[Comm] Через мой сервер ночами ходят

[Comm] Через мой сервер ночами ходят

[Vitalik Salomatin]

У меня не первый год стоит сервер ALT Server 4.0 (раньше 2.4), 
который имеет 4 внешних айпишников, через разных провайдеров и 
виден снаружи.

Установил практически по-молчанию и дополнительных мер 
безопасности не включал, довольствовался штатными.

Все хорошо. Хороший сервер, спасибо разработчикам.

Однако.

Сегодня обнаружил по счетчику netams что с 4 августа появился 
трафик, даже ночью, когда никто не работает, около 100 мегобайт 
за час, почти байт в байт входящий и исходящий, через одного из 
провайдеров.

По остальным открытым айпишникам все хорошо.
 
Что я пока сразу сделал.

1.Закрыл все порты с этого айпишника, но оставил 25 53 1723
(они у меня работают) 

2. Связался с техподержкой провайдера и попросил помочь 
проанализировать входящий трафик, логи по которому они у себя 
фиксируют. Особенно чисто в ночное время, за конкретные часы. 
Обещали в течении дня разобраться. 

Вообще интересно, что это такое может быть?
Что еще важно обязательно сделать?

Спасибо.

Re: [Comm] Через мой сервер ночами ходят

[Yuri Bushmelev]

В сообщении от Пятница 08 августа 2008 Vitalik Salomatin написал(a):
> Сегодня обнаружил по счетчику netams что с 4 августа появился
> трафик, даже ночью, когда никто не работает, около 100 мегобайт
> за час, почти байт в байт входящий и исходящий, через одного из
> провайдеров.
>
> По остальным открытым айпишникам все хорошо.
>
> Что я пока сразу сделал.
>
> 1.Закрыл все порты с этого айпишника, но оставил 25 53 1723
> (они у меня работают)
>
> 2. Связался с техподержкой провайдера и попросил помочь
> проанализировать входящий трафик, логи по которому они у себя
> фиксируют. Особенно чисто в ночное время, за конкретные часы.
> Обещали в течении дня разобраться.
>
> Вообще интересно, что это такое может быть?
> Что еще важно обязательно сделать?

Скорее всего, кто-то поставил ваш ip шлюзом по умолчанию (или не по 
умолчанию). Если у вас достаточно красивый ip (или открытый наружу 
dhcp-сервер) это могло произойти случайно или по чьей-то глупости.

Если трафик бежит между разными сетевухами, то вероятность умысла 
значительно больше. Тогда кто-то использует вас как пира между 
провайдерами.

Нужно правильно настроить файрволл. Дабы пропускать трафик только туда, куда 
ему положено. Например, закрыть входящий трафик через сетевуху снаружи, 
идущий не на ваш ip на той же сетевухе (вашу сеть).


-- 
С уважением,
Бушмелев Юрий