Tengo un servidor Centos7 y después de años de funcionar correctamente, ayer empezó a ser inalcanzable (las aplicaciones del servidor que tengo allí no eran recargables, la conexión SSH se agotó, etc., pero el ping funcionó).
Ayer se volvió inalcanzable y la única solución es detenerlo y reiniciarlo. Pero después de una hora o menos, sucede lo mismo.
Después de investigar un poco, podría deberse a un ataque de inundación SYN.
Al revisar los registros de conexión veo que hay varios intentos de inicio de sesión, por ejemplo:
Jan 26 08:18:08 vsi-prod sshd[2691]: Invalid user aadil from 190.153.249.99 port 59598
Jan 26 08:18:08 vsi-prod sshd[2691]: input_userauth_request: invalid user aadil [preauth]
Jan 26 08:18:08 vsi-prod sshd[2691]: Received disconnect from 190.153.249.99 port 59598:11: Bye Bye [preauth]
Jan 26 08:18:08 vsi-prod sshd[2691]: Disconnected from 190.153.249.99 port 59598 [preauth]
Jan 26 08:18:12 vsi-prod sshd[2695]: Invalid user db2fenc2 from 143.110.241.56 port 54456
Jan 26 08:18:12 vsi-prod sshd[2695]: input_userauth_request: invalid user db2fenc2 [preauth]
Jan 26 08:18:13 vsi-prod sshd[2695]: Received disconnect from 143.110.241.56 port 54456:11: Bye Bye [preauth]
Jan 26 08:18:13 vsi-prod sshd[2695]: Disconnected from 143.110.241.56 port 54456 [preauth]
Desactivo el puerto 22 pero el problema sigue sucediendo. Además, la solicitud es para el puerto que debería estar cerrado (lo verifiqué dos veces).
Intenté generar un limitador de velocidad iptablespero tampoco funcionó.
sudo iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m hashlimit --hashlimit 5/minute --hashlimit-burst 5 --hashlimit-mode srcip --hashlimit-name ssh-limit -j ACCEPT
Y por último, creo el somaxconn pero el problema sigue ahí...
net.core.somaxconn = 1024
¿Hay alguna sugerencia sobre cómo solucionarlo? ¿Qué configuración/herramienta debo hacer para evitar este escenario?
Respuesta1
(esto debería ser un comentario, pero es demasiado largo/los comentarios no tienen formato)
eso se debe a un ataque de inundación SYN
¿Está seguro? ¿Comó determinaste esto? ¿Comprobaste sicookies sincronizadas¿está prendido?
Veo que hay varios intentos de inicio de sesión.
Bienvenido al internet. Supongo que sabes que probablemente no estén relacionados con una inundación de sincronización. Ver¿Consejos para hacer frente a una tasa sorprendentemente alta de fallos de inicio de sesión de sshd de "botnets"?