☰

Я продолжаю получать попытки входа на свой сервер, пока он не отключится

tag-icon • tag-icon centos iptables firewall ddos
Я продолжаю получать попытки входа на свой сервер, пока он не отключится

У меня есть сервер Centos7, и после многих лет корректной работы вчера он стал недоступным (серверные приложения, которые у меня там установлены, не были доступны, соединение SSH давало тайм-аут и т. д., но пинг проходил).

Вчера он стал недоступен, и единственный выход — остановить его и запустить снова. Но через час или меньше происходит то же самое.

После некоторых исследований выяснилось, что это может быть связано с атакой SYN-флуда.

Проверяя логи подключений, я вижу, что есть несколько попыток входа, например:

Jan 26 08:18:08 vsi-prod sshd[2691]: Invalid user aadil from 190.153.249.99 port 59598
Jan 26 08:18:08 vsi-prod sshd[2691]: input_userauth_request: invalid user aadil [preauth]
Jan 26 08:18:08 vsi-prod sshd[2691]: Received disconnect from 190.153.249.99 port 59598:11: Bye Bye [preauth]
Jan 26 08:18:08 vsi-prod sshd[2691]: Disconnected from 190.153.249.99 port 59598 [preauth]
Jan 26 08:18:12 vsi-prod sshd[2695]: Invalid user db2fenc2 from 143.110.241.56 port 54456
Jan 26 08:18:12 vsi-prod sshd[2695]: input_userauth_request: invalid user db2fenc2 [preauth]
Jan 26 08:18:13 vsi-prod sshd[2695]: Received disconnect from 143.110.241.56 port 54456:11: Bye Bye [preauth]
Jan 26 08:18:13 vsi-prod sshd[2695]: Disconnected from 143.110.241.56 port 54456 [preauth]

Я отключаю порт 22, но проблема продолжает возникать. Кроме того, запрос отправляется на порт, который должен быть закрыт (я дважды проверил).

Я пытался создать ограничитель скорости, iptablesно это тоже не сработало.

sudo iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m hashlimit --hashlimit 5/minute --hashlimit-burst 5 --hashlimit-mode srcip --hashlimit-name ssh-limit -j ACCEPT

И наконец, я создаю somaxconn, но проблема все еще существует...

net.core.somaxconn = 1024

Есть ли какие-либо предложения по исправлению этой проблемы? Какие настройки/инструменты мне нужно использовать, чтобы избежать этого сценария?

решение1

(это должен быть комментарий, но слишком длинный / комментарии не форматируются)

это из-за атаки SYN-флуда

Вы уверены? Как вы это определили? Вы проверяли, еслисинхронные кукивключен?

Я вижу, что есть несколько попыток входа

Добро пожаловать в интернет. Я полагаю, вы знаете, что это, скорее всего, не связано с синфлудом. СмотритеСоветы по преодолению удивительно высокого уровня неудачных попыток входа в систему через sshd в «ботнетах»?

Связанный контент