apache - трысячи открытых конектов.

DDoS

а как от него можно защититься? или хотя бы вычислить какой домен ддосят. там на одном ИП несколько десятков доменов висит.

попробовал tcpdump -xx -i eth1:1 -n dst port 80 но там слишком много. вообще не понятно ничего к сожалению =(

1.KeepAlive включен ?
2.смотришь в server-status какой URL досят и грепаешь его в access.log/error.log ->выбираешь оттуда ИПы и их через iptables банишь
скрипт пишется за 5 минут.

KeepAlive - выключил, когда начались эти проблемы, думал поможет. сейчас выключен.

посмотреть в server-status урл по которому досят не могу, в этом то и вся проблема. там вместо УРЛа написано "..reading.." и так и висит этот "..reading.." - пока по таймауту не отвалится. там просто открываются соединения на 80 порт и всё... после открытия соединения сам ХТТП запрос НЕ кидают.

ну тупо сделай выборку скриптом из лога top 10 линков и ИП
если не осилишь, кину скрипт

Согласен, что похоже на DDoS.
С похожей проблемой столкнулся на прошлой недели, только с postfix.
Было более 300 конектов в режиме TIME_WITE, в результате сервак перестал справляться отвечать на запросы.
Удалось привести сервак к рабочему стостоянию при помощи iptables.
Первое, что я сдела - это запретил более одного конекта с одного ip:

iptables -A FORWARD -p tcp --syn --dport smtp -m connlimit --connlimit-above 1 -j DROP

После чего система стала постепенно переходить в рабочее состояние, уменьшив число конектов в три раза.
Попутно была прочитаны статью по вариантам и с web-серверами, вот ссылки:
http://www.lug.am/index.php?action=articles&do=single&id=473
http://www.opennet.ru/tips/info/798.shtml
http://www.opennet.ru/base/net/sendmail_rate_script.txt.html

Думаю, что решений данной проблемы может быть много, поэтому хочется почитать кто какие еще использует варианты.

>Было более 300 конектов в режиме TIME_WITE, в результате сервак перестал справляться отвечать на запросы.

Что у тебя за железо? Или это postfix такое дерьмо?

dreamer - я ещё раз говорю, что нету никаких ссылок в логе. просто открывается соединение по 80 порту и всё... висит пока по таймауту не умрёт... сам хттп запрос НЕ посылается... следовательно никаких ссылок ни в каких логах найти нельзя.

av - спасибо... ща буду изучать.

или меня глючит, или это похоже на результаты скана nmap'ом ?

> Что у тебя за железо? Или это postfix такое дерьмо?
:)
Железка: P IV (1700), mem=512, postfix=2.1.5-9
Сейчас в среднем 100-100 конектов висит, из них около 30 в режиме TIME_WITE. За сутки при такой активности postfix обработал около 7000 писем, которые смогли postgrey преодолеть.