ניסוי קטן עם NETSTAT

[elialum]

היי,

כתבתי סקריפט קטן ב-PERL, שדוגם כמה חיבורים פתוחים יש לשרת על פורט 80.
הקוד קורא לפקודה הבאה -

netstat -plan|grep :80|awk {'print $5'}|cut -d: -f 1|sort|uniq -c|sort -n

אח"כ, הגדרתי שיישלח לי מייל, במידה וכמות החיבורים לכתובת IP ייחודית עולה על מספר מסויים.
הרצתי את זה במקביל על 2 שרתי WEB, כל אחד מכיל בממוצע 1000 דומיינים.
שרת אחד עובד רק עם apache, בשרת אחר הוגדר varnish בנוסף.

מעל 60 חיבורים לכתובת IP ייחודית -

זה רץ כל הלילה, קיבלתי כמה עשרות מיילים.

מעל 150 - עדיין מקבל, בטיפטופים.

מעל 250 - עדיין מקבל, הפעם ממש בודדים כל כמה שעות.

כרגע זה על 350.

סטטיסטית, השרת עם ה-varnish יותר רגיש לעניין (קיבלתי יותר התראות ממנו).

מספרים הגיוניים, או שאני מפספס כאן משהו ?

[Kernel]

כל דפדפן פותח בין 2-8 חיבורים.
בהנחה ובשניהם יש keepalive אז כנראה שבשרת אחד יש יותר גולשים מסלולרים שגולשים מאחורי NAT.


אבי

[elialum]

היי,

אני לא חושב שזה העניין (nat \ סלולרי).
חסמתי חלק מהכתובות, כדי לראות את מי זה מציף.
אחרי 5 דקות קיבלתי 2 פניות ממשתמשים. תחקרתי אותם קצת - משתמשים ביתיים נורמטיביים, אינטרנט בייתי HOT \ ADSL.
NAT מקומי של 2-3 מחשבים.

עדיין אני לא מבין איך זה מגיע ל-250 חיבורים ?

[דניאל]

למה אתה בודק את כל סוגי החיבורים ולא רק Established למשל?
מכיוון שאתה מסתכל על כל סוג חיבור- התשובה הגיונית.

שים לב שאתה לא תוכל לבנות "one script to rule them all".. פשוט בגלל שאם אתה בודק Established - אתה מדוייק יותר,
אבל אתה מפספס לגמרי syn attack.