Dotaz: Padajici Clamav

[Mira]

Zdravim,

na mailserveru jsem rozbehnul spamassassin a webmail a od te doby mi zacal zlobit clamav. Ten pouzivam ve spolupraci s amavis_new.

Vse funguje perfektne, ale po nejake dobe mi prestanou chodi nove prichozi maily. