Servidor reiniciando misteriosamente

Question

Eu tenho um VPS que quase diariamente executa uma reinicialização. Eu finalmente consegui hoje obter uma pista dos meus registros

May 12 03:14:49   sshd[19379]: Did not receive identification string from 173.212.118.167
May 12 03:25:03   sshd[19489]: Did not receive identification string from 82.248.74.71
May 12 03:25:15   sshd[19493]: Did not receive identification string from 98.249.28.85
May 12 03:30:25   shutdown[19545]: shutting down for system halt
May 12 03:30:29   init: Switching to runlevel: 0
May 12 03:30:34   saslauthd[1654]: server_exit     : master exited: 1654
May 12 03:30:34   sshd[1656]: Received signal 15; terminating.
May 12 03:30:34   sshd[1655]: Received signal 15; terminating.
May 12 03:30:35   kernel: Kernel logging (proc) stopped.
May 12 03:30:35   kernel: Kernel log daemon terminating.
May 12 03:30:35   syslog-ng[364]: Termination requested via signal, terminating;
May 12 03:30:35   syslog-ng[364]: syslog-ng shutting down; version='3.2.2'
May 12 03:34:23   syslog-ng[388]: syslog-ng starting up; version='3.2.2'
May 12 03:34:24   ifup:     lo        
May 12 03:34:24   ifup:     lo        
May 12 03:34:24   ifup: IP address: 127.0.0.1/8  

Parece que um processo realizou uma reinicialização. Isso parece acontecer na mesma hora do dia. Felizmente, o tempo de inatividade é muito curto.

Eu verifiquei as tarefas do cron para ver se havia alguma entrada relevante, mas não havia. O mais estranho é que a reinicialização geralmente é executada com o nível de execução 6, não 0. O nível de execução 0 deveria desligar o servidor, mas, em vez disso, ganha vida novamente em alguns segundos.

O que eu poderia fazer para descobrir mais sobre isso?

    

Answer 1

De acordo com o seu log, algo está chamando o utilitário shutdown para executar o encerramento. Eu substituiria (temporariamente) /sbin/shutdown por um script que registra um monte de informações, algo como o seguinte:

#!/bin/bash
set > /shutdown.env
ps auxfwww > /shutdown.ps

Você pode então procurar por PPID= em /shutdown.env e procurar por /shutdown.ps para ver o que esse pid era.

(Não se esqueça de chmod +x do script depois de colocá-lo no lugar. Eu o executaria apenas uma vez para ter certeza de que funciona).

    

Answer 2

Esta linha no seu log init: Switching to runlevel: 0 não significa que o runlevel 6 não foi usado: provavelmente foi, já que seu servidor foi reinicializado.

Verifique last reboot para ver se é um evento regular. Nesse caso, verifique novamente todas as tarefas do cron. A última também mostrará quem estava conectado quando o servidor foi reinicializado.

Verifique os logs do sudo (talvez seja necessário ativar o registro do sudo).

Você também pode tentar usar o mecanismo de auditoria %código% descrito aqui