К нему. Сдампил кусок для другого ip. <a href="http://2baksa.ws/dump.bz2">http://2baksa.ws/dump.bz2</a><div>Не похоже на валидный траффик. Вообще мусор какой-то в траффике. Похоже траффик идет именно от сервера клиенту.</div>
<div>ничего не могу понять<br><br><div class="gmail_quote">2012/1/12 Maxim Dounin <span dir="ltr"><<a href="mailto:mdounin@mdounin.ru">mdounin@mdounin.ru</a>></span><br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
Hello!<br>
<div class="im"><br>
On Thu, Jan 12, 2012 at 03:23:32PM +0200, Дмитрий Леоненко wrote:<br>
<br>
> Максим, как можно поймать "нехороших компьютеров", которые делают вот такое:<br>
><br>
> 17:20:20.685740 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack<br>
> 21243000, win 63510, length 0<br>
> 17:20:20.685763 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack<br>
> 21247380, win 62780, length 0<br>
> 17:20:20.685772 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack<br>
> 21251760, win 62415, length 0<br>
<br>
</div>[...]<br>
<div class="im"><br>
> 17:20:20.692992 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack<br>
> 21358340, win 62780, length 0<br>
> 17:20:20.693281 IP xx.xx.xx.xx.http > 81.23.5.148.54819: Flags [.], seq<br>
> 21400680:21456160, ack 1, win 123, length 55480<br>
> 17:20:20.694312 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack<br>
> 21365640, win 61685, length 0<br>
> 17:20:20.694343 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack<br>
> 21368560, win 63145, length 0<br>
> 17:20:20.694361 IP xx.xx.xx.xx.http > 81.23.5.148.54819: Flags [.], seq<br>
> 21400680:21456160, ack 1, win 123, length 55480<br>
> 17:20:20.695541 IP xx.xx.xx.xx.http > 81.23.5.148.54819: Flags [.], seq<br>
> 21456160:21520400, ack 1, win 123, length 64240<br>
> 17:20:20.695684 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack<br>
> 21374400, win 63145, length 0<br>
<br>
</div>[...]<br>
<div class="im"><br>
> в логе ни одной записи по этому ip а траффика от него идет мегабитами... не<br>
> пойму как их отлавливать<br>
<br>
</div>Выглядит как вполне обычное скачивание большого ответа.  Запись в<br>
access log'е появится после завершения отправки ответа.<br>
<br>
Трафик именно *от* него идёт мегабитами, или *к* нему?<br>
<span class="HOEnZb"><font color="#888888"><br>
Maxim Dounin<br>
</font></span><div class="HOEnZb"><div class="h5"><br>
><br>
> 2012/1/12 Maxim Dounin <<a href="mailto:mdounin@mdounin.ru">mdounin@mdounin.ru</a>><br>
><br>
> > Hello!<br>
> ><br>
> > On Thu, Jan 12, 2012 at 12:59:46PM +0200, Дмитрий Леоненко wrote:<br>
> ><br>
> > > Приветствую!<br>
> > ><br>
> > > Вчера ко мне пришло много-много траффика на 80 порт с бесполезными<br>
> > данными<br>
> > > в запросе, то есть просто мусор.<br>
> > > Траффика исходящего было дофига и как я понял весь он состоял из ответов<br>
> > > nginx об плохом запросе 400 Bad request.<br>
> > > Я настроил так<br>
> > >     log_format fail2ban '$time_local $remote_addr == $request == $status<br>
> > ==<br>
> > > $http_referer == $http_user_agent';<br>
> > ><br>
> > > в логи сыпит дофига запросов вида:<br>
> > ><br>
> > > 12/Jan/2012:14:57:47 +0400 222.253.150.xxx == - == 400 == - == -<br>
> > > 12/Jan/2012:14:57:49 +0400 123.24.190.xxx == - == 400 == - == -<br>
> > > 12/Jan/2012:14:57:50 +0400 141.250.83.xxx == - == 400 == - == -<br>
> > > 12/Jan/2012:14:57:51 +0400 187.59.185.xxx == - == 400 == - == -<br>
> > ><br>
> > ><br>
> > > С помощью fail2ban добавлял в ipset на блокировку всех с такими<br>
> > запросами.<br>
> > > За часов 10 набежало в ipset:<br>
> > ><br>
> > > > # ipset list fail2ban-badbot-ips | tail -n +7 | wc -l<br>
> > > > 6687<br>
> > ><br>
> > ><br>
> > > Меня терзают смутные сомнения, не блочу ли я легитимных пользователей по<br>
> > > какой-то причине?<br>
> ><br>
> > Современные браузеры (e.g. Chrome) любят открывать<br>
> > "дополнительные" соединения, и закрывать их без каких-либо<br>
> > запросов, если работы для них не нашлось.  Так что легитимные<br>
> > трафик там вполне может быть.<br>
> ><br>
> > Лучше читать error_log, там должны быть сообщения "client sent<br>
> > invalid ..." (правда на уровне info).<br>
> ><br>
> > Maxim Dounin<br>
> ><br>
> > _______________________________________________<br>
> > nginx-ru mailing list<br>
> > <a href="mailto:nginx-ru@nginx.org">nginx-ru@nginx.org</a><br>
> > <a href="http://mailman.nginx.org/mailman/listinfo/nginx-ru" target="_blank">http://mailman.nginx.org/mailman/listinfo/nginx-ru</a><br>
<br>
> _______________________________________________<br>
> nginx-ru mailing list<br>
> <a href="mailto:nginx-ru@nginx.org">nginx-ru@nginx.org</a><br>
> <a href="http://mailman.nginx.org/mailman/listinfo/nginx-ru" target="_blank">http://mailman.nginx.org/mailman/listinfo/nginx-ru</a><br>
<br>
_______________________________________________<br>
nginx-ru mailing list<br>
<a href="mailto:nginx-ru@nginx.org">nginx-ru@nginx.org</a><br>
<a href="http://mailman.nginx.org/mailman/listinfo/nginx-ru" target="_blank">http://mailman.nginx.org/mailman/listinfo/nginx-ru</a></div></div></blockquote></div><br></div>