demasiada ligação ao servidor SMTP no exim_mainlog, como resolvê-lo?

Question

É um servidor cPanel e, a partir do / var / log / exim_mainlog, vejo que há muitas conexões com o servidor. Principalmente o número de conexão de ação será menor que 25. Mas mesmo depois de aumentar a conexão máxima de 100 para 150, ainda estamos tendo muitos problemas de conexão.

2016-03-11 15:33:24 Connection from [216.113.172.65]:59122 refused: too many connections
2016-03-11 15:33:25 Connection from [216.158.225.200]:44107 refused: too many connections
2016-03-11 15:33:25 Connection from [213.61.222.76]:53953 refused: too many connections
2016-03-11 15:33:27 Connection from [46.23.76.98]:42336 refused: too many connections
2016-03-11 15:33:27 Connection from [91.194.248.147]:37566 refused: too many connections

Parece que o servidor SMTP está sob ataque ou algo como slowloris.

Como posso resolver este problema?

Abrir confiança não é permitido no servidor. Nós verificamos isso.

    

Answer 1

Eu fiz esta pergunta e, como resolvemos esse problema, quero respondê-lo, para que ajude alguém. Foi uma questão muito rara e difícil descobrir a causa raiz, embora o problema seja simples.

Quando recebemos muitas conexões de vários endereços IP, pensamos que poderia ser DDOS. Depois de analisar a conexão em excesso, descobrimos que todas as conexões são provenientes de sites legítimos, como linkedIn, Google, Facebook e assim por diante.

Também pensamos que poderia haver um problema com a porta eth0 ou eth1, mas na verdade não.

Após um dia de depuração, descobrimos que há um problema no MTU (unidade de transferência máxima) do pacote TCP / IP. O servidor SMTP repentinamente começou a rejeitar todos os pacotes acima do tamanho 1457. Portanto, a maioria dos pacotes que chegam ao servidor SMTP tem 1.500 de tamanho. Como esses pacotes não chegaram ao servidor SMTP, os outros servidores continuam tentando entregar os e-mails novamente & novamente.

Verificamos o problema com o ping "IP Addr" -l 1472

O problema real foi com algum ISP, em algum hub de rede os pacotes foram rejeitados acima de 1457 bytes.

ping -s 1472 localhost (linux) (28 bytes para cabeçalho ICMP e restante são pagos)