Problemi con server [RISOLTO]

[DART0S]

2 mesi senza problemi , poi negli ultimi 2 giorni il sito cade 4 volte per ore. devo cominciare a preoccuparmi? Non sarà mai che vogliono farmi comprare un servizio più caro

[tomtomeight]

E quindi? Onestamente non dai nessuno spunto per capire, e dare la colpa a qualcosa o qualcuno non ti aiuta di certo.

[DART0S]

hai ragione, volevo solo capire se normalmente i gestori dei server fanno qualche magheggio per fare acquistare pacchetti più costosi o se capitano a volte periodi "sfortunati" come questo e poi tutto si risolve. Non era mia intenzione screditare nessuno (infatti non ho messo il nome del servizio).

[tomtomeight]

Si ma sono solo parole, devi presentare fatti altrimenti non serve a nulla, normalmente ci si aspetta che ognuno offra servizi al meglio, in base anche al costo, ed è così, poi ovvio che ci sta pure l'eccezione ma se non dici,  giustamente, il nome del servizio possiamo solo divagare.

[DART0S]

ok , allora ricomincio: son 2 giorni che il mio sito cade e non si riprende per ore. Il mio servizio è su [deleted by mod], questa mattina io mi sono accorto alle 8.30 ma non so da quanto non va....
ieri ho mandato una segnalazione e la risposta è stata questa: We have just received a HUGE (over 3GB/s incoming traffic) DDoS attack to IP 185.28.32.37.Our CISCO guard firewall was unable to handle this attack, so the IP was temporarily disabled. As soon as the attack is over, this IP address will be enabled and your website will start working again. We apologize for any inconvenience caused and thank you for your patience.
Il mio abbonamento è [deleted by mod] a 7$ circa al mese.
Io volevo capire se qualcuno avesse avuto il mio stesso problema e poi tutto è tornato normale .....  ripeto, in 2 mesi solo una volta era caduto e per pochi minuti, quindi non ho nulla da lamentarmi per ora con [deleted by mod].

[mmleoni]

il giustamente di tomtomeight stava a significare che in questo forum non è consentito citare servizi commerciali.

A parte che nomi del genere non corrono certo il rischio di rovinarsi con pratiche così da bottegai disonesti, la loro mail è piuttosto chiara: tu, qualcun altro su quell'ip, avete fatto girare le scatole a qualche hacker.
se il tuo sito è 'innocente' puoi chiedere all'hosting di essere spostato su una differente macchina (con ip diverso), ma in questo caso devi stare attento alle problematiche relative al dns.

ciao,
marco

[DART0S]

Grazie mmleoni, ora mi è più chiaro. Scusa, non era mia intenzione mettere il nome del servizio, ho letto la mail precedente velocemente e mi era parso che volesse a tutti i costi farmelo mettere lol
Quindi cosa mi suggerisci? aspettare 1-2 giorni e poi procedere come mi hai detto o farlo subito? Non penso di essere io la causa di attacchi hacker.... son troppo piccolo ancora perché qualcuno possa avercela con me.

[mmleoni]

devi decidere tu, è tuo il sito down. ricordarti che cambiando ip deve essere anche aggiornato il dns.

[mau_develop]

Figata! .... un sysadmin suicida!
Vuoi provocare un DOS? ... non ci riuscirai perché io ti spengo il server
...mio dio nemmeno Cisco riesce a fare nulla... aiutooo

[DART0S]

ok ,  ora mi informo di come cambiare i dns (che non ho la più pallida idea di come si faccia )  ),  se avete qualche link valido mi getto sulla lettura . Grazie mille

[DART0S]

Figata! .... un sysadmin suicida!
Vuoi provocare un DOS? ... non ci riuscirai perché io ti spengo il server
...mio dio nemmeno Cisco riesce a fare nulla... aiutooo

Sono alle prime armi e non ci ho capito una mazza del tuo post , se vuoi spiegamelo meglio

[DART0S]

ah forse ho capito.... tu praticamente li prendi in giro perché fronteggiano  l'attacco spegnendo il server e non in altri modi...   ho capito bene?

[mau_develop]

Yess 

[DART0S]

   adesso quasi quasi li frego io ...... mo spengo pure il mio pc !!!! Bye

[mmleoni]

ddos, occhio alla doppia d!
purtroppo in certi casi è toccato anche a me bloccare il routing a livello di firewall (magari senza spegnere il server  ) e procedere a nat/pat per riportare in linea il servizio.

un piccione in mezzo a duecento cacciatori che sparano a rosa non ha molte possibilità.

ciao,
marco
 

[DART0S]

in effetti stavo proprio leggendo un articolo che spiegava cosa fossero il Dos e DDos

[tomtomeight]

ok ,  ora mi informo di come cambiare i dns (che non ho la più pallida idea di come si faccia )  ),  se avete qualche link valido mi getto sulla lettura . Grazie mille

Ma no non devi occupartene tu ci pensa direttamente l'hoster a reindirizzare sul nuovo ip, ovviamente se è lo stesso che ti gestisce spazio e dominio..Come handicap avrai solo un periodo di 24 48 ore di attesa propagazione ed in questo periodo sarai irraggiungibile.

[DART0S]

ty, attendo e dedico un po di tempo allo studio.  Grazie ragazzi mi siete stai utili

[mau_develop]

che bei discorsi... davanti a birra e patatine se ne uscirebbe tutti ubriachi alle 4 del mattino ....

