%20inesperado%20provoca%20que%20el%20enlace%20se%20bloquee%3F.png)
Aproximadamente cada dos días, mi servidor deja de responder por completo a sus servicios. Puedo hacer ping, pero no puedo usar SSH, así que tengo que ir al panel de control de mi host y restablecerlo.
Cuando vuelve a funcionar, la última entrada del registro antes del bloqueo en /var/log/messages son variaciones de lo siguiente:
nombrado[3493]: RCODE inesperado (SERVFAIL) resolviendo '3.39.148.159.in-addr.arpa/PTR/IN': 193.0.0.193#53
¿Podría ser esto parte de un ataque DoS? No configuré el enlace en este servidor y no pensé que fuera necesario (por ingenuo que sea).
Respuesta1
Primera pregunta: ¿realmente es necesario que el vínculo sea accesible al mundo exterior? De lo contrario, simplemente bloquee el tráfico entrante en los puertos DNS y estará todo listo.
Pero sí, indirectamente esto es parte de un "ataque", ya que su servidor de correo probablemente esté intentando devolver correos electrónicos de "usuario no encontrado" a servidores falsos.
¿Y tienes spamassassin ejecutándose en tu máquina? Si recibe una ola de spam y Perl Spamassassin está intentando manejar todo el correo, podría provocar que su sistema se caiga si tiene configuraciones desafortunadas.
Respuesta2
Lo más probable es que esa entrada de syslog sea su máquina intentando buscar la IP de un host que acaba de conectarse a ella. 193.0.0.193es uno de los servidores DNS de RIPE que tiene autoridad para parte del in-addr.arpaárbol utilizado para asignar la IP al nombre de host.
Esextremadamente improbableque estas consultas de DNS están provocando que su máquina falle. Es mucho más probable que sea la pérdida de recursos de cualquier tráfico entrante que esté causando indirectamente las búsquedas de DNS.
Sería más útil para usted observar qué servicios entrantes ofrece su servidor al mundo exterior y decidir si necesita realizar búsquedas de DNS en tiempo real para cada una de esas conexiones entrantes.
Por ejemplo, si se trata de un servidor web, no almacene nombres de host en los archivos de registro, solo almacene las direcciones IP remotas. Luego agregue los nombres de host más tarde (si alguna vez lo necesita) sin conexión.
Respuesta3
¿Qué versión de enlace? Además, ¿es posible ejecutar tcpdump del servidor para detectar la consulta a medida que llega? Me sorprendería que Bind estuviera matando a toda la máquina, entonces, ¿hay algo interesante antes de la entrada mencionada anteriormente en los registros?