 Wed Apr 23 21:31:55 2008 -> Archive: Archived file size limit set to 10485760 bytes. Wed Apr 23 21:31:55 2008 -> Archive: Recursion level limit set to 8. Wed Apr 23 21:31:55 2008 -> Archive: Files limit set to 1000. Wed Apr 23 21:31:55 2008 -> Archive: Compression ratio limit set to 250. Wed Apr 23 21:31:55 2008 -> Archive support enabled. Wed Apr 23 21:31:55 2008 -> Algorithmic detection enabled. Wed Apr 23 21:31:55 2008 -> Portable Executable support enabled. Wed Apr 23 21:31:55 2008 -> ELF support enabled. Wed Apr 23 21:31:55 2008 -> Mail files support enabled. Wed Apr 23 21:31:55 2008 -> Mail: Recursion level limit set to 64. Wed Apr 23 21:31:55 2008 -> OLE2 support enabled. Wed Apr 23 21:31:55 2008 -> PDF support disabled. Wed Apr 23 21:31:55 2008 -> HTML support enabled. Wed Apr 23 21:31:55 2008 -> Self checking every 1800 seconds. To chyba nie widać żadnych problemów... (?) W /var/log/clamav/freshclam.log za to dzieje się sporo (wklejam ostatnie dwa zdarzenia) -------------------------------------- Received signal: wake up ClamAV update process started at Wed Apr 23 20:02:59 2008 WARNING: Your ClamAV installation is OUTDATED! WARNING: Local version: 0.92.1 Recommended version: 0.93 DON'T PANIC! Read http://www.clamav.net/support/faq main.inc is up to date (version: 46, sigs: 231834, f-level: 26, builder: sven) daily.inc is up to date (version: 6905, sigs: 35858, f-level: 26, builder: arnaud) -------------------------------------- -------------------------------------- freshclam daemon 0.92.1 (OS: linux-gnu, ARCH: i386, CPU: i686) ClamAV update process started at Wed Apr 23 21:30:48 2008 WARNING: Your ClamAV installation is OUTDATED! WARNING: Local version: 0.92.1 Recommended version: 0.93 DON'T PANIC! Read http://www.clamav.net/support/faq main.inc is up to date (version: 46, sigs: 231834, f-level: 26, builder: sven) Downloading daily-6906.cdiff [100%] Downloading daily-6907.cdiff [100%] daily.inc updated (version: 6907, sigs: 35860, f-level: 26, builder: ccordes) Database updated (267694 signatures) from database.clamav.net (IP: 62.236.254.228) -------------------------------------- Chyba wszystko działa. Co do Exima: W /var/log/exim/panic.log pojawiło się: 2008-04-23 21:28:05 1JokdM-0000Gk-3l malware acl condition: clamd: unable to read from socket (No such file or directory) 2008-04-23 21:28:09 1JokdV-0000Go-5S malware acl condition: clamd: unable to connect to UNIX socket /var/lib/clamav/clamd.sock (Connection refused) Ok. Ale ja dalej nie wiem, co u mnie powoduje niestabilność. Co sprawia, że (prawdopodobnie) serwer dostaje takiej zadyszki, że nawet zalogować się na niego przez putty nie mogę...? |
Autor: | Maciek [ środa, 23 kwietnia 2008, 22:55 ] |
Tytuł: | |
Logi exima wskazują na oczywisty problem w działaniu clamava. Czy jest to problem powodujący ogólne kiepskie działanie serwera, nie wiem. Sprawdzaj top i load average... |
Autor: | mes mariusz [ środa, 23 kwietnia 2008, 23:05 ] |
Tytuł: | |
Maciek pisze: Logi exima wskazują na oczywisty problem w działaniu clamava. Czy jest to problem powodujący ogólne kiepskie działanie serwera, nie wiem. Sprawdzaj top i load average...
