Eu tenho um servidor plex em casa que executa vários softwares e preenche vários papéis. Ele está executando o Ubuntu mais recente com todos os últimos pacotes / atualizações. A cada 10 dias ou mais, ele inicia o pacote atacando um endereço IP público e recuperando a tempestade. Isso mata completamente todos os outros tráfegos de rede.
Primeiro tentei verificar os usuários comuns de largura de banda, mas nada que eu tenha é não classificado / ilimitado nessa caixa.
Eu então tentei iftop e outros vários programas (isso me levou algumas vezes desde que eu não posso usar os canos em TODOS quando isso acontece) para ver se eu poderia rastrear o processo de quem está enviando o tráfego. iftop vê o tráfego, mas mesmo o netstat não gera um ID de processo. Eu então pensei que poderia ter sido o tráfego NFS, depois de ler alguns artigos sobre o NFS sendo o nível do kernel sem um id de processo tradicional (espero que seja a linguagem correta), mas sem sucesso.
Por fim, acabei de ativar o espelhamento do meu netgear e capturei o tráfego de outro computador. E eis que é o tráfego de lixo. TCP Dup ACKs até o fim. Aqui está um pequeno segmento de 8MB (cerca de 100.000 pacotes em 4 segundos). Capturei um arquivo maior de captura de 1 minuto, mas é praticamente o mesmo.
Alguma idéia de como rastrear esse bad boy e / ou pará-lo? A pequena captura está aqui: link e eu posso usar um serviço diferente se você recomendar um.
Para aqueles sem o Wireshark, a conexão TCP remota é 46.105.201.50:80. A porta local muda, mas está sempre no bloco de 60.000 a 70.000.
Obrigado pela ajuda!
Parece que você tem uma ferramenta DDoS escondida no seu sistema ou alguém está atacando você. Inundação de rede em um intervalo regular com dados de lixo, e o "destino" lutando de volta? Clássico.
O primeiro passo é descartar pacotes para ou a partir desse endereço IP no nível do firewall. Isso deve reduzir os tubos entupidos. Em seguida, dê uma olhada e procure por binários / arquivos suspeitos. Se você não encontrar nenhum, eu recomendo apenas queimar o sistema operacional e começar de novo.
Tags networking nfs zfs ubuntu