Обсуждение:Сервер linuxoid.in

Заметил, что отвалился stats.linuxoid.in, который часто рефрешу в течение дня. Домен не резолвился. Написал на support at hvosting.ua:

Переписка с саппортом hvosting.ua 24.01.2011:

Subject: Re: DNS

Date: Mon, 24 Jan 2011 20:50:57 +0200

User-Agent: Mozilla/5.0 (X11; U; Linux x86_64; en-US; rv:1.9.2.13) Gecko/20101208 Thunderbird/3.1.7

Здравствуйте!

будет, как ДДосить его перестанут...

Subject: Re: DNS

Date: Mon, 24 Jan 2011 21:08:14 +0200

User-Agent: Mozilla/5.0 (X11; U; Linux x86_64; en-US; rv:1.9.2.13) Gecko/20101208 Thunderbird/3.1.7

кстати, ДДосят linuxoid.in

К этому времени начали отваливаться остальные домены, в том числе jabber

Subject: Re: DNS

Date: Mon, 24 Jan 2011 21:20:26 +0200

X-Mailer: Sylpheed 3.0.2 (GTK+ 2.22.0; i486-pc-linux-gnu)

Внезапно... Что интересно, на сервисах это никак не сказалось.

Subject: Re: DNS

Date: Mon, 24 Jan 2011 21:24:23 +0200

User-Agent: Thunderbird 2.0.0.24 (X11/20101027)

Я вас запевняю, ще й як сказалося!

Subject: Re: DNS

Date: Mon, 24 Jan 2011 21:30:54 +0200

X-Mailer: Sylpheed 3.0.2 (GTK+ 2.22.0; i486-pc-linux-gnu)

Я немного о другом - если бы кто-то хотел атаковать те полтора сервиса, что у меня крутятся на этом домене (да и зачем?) - то прежде всего атаковал бы сами сервисы (веб-сайт, например, или jabber-сервер), а не какой-то сторонний ДНС, верно?

/me как бы намекает, что на сам сервер нагрузки никакой.

Subject: Re: DNS

Date: Mon, 24 Jan 2011 21:36:52 +0200

User-Agent: Thunderbird 2.0.0.24 (X11/20101027)

Атака була не на ваш ДНС, а на всі наші сервери.

Subject: Re: DNS

Date: Mon, 24 Jan 2011 21:41:22 +0200

X-Mailer: Sylpheed 3.0.2 (GTK+ 2.22.0; i486-pc-linux-gnu)

Mon, 24 Jan 2011 21:36:52 +0200 Дмитро Пятківський <support at hvosting.ua> написал:

> Атака була не на ваш ДНС

...которого у меня отродясь не было (не считая кэширующих)

> а на всі наші сервери.

Имелось в виду NS'ы? Или в том числе прочие хостинговые? В любом случае не пойму связи с собой...

Subject: Re: DNS

Date: Mon, 24 Jan 2011 21:47:47 +0200

User-Agent: Thunderbird 2.0.0.24 (X11/20101027)

Хостингові і є НС-сервера.

Заметил, что в whois'e linuxoid.in'a сменился контактный номер телефона и NS'ы; в панели они остались старые.

Тут в сети появилась irc, начал общаться параллельно с ней, а она - с сотрудниками.

From: Константин Кравченко

Subject: Re: DNS

Date: Mon, 24 Jan 2011 22:26:54 +0200

User-Agent: Mozilla/5.0 (X11; U; Linux x86_64; en-US; rv:1.9.2.13) Gecko/20101208 Thunderbird/3.1.7

Здравствуйте.

Излагаю расклад событий со своей точки зрения:

1. прилетает DDoS 1-байтовым udp пакетом в ip 91.200.40.2

порядка 125 kpps и 80 мегабит.

2. на этот же айпишник делается делается tcpdump -n port 53 и видится

что на один

запрос любой другой зоны приходится сотня (визуально, может и больше)

запросов по домену linuxoid.in, на котором вы как говорите держите

полтора сервиса и

вероятно он не настолько популярен, чтобы на него одновременно ломились

десятки

тысяч человек.

Из чего сделан вывод что боты валят сервер флудом с привязкой именно к

NS-ам, обслуживающим

домен linuxoid.in

Может быть вывод и не правильный, но очень напрашивающийся.