[root@serwer ja]# pacman -Suy :: Synchronizuję bazę danych pakietów... base-current [################] 100% 12K 49,1K/s 00:00:00 extra-current [################] 100% 52K 90,4K/s 00:00:00 testing [################] 100% 24K 70,8K/s 00:00:00 Cele: openssl-0.9.8-11nnd apache-2.2.4-7nnd apr-1.2.7-3nnd clamav-0.93-4nnd curl-7.15.0-2nnd cyrus-sasl-2.1.21-7nnd dhcp-3.0.4-2nnd e2fsprogs-1.40.3-2nnd exim-4.67-7nnd filesystem-0.3-8nnd kernel24-2.4.35-2nnd iptables-1.3.4-15nnd mysql-5.0.24a-5nnd net_conf-0.7.1-2nnd nndconf-0.1-12nnd openssh-4.7p1-2nnd pcre-7.4-2nnd php-4.4.6-4nnd proftpd-1.3.0-2nnd shadow-4.1.0-2nnd sudo-1.6.9-2nnd tar-1.18-2nnd tpop3d-1.5.3-8nnd wget-1.10.2-2nnd Całkowita wielkość pakietu: 41,1 MB Rozpocząć aktualizację? [T/n] Czy poprzez taką zbiorczą aktualizację niczego sobie nie popsuję (np. z konfiguracją). Generalnie - operacja zaktualizuje to, co potrzeba, czy może będzie to ponowna instalacja, potencjalnie wymagająca ponownej konfiguracji? --- Edit --- A to ciekawe... W sieci prawie wszystkie komputery a niceshapera przyłapałem na obciążaniu procesora na 99 procent... PID USER PR NI VIRT RES SHR S %CPU %MEM TIME+ COMMAND 354 root 20 0 160 88 64 R 99.0 0.1 35:25.89 niceshaper 11007 root 12 0 968 968 772 R 1.0 1.6 0:00.33 top 1 root 8 0 136 108 84 S 0.0 0.2 0:09.69 init 2 root 9 0 0 0 0 S 0.0 0.0 0:00.08 keventd 3 root 9 0 0 0 0 S 0.0 0.0 0:00.04 kapmd 4 root 19 19 0 0 0 S 0.0 0.0 0:00.03 ksoftirqd_CPU0 5 root 9 0 0 0 0 S 0.0 0.0 0:08.28 kswapd 6 root 9 0 0 0 0 S 0.0 0.0 0:00.00 bdflush 7 root 9 0 0 0 0 S 0.0 0.0 0:00.05 kupdated 8 root 9 0 0 0 0 S 0.0 0.0 0:00.06 xfsbufd 9 root 9 0 0 0 0 S 0.0 0.0 0:00.00 xfslogd/0 10 root 9 0 0 0 0 S 0.0 0.0 0:00.00 xfsdatad/0 14 root -1 -20 0 0 0 S 0.0 0.0 0:00.00 mdrecoveryd 15 root 9 0 0 0 0 S 0.0 0.0 0:02.51 kjournald 32 root 9 0 0 0 0 S 0.0 0.0 0:00.58 kjournald 128 root 9 0 220 176 136 S 0.0 0.3 0:00.29 syslogd 141 root 9 0 1216 180 136 S 0.0 0.3 0:00.92 klogd Natomiast po restarcie niceshapera, nie jest on wyświetlany nawet w top-ie. Czyżby przypadek z tym 99%? Muszę przypilnować czy te przypadki nie zdarzają się częściej... |
Autor: | Maciek [ czwartek, 24 kwietnia 2008, 00:30 ] |
Tytuł: | |
O niceshaperze nic nie wspominałeś wcześniej. Jaki masz sprzęt i na ile komputerów ma nnd dzielić połączenie? To może być kluczowy powód problemów. |
Autor: | mes mariusz [ czwartek, 24 kwietnia 2008, 00:34 ] |
Tytuł: | |
Maciek pisze: O niceshaperze nic nie wspominałeś wcześniej. Jaki masz sprzęt i na ile komputerów ma nnd dzielić połączenie? To może być kluczowy powód problemów.
