Homas 21 сен 2014 в 16:52

Подарок от VmWare или как заблокировать свой сервер на хостинге

3 мин

27K

Информационная безопасность*

+26

Комментарии 31

hostadmin 21 сен 2014 в 17:10

При чём здесь Hetzner? Зачем он в заголовке?

Disasm 21 сен 2014 в 17:13

Наверное при том, что какой-то баг на ноутбуке чёрт знает где может привести к блокировке хоста?

Homas 21 сен 2014 в 17:24

Именно

hostadmin 21 сен 2014 в 19:34

Hetzner сделал то, что должен сделать каждый хостер в таком же случае. Статья же вообще не о Хетцнере, а о вмВаре, её и следовало в заголовок поместить.

Disasm 21 сен 2014 в 19:35

Покажите примеры что ли с другими хостерами. Мне вот такое поведение хостера видится совсем неадекватным. Есть тариф — будь добр, предоставь ресурсы.

isden 21 сен 2014 в 19:37

Или, как минимум, выслать нотификацию о странной активности, но никак не рубить сразу.

Disasm 21 сен 2014 в 19:37

Вот да, это был бы идеальный вариант.

hostadmin 22 сен 2014 в 12:40

Ну они отрубили и прислали нотификацию. Может даже сначала прислали, а потом отрубили. Автора топика в тот момент у почты не было, как я понял.

Homas 22 сен 2014 в 23:59

Сначала отрубили, а потом прислали. Это следует из письма.
Отключение я обнаружил приблизительно через 2 часа.

dsx 21 сен 2014 в 22:50

Сильно зависит от того, какой именно тариф. Всякую «мелочь» дешевле вырубать (полу-)автоматически, даже рискуя потерять 5-7% истеричек, которые всё равно надолго не задержатся, чем участвовать в глобальной атаке на что-то важное и в итоге огрести проблем посерьёзнее, вплоть до null-route подсети на tier 1 по требованию RIR. Работал в компании, арендовавшей в Hetzner стойку. В похожей ситуации (клиент оказался нечист на руку) сперва позвонили и сообщили о том, что один из наших IP яростно атакует кого-то в интернете и предложили либо нам в течение часа решить, либо они заблокируют не дожидаясь.

Homas 21 сен 2014 в 19:39

В принципе вы правы.
Heztner только вот заблокировал не предупредив, больше к нему претензий нет.

Homas 21 сен 2014 в 17:24

Вы текст читали?
Сервер находится в Hetzner, мой ноутбук был подключен к серверу через VPN. Весь исходящий трафик шел через сервер.
Hetzner заблокировал один из серверных IP.

UnixMaster 21 сен 2014 в 18:10

Соглашусь с hostadmin, Хетзнер тут не особо фигурирует, так бы поступил любой болоее-менее полноценный хостер. Наверное лучше в заголовке указать, что это проблема вмваре и что она может генерировать мусорны траффик при определенных условиях. Такого рода заголовки обычно указывают на какую-то баталию между хостером и клиентом в попытке выяснить кто прав :)

hostadmin 21 сен 2014 в 19:32

Это я и имел ввиду.

Homas 21 сен 2014 в 19:43

Паразитный трафик шел минимум сутки и, скорее всего, он и раньше периодически бывал.
Запросы валились на серый IP, который в сети Hetzner в принципе не должен маршрутизироваться (если, конечно, они данную сеть не используют).
Нагрузка на 1Gb линк была минимальная.
Могли бы и дать сутки на разборки (выслать предупреждение), а потом уже рубить.

UnixMaster 21 сен 2014 в 20:38

Думаю, в данном случае есть риск для ДЦ попадания их айпи в блэк лист. Вам то все равно. Вы этот выбросите и закажете новый, а от этого айпи будут все отказываться. Очень геморойно потом айпи вытаскивать из блэк листов.

Disasm 21 сен 2014 в 21:00

В блэк лист чего? Там же только входящий трафик паразитный, спам вроде бы никто не рассылал и в DDoS атаках не участвовал.

UUSER 21 сен 2014 в 18:11

Правильно сделал. Если бы не сделал, кто знает, сколько бы ещё вы флудили каждую сеть, к которой бы подключались.