E' un caso topico in sicurezza.

Agli effetti pratici non solo hai causato lo stesso problema di un dos... lo hai anticipato!
Credo sempre esistano talmente tante variabili che è difficile esprimere giudizi sui modi usati per tamponare,
...ma mi piacerebbe tanto vederli quei log...quel ddos....i log del fw...

secondo me a quel server manca un mod_antiloris e qualcuno si diverte.

Prova a guardare se tra i tuoi coinquilini c'è qualcosa di interessante

[DART0S]

temo di non aver capito cosa potrebeb esserci di" interessante" nei miei coinquilini?

[mau_develop]

magari sul tuo server ci sta il sito di peppa pig...

[mmleoni]

@maurizio
ovvio che senza dati non si possono formulare giudizi certi, e sono sempre pronto a cazzeggiare davanti ad una birra  ...
ma, come ho imparato a ridere delle giustificazioni 'tecniche' di alcuni pseudo provider italiani, ho imparato anche a fidarmi delle risposte di diversi provider internazionali che hanno strutture e sistemisti che in Italia non siamo usi a vedere.
di fronte a determinati ddos ci fai la zuppa con un mod sull'application server, visto che macchine con processori dedicati a filtrare le richieste (leggasi raid cisco) gettano la spugna... purtroppo lo so per esperienza.

@DARTOS
per quanto riguarda i 'coinquilini' vedi il mio primo post
per quanto riguarda il tempo di trasferimento effettua un dig/nslookup sul dominio, è difficile che il provider abbia un TTL così alto.

ciao,
marco
 

[mau_develop]

ma l'ip del tuo server è quello nel neretto? (..grigetto)

@marco
visto che macchine con processori dedicati a filtrare le richieste (leggasi raid cisco) gettano la spugna...
---------------------------------------------
..ho interpretato diversamente quel msg in apparenza restituito dal fw.. sembrava più un "rilevo un anomalia ma non c'è nulla da filtrare.. (help)"

[DART0S]

da buon ignorante, l'avevo cambiato, non sapevo se fosse buona cosa postare quello giusto e nel dubbio ho preferito cosi'  
185.28.23.31

[mmleoni]

esatto quello in grigetto è il piccione 

un ddos web ben fatto lo si esegue effettuando un reverse lookup sull'ip ed inviando centinaia di richieste HTTP1.1 valide a ciascun sito in hosting da ciascuno zombie della botnet. se poi su qualche zombie sei riuscito a metterci un root kit, allora poi anche modificare l'ip della richiesta rendendo impossibile identificare l'attaccante, se non anche usando questa possibilità per una reflection (ovvero inviare la richiesta a macchine terze indicando come mittente il bersaglio).
a questo punto anche il fw va a cozze...

ciao,
marco

[DART0S]

Sembra essere tornato tuuto alla normalità 

[mau_develop]

Si certo... finché non provo la mia teoria delle slow http request....

[DART0S]

 

[mmleoni]

segate da un fw fpi... all'estero ce lo hanno tutti 


=== modifica
ops: mi sa che mi sono inventato un acronimo  intendevo stateful inspection

[mau_develop]

avevo capito... ... la mia teoria era appunto che il fw, deep o low, non riuscisse a capire il tipo di attacco proprio perchè non era stata impostata la regola... quel [CRLF] manco lo vede ...poi avrai ragione tu...

[EDIT] ...o lo vede ma non sa che fare.... cmq una regola impostata alla cavolo...

[mau_develop]

Connection successful, now comes the waiting game...
Trying a 2 second delay:
   Worked.
Trying a 30 second delay:
   Worked.
Trying a 90 second delay:
   Worked.
Trying a 240 second delay:
   Failed after 240 seconds.

Current stats:   xxxxx has now sent 4907 packets successfully.
This thread now sleeping for 90 seconds...
------------------------------------------------------
boh... la vicina non è in casa quindi ho solo la mia misera chiavetta e mi dosserei da solo ... però non vedo interventi di blocco del firewall... per vedere se ha qualche politica di gestione occorrerebbe stressarlo un po' ... e non è il caso, poi a ragione si arrabbiano...

[DART0S]

Bene , l'altro giorno non funzionava il mio ma  neanche quello dei miei " coinquilini", oggi solo il mio non funziona........ son disperato

[mau_develop]

purtroppo aldilà delle elucubrazioni, visto che nn ha senso andare a fare i test su un server non tuo, credo che la soluzione è quella o di cambiare server (se pure gli altri non sono nelle medesime condizioni) o di cambiare proprio provider, può darsi che la sua concorrenza stia tentando di fargli perdere un po' di clienti... non è che casualmente hai ricevuto offerte di hosting in qs periodo?

[DART0S]

Non mi sembra, ma in ogni caso normalmente manco la leggo la pubblicità in mail.  Ma non ho intenzione di cambiare, tanto poi prima o poi si ripresenterà il problema..... se non si risolve mollo tutto. Ciao

[mau_develop]

prima o poi si ripresenterà il problema..... se non si risolve mollo tutto
-------------------------------------------------------------------------
diciamo che certamente i problemi si ripresentano ma fortunatamente c'è anche chi lavora per prevenire... mollare tutto.. boh non so cosa molli ma deve essere poco importante quindi penso che anche questa sia una soluzione possibile, forse l'unica che garantisce la soluzione di tutti i problemi.