W tej chwili niceshaper dzieli połączenie na 13 komputerów w pracowni plus 2 komputery poza nią. Docelowo na pracowni znajdą się 24 komputery plus ok. 8 poza nią. |
Autor: | rikardo7 [ czwartek, 24 kwietnia 2008, 15:07 ] |
Tytuł: | |
ale miales napisac jaki masz sprzet procek, ram, dysk |
Autor: | mes mariusz [ czwartek, 24 kwietnia 2008, 15:24 ] |
Tytuł: | |
rikardo7 pisze: ale miales napisac jaki masz sprzet procek, ram, dysk
PII 350MHz, 256MB RAM, dysk 4GB. PS. Jakim poleceniem sprawdzić z poziomu konsoli, jak te zasoby widziane są przez system? Częstotliwość taktowania procesora widzę w var/log/kernel ale nie jestem pewien, co do pamięci RAM wizianej przez system. |
Autor: | Maciek [ czwartek, 24 kwietnia 2008, 16:46 ] |
Tytuł: | |
Na P350 i 128 RAM niceshaper dzieli dla użytkowników w liczbie 10 i load average nie przekracza raczej 0.5 - ale nie ma nic więcej. Więc jeśli na tym samym sprzęcie masz www (jakis a-acz z php i mysql) i jeszcze pocztę, to sprzet zdecydowanie za słaby. Moze zresztą jeszcze przekombinowałeś z regułkami dla niceshapera i dla iptables i stąd sprzęt ci nie wyrabia. |
Autor: | mes mariusz [ czwartek, 24 kwietnia 2008, 18:57 ] |
Tytuł: | |
Maciek pisze: Na P350 i 128 RAM niceshaper dzieli dla użytkowników w liczbie 10 i load average nie przekracza raczej 0.5 - ale nie ma nic więcej. Więc jeśli na tym samym sprzęcie masz www (jakis a-acz z php i mysql) i jeszcze pocztę, to sprzet zdecydowanie za słaby. Moze zresztą jeszcze przekombinowałeś z regułkami dla niceshapera i dla iptables i stąd sprzęt ci nie wyrabia.
Nie zostaje nic innego jak tylko wyłączyć niceshaper-a i sprawdzić, czy problemy nie ustąpią. Ale tylko raz udało mi się przyłapać niceshapera na 99% zajętości CPU, normalnie ma około 0.7% CPU. Serwery które wymieniłeś są postawione i uruchomione, ale korzysta się z nich tyle, co nic. Z regułkami dla niceshapera nie kombinowałem zbyt wiele (idzie prawie, że na domyślnych ustawieniach) : W users dla każdego usera: 192.168.0.101 eth1 dl_low 3kbps dl_ceil 100kbps ul_low 1kbps ul_ceil 25 W configu standard dla łącza DSL1000 (1024/256), czyli: <global> iface inet eth0 moje_stałe_ip/29 iface local eth1 192.168.0.1/24 do not shape local moje_stałe_ip with 192.168.0.0/24 do not shape local 192.168.0.1 with 192.168.0.0/24 shape router true low 2kbps ceil 30kbps prio 2 stats unit kbps dump 10c file /var/www/nsstats.txt resolve hostname false method mark reload 3s </global> <download> link speed 125kbps shape 105kbps user low 0kbps ceil 100kbps strict 60% prio 5 policy dynamic </download> <upload> link speed 32kbps shape 28kbps user low 0kbps ceil 30kbps strict 40% prio 6 policy dynamic </upload> Dla pewności jednak wyłączę niceshapera i zobaczę jak wtedy system się zacznie spisywać. |
Autor: | mes mariusz [ czwartek, 24 kwietnia 2008, 19:13 ] |
Tytuł: | |
W auth mam sporo czegoś takiego (mnóstwo tego, choć trwało tylko między 8.29 a 8.32): Apr 24 08:32:17 serwer sshd[9323]: Address 78.24.9.102 maps to capybara.vshosting.cz, but this does not map back to the address - POSSIBLE BREAK-IN ATTEMPT! Apr 24 08:32:17 serwer sshd[9323]: Failed password for root from 78.24.9.102 port 39469 ssh2 Apr 24 08:32:17 serwer sshd[9323]: Excess permission or bad ownership on file /var/log/btmp Cóż to mogło być? |
Autor: | Maciek [ czwartek, 24 kwietnia 2008, 19:21 ] |
Tytuł: | |
Boty się do ssh dobijają. |
Autor: | mes mariusz [ czwartek, 24 kwietnia 2008, 19:26 ] |
