Исходное сообщение
"Дикий исходящий трафик" Отправлено _RAW_, 30-Июн-05 11:13
Люди, помогите :) Debian + Прокси (squid) + mail (exim) + iptables firewall. Обнаруживаю периодическое лавинообразное возрастание исходящего трафика... Поднимается до 100% загрузка и лечится только перезагрузкой прокси сервера. Стал копаться детальнее. посмотрел ЧТО может забивать исходящий... netstat -apn показала следующее: tcp        0   1642 82.209.212.10:37444     213.180.200.9:25        ESTABLISHED20683/ tcp        0   1853 82.209.212.10:37740     81.9.34.203:25          ESTABLISHED20945/ Это подозрительные коннекты... Судя по портам - это производные от почтовых служб... Изучаю логи exim-а на предмет работы с этими айпишниками... 2005-06-29 11:28:14 1DnXvZ-0002RF-00 => |/opt/drweb/clients/exim/drweb_exim.sh $sender_address $recipients <message filter> T=filter_pipe 2005-06-29 11:28:14 1DnXvZ-0002RF-00 Completed 2005-06-29 11:28:14 1DnXvZ-0002RP-00 => inet4all@yandex.ru R=lookuphost T=remote_smtp H=mx1.yandex.ru [213.180.200.9] 2005-06-29 11:28:14 1DnXvZ-0002RP-00 Completed Вродь нормально... Спросил своего юзера на предмет работал он с ящиком этим или нет? оказалось работал... Та же хрень и со вторым айпишником... Казаось бы - поработали и забыли... Ан нет... Имеем почему-то периодически возникающий коннект с подобными адресами и бешенный исходящий... Настройки релея для экзима приведу: host_accept_relay = 127.0.0.1:10.4.253.0/24 # relay_domains = т.е. локалхост и моя внутренняя подсетка. релей на домены вообще закоментирован... По идее релеинг тут место быть не имеет... Приведу кусок настройки файрвола: -A INETIN -p tcp -j INETIN_TCP -A INETIN -p udp -j INETIN_UDP -A INETIN -m state --state ESTABLISHED -j ACCEPT -A INETIN -j DROP -A INETIN_TCP -i eth1 -p tcp -m tcp --dport 25 -m state --state NEW,ESTABLISHED -j ACCEPT -A INETIN_TCP -i eth1 -p tcp -m tcp --dport 80 -m state --state NEW,ESTABLISHED -j ACCEPT -A INETIN_TCP -i eth1 -p tcp -m tcp --dport 8081 -m state --state NEW,ESTABLISHED -j ACCEPT -A INETIN_TCP -p tcp -m tcp --dport 1024:65535 -m state --state RELATED,ESTABLISHED -j ACCEPT -A INETIN_UDP -s 10.4.253.10 -p udp -m udp --sport 67 --dport 68 -j ACCEPT -A INETIN_UDP -s 10.4.253.2 -p udp -m udp --sport 53 -m state --state ESTABLISHED -j ACCEPT -A INETIN_UDP -s 10.4.253.10 -p udp -m udp --sport 53 -m state --state ESTABLISHED -j ACCEPT -A INETIN_UDP -s 10.4.253.12 -p udp -m udp --sport 53 -m state --state ESTABLISHED -j ACCEPT -A INETIN_UDP -i eth1 -p udp -m udp --dport 53 -m state --state NEW,ESTABLISHED -j ACCEPT -A INETIN_UDP -p udp -m udp --dport 1024:65535 -m state --state RELATED,ESTABLISHED -j ACCEPT Кусок с icmp нас не интересует... В итоге видим что ничего лишнего не открыто... НО работает это дело по открытому наружу 25 порту. Почта же должна ходить как то... Блина, в чем грабли... Что за дикий аплоад такой...

Ваше сообщение
Имя*:
EMail:	Для отправки новых сообщений в текущей нити на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	> Люди, помогите :) > Debian + Прокси (squid) + mail (exim) + iptables firewall. > Обнаруживаю периодическое лавинообразное возрастание исходящего трафика... > Поднимается до 100% загрузка и лечится только перезагрузкой прокси сервера. > Стал копаться детальнее. посмотрел ЧТО может забивать исходящий... > netstat -apn показала следующее: > tcp 0 1642 > 82.209.212.10:37444 213.180.200.9:25 > ESTABLISHED20683/ > tcp 0 1853 > 82.209.212.10:37740 81.9.34.203:25 > ESTABLISHED20945/ > Это подозрительные коннекты... > Судя по портам - это производные от почтовых служб... Изучаю логи exim-а > на предмет работы с этими айпишниками... > 2005-06-29 11:28:14 1DnXvZ-0002RF-00 => |/opt/drweb/clients/exim/drweb_exim.sh > $sender_address $recipients <message filter> T=filter_pipe > 2005-06-29 11:28:14 1DnXvZ-0002RF-00 Completed > 2005-06-29 11:28:14 1DnXvZ-0002RP-00 => inet4all@yandex.ru R=lookuphost T=remote_smtp > H=mx1.yandex.ru [213.180.200.9] > 2005-06-29 11:28:14 1DnXvZ-0002RP-00 Completed > Вродь нормально... Спросил своего юзера на предмет работал он с ящиком этим > или нет? оказалось работал... > Та же хрень и со вторым айпишником... > Казаось бы - поработали и забыли... Ан нет... Имеем почему-то периодически возникающий > коннект с подобными адресами и бешенный исходящий... > Настройки релея для экзима приведу: > host_accept_relay = 127.0.0.1:10.4.253.0/24 > # relay_domains = > т.е. локалхост и моя внутренняя подсетка. > релей на домены вообще закоментирован... > По идее релеинг тут место быть не имеет... > Приведу кусок настройки файрвола: > -A INETIN -p tcp -j INETIN_TCP > -A INETIN -p udp -j INETIN_UDP > -A INETIN -m state --state ESTABLISHED -j ACCEPT > -A INETIN -j DROP > -A INETIN_TCP -i eth1 -p tcp -m tcp --dport 25 -m state > --state NEW,ESTABLISHED -j ACCEPT > -A INETIN_TCP -i eth1 -p tcp -m tcp --dport 80 -m state > --state NEW,ESTABLISHED -j ACCEPT > -A INETIN_TCP -i eth1 -p tcp -m tcp --dport 8081 -m state > --state NEW,ESTABLISHED -j ACCEPT > -A INETIN_TCP -p tcp -m tcp --dport 1024:65535 -m state --state RELATED,ESTABLISHED > -j ACCEPT > -A INETIN_UDP -s 10.4.253.10 -p udp -m udp --sport 67 --dport 68 > -j ACCEPT > -A INETIN_UDP -s 10.4.253.2 -p udp -m udp --sport 53 -m state > --state ESTABLISHED -j ACCEPT > -A INETIN_UDP -s 10.4.253.10 -p udp -m udp --sport 53 -m state > --state ESTABLISHED -j ACCEPT > -A INETIN_UDP -s 10.4.253.12 -p udp -m udp --sport 53 -m state > --state ESTABLISHED -j ACCEPT > -A INETIN_UDP -i eth1 -p udp -m udp --dport 53 -m state > --state NEW,ESTABLISHED -j ACCEPT > -A INETIN_UDP -p udp -m udp --dport 1024:65535 -m state --state RELATED,ESTABLISHED > -j ACCEPT > Кусок с icmp нас не интересует... В итоге видим что ничего лишнего > не открыто... НО работает это дело по открытому наружу 25 порту. > Почта же должна ходить как то... > Блина, в чем грабли... Что за дикий аплоад такой...
	Введите код, изображенный на картинке: