не mp3 или avi они в атачах шлют на яндекс, в логах размер исходящих писем ?>Люди, помогите :)
>
>Debian + Прокси (squid) + mail (exim) + iptables firewall.
>
>Обнаруживаю периодическое лавинообразное возрастание исходящего трафика...
>Поднимается до 100% загрузка и лечится только перезагрузкой прокси сервера.
>
>Стал копаться детальнее. посмотрел ЧТО может забивать исходящий...
>netstat -apn показала следующее:
>
>tcp 0 1642
>82.209.212.10:37444 213.180.200.9:25
> ESTABLISHED20683/
>tcp 0 1853
>82.209.212.10:37740 81.9.34.203:25
> ESTABLISHED20945/
>
>Это подозрительные коннекты...
>Судя по портам - это производные от почтовых служб... Изучаю логи exim-а
>на предмет работы с этими айпишниками...
>
>2005-06-29 11:28:14 1DnXvZ-0002RF-00 => |/opt/drweb/clients/exim/drweb_exim.sh $sender_address $recipients <message filter> T=filter_pipe
>2005-06-29 11:28:14 1DnXvZ-0002RF-00 Completed
>2005-06-29 11:28:14 1DnXvZ-0002RP-00 => inet4all@yandex.ru R=lookuphost T=remote_smtp H=mx1.yandex.ru [213.180.200.9]
>2005-06-29 11:28:14 1DnXvZ-0002RP-00 Completed
>
>Вродь нормально... Спросил своего юзера на предмет работал он с ящиком этим
>или нет? оказалось работал...
>
>Та же хрень и со вторым айпишником...
>
>Казаось бы - поработали и забыли... Ан нет... Имеем почему-то периодически возникающий
>коннект с подобными адресами и бешенный исходящий...
>
>Настройки релея для экзима приведу:
>host_accept_relay = 127.0.0.1:10.4.253.0/24
># relay_domains =
>т.е. локалхост и моя внутренняя подсетка.
>релей на домены вообще закоментирован...
>По идее релеинг тут место быть не имеет...
>
>Приведу кусок настройки файрвола:
>-A INETIN -p tcp -j INETIN_TCP
>-A INETIN -p udp -j INETIN_UDP
>-A INETIN -m state --state ESTABLISHED -j ACCEPT
>-A INETIN -j DROP
>
>-A INETIN_TCP -i eth1 -p tcp -m tcp --dport 25 -m state
>--state NEW,ESTABLISHED -j ACCEPT
>-A INETIN_TCP -i eth1 -p tcp -m tcp --dport 80 -m state
>--state NEW,ESTABLISHED -j ACCEPT
>-A INETIN_TCP -i eth1 -p tcp -m tcp --dport 8081 -m state
>--state NEW,ESTABLISHED -j ACCEPT
>-A INETIN_TCP -p tcp -m tcp --dport 1024:65535 -m state --state RELATED,ESTABLISHED
>-j ACCEPT
>
>-A INETIN_UDP -s 10.4.253.10 -p udp -m udp --sport 67 --dport 68
>-j ACCEPT
>-A INETIN_UDP -s 10.4.253.2 -p udp -m udp --sport 53 -m state
>--state ESTABLISHED -j ACCEPT
>-A INETIN_UDP -s 10.4.253.10 -p udp -m udp --sport 53 -m state
>--state ESTABLISHED -j ACCEPT
>-A INETIN_UDP -s 10.4.253.12 -p udp -m udp --sport 53 -m state
>--state ESTABLISHED -j ACCEPT
>-A INETIN_UDP -i eth1 -p udp -m udp --dport 53 -m state
>--state NEW,ESTABLISHED -j ACCEPT
>-A INETIN_UDP -p udp -m udp --dport 1024:65535 -m state --state RELATED,ESTABLISHED
>-j ACCEPT
>
>Кусок с icmp нас не интересует... В итоге видим что ничего лишнего
>не открыто... НО работает это дело по открытому наружу 25 порту.
>Почта же должна ходить как то...
>Блина, в чем грабли... Что за дикий аплоад такой...
