Hintergrund: Ich habe Apache 2 unter Ubuntu laufen. Es wird wenig genutzt und meistens wird es über eine Webservice-URL von mobilen Apps aufgerufen. Es hat gut funktioniert, bis ich SSL-Zertifikate installiert habe. Ich habe jetzt sowohl http als auch https. Wenn ich über https auf den Server zugreife, bekomme ich eine ziemlich schnelle Antwort (aber wahrscheinlich nicht so schnell wie vorher). Wenn ich http verwende, ist es so langsam.
Was ich versucht habe: AusDasPost:
- Ich
curl localhostvom Host und es dauert einige Zeit, was bedeutet, dass kein Routing-Problem vorliegt. - Der Server läuft auf einer Amazon EC2-Instanz und wird nur von mir verwaltet.
Auch:
- Ich sehe, dass Apache, sobald es läuft, die maximal zulässige Anzahl an Prozessen erstellt, was vorher nicht der Fall war. Ich habe die MaxClients auf 20 gesenkt und glaube, dass ich schnellere Antworten bekomme, aber es dauert immer noch über eine Minute und ich habe immer MaxClients Apache-Prozesse.
dmesggibt viele[ 1953.655703] TCP: Possible SYN flooding on port 80. Sending cookies.- Wenn ich netstat verwende, bekomme ich viele Einträge mit
SYN_RECV. Möglicherweise ein DDoS-Angriff? - In den Überwachungsdiagrammen von EC2 erkenne ich seit 2 Tagen ein Muster mit hohen „Maximum Network In (Bytes)“-Werten. Der Server wird übrigens noch getestet, der tatsächliche Datenverkehr ist sehr gering und nicht konstant.
- Ich habe versucht, mitzugehenDasLösung zum Begrenzen eingehender Verbindungen mit
iptables, immer noch ohne Erfolg, aber ich versuche es.
Frage: Was könnte das Problem sein? Handelt es sich um einen DDoS-Angriff?
Aktualisieren: Ich habe dieses Problem besprochenHier. Es war tatsächlich ein DDoS-Angriff. Es werden auch einige Lösungen diskutiert.
Antwort1
apachetopBeim nächsten Mal möchten Sie vielleicht etwas wie oder verwenden, tail -f /var/log/httpd/access_logum eine bessere Vorstellung davon zu haben, was vor sich geht. Sie haben wahrscheinlich viele eingehende Anfragen gesehen, möglicherweise mit einem erkennbaren Muster: wie bestimmte IP-Bereiche oder dieselben URLs, vielleicht Brute-Force-Versuche auf einem Anmeldeformular usw. Vielleicht möchten Sie dies sogar automatisieren, indem Sie diese IP-Bereiche in eine Iptables-Blockierungsregel einfügen, wenn die URL-Anfragen in einer bestimmten Zeitspanne hoch genug sind.