Muito TCP: overflow de tabela de espera de tempo no CentOS 6

Question

temos a seguinte saída do dmesg:

__ratelimit: 33491 callbacks suppressed
TCP: time wait bucket table overflow
TCP: time wait bucket table overflow
TCP: time wait bucket table overflow
TCP: time wait bucket table overflow
TCP: time wait bucket table overflow
TCP: time wait bucket table overflow
TCP: time wait bucket table overflow
TCP: time wait bucket table overflow
TCP: time wait bucket table overflow
TCP: time wait bucket table overflow

Além disso, temos a seguinte configuração:

cat /proc/sys/net/ipv4/tcp_max_tw_buckets
524288

Estamos sob algum tipo de ataque, mas não conseguimos detectar o que causa esse problema?

    

Answer 1

Tente os seguintes comandos para determinar se você tem muitas conexões provenientes de um endereço ou se está sob um ataque distribuído.

netstat -nt | cut -c 40- | cut -d: -f1 | sort | uniq -c | sort -n
netstat -nt | cut -d: -f2 | sort | uniq -c | sort -n

Se você tiver números altos em alguns endereços IP, será mais fácil limitar as conexões. Você pode então adicionar regras de negação ou regras de limite de taxa a iptables para limitar o acesso desses endereços.

Se você estiver sob ataque, pode querer envolver seu ISP, pois ele pode limitar as conexões antes que elas cheguem até você.

    

Answer 2

Eu usaria também o tcpdump e fareje um pouco na interface para ver o que está por vir. Lá você poderá ver o que realmente está acontecendo e o que está vindo para você.

Veja também uma explicação rápida de como isso funciona, caso você não tenha usado antes:

link