Tytuł: | |
PS. Poczytałem trochę o aktualizacji całego systemu ( pacman -Suy - http://nnd.freesco.pl/modules.php?name= ... cle&sid=34 ) i stwierdziłem, że lepiej się wstrzymam. A czy mogę zaktualizować samego clamav-a (pacman -S clamav) bez obaw, że przestanie mi działać poczta, ewentualnie czy będę musiał coś w konfiguracji zmieniać ( http://nnd.freesco.pl/modules.php?name= ... cle&sid=10 ), czy może już wprowadzone wcześniej zmiany zostaną uwzględnione? |
Autor: | pectosol [ czwartek, 24 kwietnia 2008, 19:49 ] |
Tytuł: | |
zmien dla nieceshapera wartość z 3s na 4s (albo nawet więcej - przetestuj sam) powinno pomóc - reszty nie ruszaj. Przez zbyt małą wartość tego parametru czasem jest nawet tak że procek nie jest obciążony nawet w 10% a loadavg skacze do 4-5 (sic) i można stracić z serwerem łączność. |
Autor: | mes mariusz [ wtorek, 29 kwietnia 2008, 14:56 ] |
Tytuł: | |
Dziwne... Niceshaper od kilku dni wyłączony, poczta niby działa, a ja przed chwilą znowu miałem przygodę z logowaniem (po podaniu SU zero reakcji, dalej zwykły user), no i na komendę mc zwrócił mi 'Unicestwiony' (ale za drugim razem ruszył) uptime zwraca: top: (wyświetla tyle, ile mieści się na ekranie, nie wiem, jak wyświetlić wszystkie) top - 14:50:07 up 7:00, 1 user, load average: 0.12, 0.26, 0.20 Tasks: 60 total, 1 running, 59 sleeping, 0 stopped, 0 zombie Cpu(s): 0.3% user, 2.0% system, 0.0% nice, 97.7% idle Mem: 59480k total, 58144k used, 1336k free, 204k buffers Swap: 68036k total, 68036k used, 0k free, 972k cached PID USER PR NI VIRT RES SHR S %CPU %MEM TIME+ COMMAND 440 mysql 12 0 15316 972 140 S 1.0 1.6 0:00.66 mysqld 603 root 18 0 612 612 412 R 1.0 1.0 0:00.86 top 1 root 9 0 124 96 72 S 0.0 0.2 0:12.44 init 2 root 9 0 0 0 0 S 0.0 0.0 0:00.02 keventd 3 root 9 0 0 0 0 S 0.0 0.0 0:00.09 kapmd 4 root 19 19 0 0 0 S 0.0 0.0 0:00.01 ksoftirqd_CPU0 5 root 9 0 0 0 0 S 0.0 0.0 0:22.21 kswapd 6 root 9 0 0 0 0 S 0.0 0.0 0:00.00 bdflush 7 root 9 0 0 0 0 S 0.0 0.0 0:00.04 kupdated 8 root 9 0 0 0 0 S 0.0 0.0 0:00.05 xfsbufd 9 root 9 0 0 0 0 S 0.0 0.0 0:00.00 xfslogd/0 10 root 9 0 0 0 0 S 0.0 0.0 0:00.00 xfsdatad/0 14 root -1 -20 0 0 0 S 0.0 0.0 0:00.00 mdrecoveryd 15 root 9 0 0 0 0 S 0.0 0.0 0:02.63 kjournald 32 root 9 0 0 0 0 S 0.0 0.0 0:00.55 kjournald 128 root 9 0 196 152 112 S 0.0 0.3 0:00.32 syslogd 141 root 9 0 1120 84 40 S 0.0 0.1 0:00.76 klogd 154 root 9 0 184 148 112 S 0.0 0.2 0:00.08 crond 169 root 9 0 332 160 40 S 0.0 0.3 0:00.05 sshd 255 root 9 0 148 100 40 S 0.0 0.2 0:00.23 xinetd 276 root 9 0 716 300 148 S 0.0 0.5 0:00.13 dhcpd 291 root 9 0 3624 132 108 S 0.0 0.2 0:00.25 httpd 305 root 9 0 232 48 48 S 0.0 0.1 0:00.08 mysqld_safe 326 nobody 9 0 4636 1488 40 S 0.0 2.5 0:00.36 httpd 327 nobody 9 0 7104 3784 104 S 0.0 6.4 0:01.57 httpd 328 nobody 9 0 4724 1592 104 S 0.0 2.7 0:00.74 httpd 329 nobody 9 0 7020 3948 104 S 0.0 6.6 0:02.13 httpd 330 nobody 9 0 6224 3152 104 S 0.0 5.3 0:01.38 httpd 351 mysql 9 0 15316 972 140 S 0.0 1.6 0:01.30 mysqld 352 nobody 9 0 492 216 136 S 0.0 0.4 0:00.19 proftpd 376 root 9 0 116 36 36 S 0.0 0.1 0:00.01 pwcheck 383 mail 8 0 308 80 48 S 0.0 0.1 0:00.05 exim 385 mail 8 0 304 48 48 S 0.0 0.1 0:00.06 exim 401 mail 9 0 316 48 48 S 0.0 0.1 0:02.62 freshclam 404 root 9 0 78564 31m 64 S 0.0 54.7 1:11.90 clamd Jakieś pomysły? |
Strona 1 z 2 | Strefa czasowa UTC+2godz. |
Powered by phpBB® Forum Software © phpBB Group https://www.phpbb.com/ |