Максим, как можно поймать "нехороших компьютеров", которые делают вот такое:<br><br><div>17:20:20.685740 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21243000, win 63510, length 0</div><div>17:20:20.685763 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21247380, win 62780, length 0</div>
<div>17:20:20.685772 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21251760, win 62415, length 0</div><div>17:20:20.685783 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21254680, win 62050, length 0</div>
<div>17:20:20.685793 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21257600, win 61320, length 0</div><div>17:20:20.685992 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21260520, win 60590, length 0</div>
<div>17:20:20.686014 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21266360, win 59860, length 0</div><div>17:20:20.686029 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21269280, win 61685, length 0</div>
<div>17:20:20.686041 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21275120, win 61320, length 0</div><div>17:20:20.686058 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21278040, win 62780, length 0</div>
<div>17:20:20.686067 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21283880, win 62415, length 0</div><div>17:20:20.686102 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21286800, win 63875, length 0</div>
<div>17:20:20.686494 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21292640, win 63510, length 0</div><div>17:20:20.686519 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21299940, win 64240, length 0</div>
<div>17:20:20.686529 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21307240, win 64605, length 0</div><div>17:20:20.686540 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21311620, win 64970, length 0</div>
<div>17:20:20.686550 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21314540, win 64240, length 0</div><div>17:20:20.686560 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21317460, win 63510, length 0</div>
<div>17:20:20.686570 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21321840, win 62415, length 0</div><div>17:20:20.686580 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21326220, win 62415, length 0</div>
<div>17:20:20.686591 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21330600, win 62415, length 0</div><div>17:20:20.686604 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21336440, win 61320, length 0</div>
<div>17:20:20.686617 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21343740, win 61685, length 0</div><div>17:20:20.691741 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21348120, win 61685, length 0</div>
<div>17:20:20.692239 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21353960, win 61320, length 0</div><div>17:20:20.692992 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21358340, win 62780, length 0</div>
<div>17:20:20.693281 IP xx.xx.xx.xx.http > 81.23.5.148.54819: Flags [.], seq 21400680:21456160, ack 1, win 123, length 55480</div><div>17:20:20.694312 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21365640, win 61685, length 0</div>
<div>17:20:20.694343 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21368560, win 63145, length 0</div><div>17:20:20.694361 IP xx.xx.xx.xx.http > 81.23.5.148.54819: Flags [.], seq 21400680:21456160, ack 1, win 123, length 55480</div>
<div>17:20:20.695541 IP xx.xx.xx.xx.http > 81.23.5.148.54819: Flags [.], seq 21456160:21520400, ack 1, win 123, length 64240</div><div>17:20:20.695684 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21374400, win 63145, length 0</div>
<div>17:20:20.696765 IP xx.xx.xx.xx.http > 81.23.5.148.54819: Flags [.], seq 21520400:21584640, ack 1, win 123, length 64240</div><div>17:20:20.697520 IP xx.xx.xx.xx.http > 81.23.5.148.54819: Flags [.], seq 21520400:21584640, ack 1, win 123, length 64240</div>
<div>17:20:20.697740 IP xx.xx.xx.xx.http > 81.23.5.148.54819: Flags [.], seq 21520400:21584640, ack 1, win 123, length 64240</div><div>17:20:20.697988 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21380240, win 65335, length 0</div>
<div>17:20:20.698024 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21387540, win 65335, length 0</div><div>17:20:20.698043 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21390460, win 65335, length 0</div>
<div>17:20:20.698983 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21393380, win 64605, length 0</div><div>17:20:20.699734 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21400680, win 62780, length 0</div>
<div>17:20:20.701266 IP xx.xx.xx.xx.http > 81.23.5.148.54819: Flags [.], seq 21584640:21594860, ack 1, win 123, length 10220</div><div>17:20:20.704298 IP xx.xx.xx.xx.http > 81.23.5.148.54819: Flags [.], seq 21594860:21641580, ack 1, win 123, length 46720</div>
<div>17:20:20.705805 IP xx.xx.xx.xx.http > 81.23.5.148.54819: Flags [.], seq 21594860:21641580, ack 1, win 123, length 46720</div><div>17:20:20.706734 IP xx.xx.xx.xx.http > 81.23.5.148.54819: Flags [.], seq 21641580:21648880, ack 1, win 123, length 7300</div>
<div>17:20:20.717222 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21406520, win 61685, length 0</div><div>17:20:20.717272 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21410900, win 63145, length 0</div>
<div>17:20:20.717499 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21416740, win 62780, length 0</div><div>17:20:20.717971 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21421120, win 64240, length 0</div>
<div>17:20:20.718719 IP 81.23.5.148.54819 > xx.xx.xx.xx.http: Flags [.], ack 21428420, win 63145, length 0</div><div><br></div><div><br></div><div>в логе ни одной записи по этому ip а траффика от него идет мегабитами... не пойму как их отлавливать</div>
<br><div class="gmail_quote">2012/1/12 Maxim Dounin <span dir="ltr"><<a href="mailto:mdounin@mdounin.ru">mdounin@mdounin.ru</a>></span><br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
Hello!<br>
<div><div class="h5"><br>
On Thu, Jan 12, 2012 at 12:59:46PM +0200, Дмитрий Леоненко wrote:<br>
<br>
> Приветствую!<br>
><br>
> Вчера ко мне пришло много-много траффика на 80 порт с бесполезными данными<br>
> в запросе, то есть просто мусор.<br>
> Траффика исходящего было дофига и как я понял весь он состоял из ответов<br>
> nginx об плохом запросе 400 Bad request.<br>
> Я настроил так<br>
>     log_format fail2ban '$time_local $remote_addr == $request == $status ==<br>
> $http_referer == $http_user_agent';<br>
><br>
> в логи сыпит дофига запросов вида:<br>
><br>
> 12/Jan/2012:14:57:47 +0400 222.253.150.xxx == - == 400 == - == -<br>
> 12/Jan/2012:14:57:49 +0400 123.24.190.xxx == - == 400 == - == -<br>
> 12/Jan/2012:14:57:50 +0400 141.250.83.xxx == - == 400 == - == -<br>
> 12/Jan/2012:14:57:51 +0400 187.59.185.xxx == - == 400 == - == -<br>
><br>
><br>
> С помощью fail2ban добавлял в ipset на блокировку всех с такими запросами.<br>
> За часов 10 набежало в ipset:<br>
><br>
> > # ipset list fail2ban-badbot-ips | tail -n +7 | wc -l<br>
> > 6687<br>
><br>
><br>
> Меня терзают смутные сомнения, не блочу ли я легитимных пользователей по<br>
> какой-то причине?<br>
<br>
</div></div>Современные браузеры (e.g. Chrome) любят открывать<br>
"дополнительные" соединения, и закрывать их без каких-либо<br>
запросов, если работы для них не нашлось.  Так что легитимные<br>
трафик там вполне может быть.<br>
<br>
Лучше читать error_log, там должны быть сообщения "client sent<br>
invalid ..." (правда на уровне info).<br>
<br>
Maxim Dounin<br>
<br>
_______________________________________________<br>
nginx-ru mailing list<br>
<a href="mailto:nginx-ru@nginx.org">nginx-ru@nginx.org</a><br>
<a href="http://mailman.nginx.org/mailman/listinfo/nginx-ru" target="_blank">http://mailman.nginx.org/mailman/listinfo/nginx-ru</a></blockquote></div><br>