Subject: Re: DNS

Date: Mon, 24 Jan 2011 22:44:01 +0200

X-Mailer: Sylpheed 3.0.2 (GTK+ 2.22.0; i486-pc-linux-gnu)

Если быть точным - на домене висят: моя вики-записная книжка для меня и участников конференции, файлопомойка, куда я фотографии/скриншоты/чатлоги/статистику/etc выкладываю, jabber-сервер с населением в 2 десятка человек. Когда-то давно был еще трекер. С чего бы кому-то делать атаку на linuxoid.in?

Кстати, почему без моего ведома сменили ДНСы на clientbiz.net?

Subject: Re: DNS

Date: Mon, 24 Jan 2011 23:05:11 +0200

User-Agent: Mozilla/5.0 (X11; U; Linux x86_64; en-US; rv:1.9.2.13) Gecko/20101208 Thunderbird/3.1.7

Я не знаю кому и зачем нужно делать атаку на ваш домен.

Я дал команду "сменить НС-Ы куда нибудь". Подразумевал указать

несуществующий домен.

На какие НС-ы вы сейчас хотите сменить?

Subject: Re: DNS

Date: Mon, 24 Jan 2011 23:14:05 +0200

X-Mailer: Sylpheed 3.0.2 (GTK+ 2.22.0; i486-pc-linux-gnu)

Очевидно, на те, которые были (и остаются) прописаны в панели управления доменом и которые, помимо, собственно, linuxoid.in, отвечают за кучку его поддоменов - т.е., на ns[1-2].bee.hvosting.ua.

Subject: Re: DNS

Date: Tue, 25 Jan 2011 02:20:56 +0200

X-Mailer: Sylpheed 3.0.2 (GTK+ 2.22.0; i486-pc-linux-gnu)

Так что там с NS'ами? То, что сервисов немного - не значит, что они не нужны мне и остальным.

Subject: Re: DNS

Date: Tue, 25 Jan 2011 09:47:02 +0200

User-Agent: Mozilla/5.0 (X11; U; Linux x86_64; en-US; rv:1.9.2.13) Gecko/20101208 Thunderbird/3.1.7

Здравствуйте!

мы писали Вам вопрос - но не получили ответа:

какие ВЫ НСы хотите, чтобы были прописаны.

Subject: Re: DNS

Date: Tue, 25 Jan 2011 11:00:29 +0200

X-Mailer: Sylpheed 3.0.2 (GTK+ 2.22.0; i486-pc-linux-gnu)

Я же написал уже в письме от 24.01.2011, 23:14 - верните старые, ns1.bee.hvosting.ua. и ns2.bee.hvosting.ua.

На протяжении всего дня пинал irc на тему узнать, что там и как со своей стороны, но внятных ответов не добился.

Subject: Re: DNS

Date: Tue, 25 Jan 2011 17:02:59 +0200

X-Mailer: Sylpheed 3.0.2 (GTK+ 2.22.0; i486-pc-linux-gnu)

Вы собираетесь возвращать старые NS'ы? Или второй ответ Вы тоже "не получили"? Уже почти сутки домен неживой...

Subject: Re: DNS

Date: Tue, 25 Jan 2011 17:36:29 +0200

User-Agent: Mozilla/5.0 (X11; U; Linux x86_64; en-US; rv:1.9.2.13) Gecko/20101208 Thunderbird/3.1.7

видимо, Вы не получили наш утренний ответ: мы Нсы bee не поставим, по

крайней мере - в ближайшие дни.

Мы не хотим повторения вчерашнего.

Subject: Re: DNS

Date: Tue, 25 Jan 2011 17:49:33 +0200

X-Mailer: Sylpheed 3.0.2 (GTK+ 2.22.0; i486-pc-linux-gnu)

Прекрасно... И сколько вы собираетесь ждать? До конца света? А если бы запросы рандомно раскидывались на разные домены - повыкидывали бы всех клиентов подобным образом и тихонько бы закрылись? Может мне за вас погуглить, как блокируются DDoS'ы?

В итоге благодаря помощи Jolly Roger'a домен обслуживается сторонним NS'ом, сервисы потихоньку оживают. --Rain 17:21, 25 января 2011 (UTC)