Homas 21 сен 2014 в 18:15

Я ничего против и не имею :) Даже сложно представить сколько он уже нафлудил за 2 года использования :)
BTW А Вы свой исходящий трафик инспектируете? :)

AllexIn 22 сен 2014 в 01:32

А Вы свой исходящий трафик инспектируете? :)

А почему, смайлик?
Вроде бы это норма, следить за тем что в сети происходит.
На каждом компе в домашней сети стоит мониторилка, для винды это NetPeeker. Всегда видно, кто и в каких масштабах использует сеть.
У меня еще и The Dude стоит, чтобы увидеть лишние девайсы, если вдруг кто нибудь хакнет наш Wi-Fi и влезет в локалку.

Разве кто-то оставляет сеть без присмотра в современном мире(ну кроме домохозяек, которым железо монтажники настраивают и комп нужен только всекте лазить)?

Homas 22 сен 2014 в 02:19

Потому что, для домашней сети это не норма. В Вашем случае Вы не следите за работой мобильных устройств (или не написали про них).
Например, у меня дома подключены к сети ноутбуки (Mac OS, Win), сервер с виртуалками (Linux), мобильные устройства (Android, iOS), Apple TV и TV. Собирать всю статистику на каждом отдельном устройстве и анализировать — невозможно, а маршрутизатор, к сожалению, не позволяет этого делать (через сервер весь трафик гнать — не интересно).
При этом у меня ведётся информация по выданным лизам и логируются запросы DNS.

AllexIn 22 сен 2014 в 07:54

Для домашней сети это как раз самое нужное.
Описанная вами ситуация — бич нашего времени.
Вот только не по вине VmWare, а из-за заражения бот-нетами.
Следить за трафиком нужно именно из-за них, т.к. уберечь комп от заражения не всегда возможно, а выявить ситуацию нужно вовремя.
Собственно по этой причине и не мониторятся мобилки и планшеты — они значительно меньше подвержены зомбированию.

И если лично я знаю, как ~~правильно лазить по порно сайтам~~ правильно лазить в инете, то мои родители или сестра — нет. А значит заражение — реальность. Думаю у вас в семье тоже не 100% грамотность. И во всех семьях так. Так что мониторинг трафика — полезен и оправдан во всех домашних сетках.

UnixMaster 22 сен 2014 в 10:17

Дельный совет, может подскажете средства для мониторинга которые вы используете(если используете). При условии, что не всегда вариант ставить сервер, который будет раздавать интернет в домашнюю сеть, на который можно поставить мониторинг, а к примеру, будет использован один из стандартных роутеров сохо класса со стандартным функционалом? Возможно весь траффик, который идет в интернет зеркалировать на какой либо комп в домашней сети, который и будет анализировать.

Homas 22 сен 2014 в 10:19

Мне проще, семья у меня небольшая, так что грамотность практически 100%.
По порносайтам никто не ходит, новые приложения устанавливаются крайне редко и устанавливаю их в основном только я. Для блокирования левого трафика (ботнеты, malware, опасные сайты) дополнительно использую RPZ с внешним постоянно обновляемым фидом.
По поводу безопасности мобильных устройств, вы сильно недооцениваете (с учетом Ваших пользователей) и потери тут (так как они связаны с деньгами и контактами) могут быть существенней, чем на домашнем компьютере.

UnixMaster 21 сен 2014 в 18:22

А правило iptables на сервере вам не поможет, надо на Вашем ноутбуке правило выставить чтобы не было исходящаего мусорного трафика по нетбиосу. Ваш сервер эти пакеты и так отбрасывал, они не ему предназначались. Ну если предположить, что айпи, на который летели пакеты -был бы айпи сервера, то порты эти тоже, скорее всего, были бы закрыты. Если специально не использовать службы типа самбы.

Homas 21 сен 2014 в 18:23

Мой сервер их NAT-ил и отправлял дальше, поэтому Hetzner их и обнаружил. На момент отключения ноут около суток был подключен к VPN (и соответственно флудил).

UnixMaster 21 сен 2014 в 18:27

Повнимательнее прочитал письмо от хетзнера, теперь понятно :)

Homas 21 сен 2014 в 18:28

Забыл добавить, что на ноуте (как и было описано в посте на сайте комьюнити VmWare) я изменил настройки таймаутов. Чтобы не флудил.
Netbios на ноуте резать не могу.