URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID1
Нить номер: 59075
[ Назад ]
Исходное сообщение
"FIN_WAIT_1(2) - не пропадает даже после перезагрузки."
Отправлено Rivalryzerg , 10-Авг-05 17:44 
В одном описании проблемы зависания FIN_WAIT_1(2) прочитал что помогает перезагрузка. До перезагрузки висела куча FIN_WAIT_2. Как только перегрузился начали появляьтся FIN_WAIT_1 в таких же количествах. Может ктото сталкивался с этой проблемой: будьте добры расскажите как победить.. уже в отчаянии просто.. =(
Содержание
Сообщения в этом обсуждении
"FIN_WAIT_1(2) - не пропадает даже после перезагрузки."
Отправлено Moralez , 11-Авг-05 04:54 
Да тебя кто-то сканит или ДОСит. Надо уменьшать таймауты или просто забить (если жить не мешает).
"FIN_WAIT_1(2) - не пропадает даже после перезагрузки."
Отправлено Rivalryzerg , 11-Авг-05 10:24 
>Да тебя кто-то сканит или ДОСит. Надо уменьшать таймауты или просто забить
>(если жить не мешает).
Не знаю кто со мной что пытается делать - но пакеты идут с одного и тогоже ИП постоянно. Пока вроде проблем не было, разве что одна ошибка переполнения свапа.
Самое интересное - как это вообще происходит? Компьютер стоит за двумя файрволами следовательно соединения снаружи невозможны. Почему тогда после перезагрузки все начинается вновь?
Есть ли у когонибудь идеи? И как уvеньшить эти самые таймауты? (FreeBSD 5.4)

"FIN_WAIT_1(2) - не пропадает даже после перезагрузки."
Отправлено Moralez , 11-Авг-05 11:55 
А что это, шлюз для локалки или рабочая станция? Если первое, может из твоей локалки сканят тот сайт?

По какой-то причине RST-ы не доходят до тебя. Может ты или та сторона настройки firewallа перекрутили? Если у тебя pf, можешь уменьшить tcp.finwait, хотя это противоречит rfc. Или traffic shaper, опять таки кривой, режет RST-ы. Или какой-нибудь модный superantihackerkit на той стороне :) итп

"FIN_WAIT_1(2) - не пропадает даже после перезагрузки."
Отправлено Moralez , 11-Авг-05 11:56 
Можно проверить с другой машины, будут ли там виснуть? Если да, виновата та сторона...
"FIN_WAIT_1(2) - не пропадает даже после перезагрузки."
Отправлено Rivalryzerg , 11-Авг-05 12:18 
>А что это, шлюз для локалки или рабочая станция? Если первое, может
>из твоей локалки сканят тот сайт?
Просто рабочая станция с почтовым сервером и еще несколькими сервисами.

>По какой-то причине RST-ы не доходят до тебя. Может ты или та
>сторона настройки firewallа перекрутили? Если у тебя pf, можешь уменьшить tcp.finwait,
>хотя это противоречит rfc.
Пользуюсь ipfw. Открыл необходимые порты и исходящие соединения, остальное закрыл.

Тут кое что новое обнаружилось: судя по логам маршрутизатора через который я иду в интернет с моего IP уже второй день идет SYN ATTACK. И как раз на тот самый IP адрес с которым и связаны FIN_WAIT. И ровно 2 дня назад начались зависания этих соединений.
Может я чемто заразился? Или ктото меня заразил?

Уважаемый Moralez, я наверно уже достал вас своей неопытностью, но не подскажите как мне отследить какой процесс посылает эти специфические пакеты (tcpdump'ом вижу лишь постоянные пакеты, исходящие от меня, строго на определенный порт и ИП. Временно файрволом маршрутизатора их блокирую).

"FIN_WAIT_1(2) - не пропадает даже после перезагрузки."
Отправлено Moralez , 11-Авг-05 14:08 
Возможно придётся загрузиться с liveCD и проверить систему с помощью chkrootkit или подобного (см. по теме "восстановление сервера после взлома").

Я не знаю аналога linux-ового netstat -pan во FreeBSD :(

Если ps -ax не показывает левых процессов и "несколькими сервисами" - это не webserver со скриптами, то надо извращаться типа:

ipfw add 1 deny ip from any to any user [1....65535]... в смысле, перебором искать вредителя...

"FIN_WAIT_1(2) - не пропадает даже после перезагрузки."
Отправлено Rivalryzerg , 11-Авг-05 15:51 
Спасибо за помощь. Буду искать. Если найду простое и качественное решение - обязательно сообщу.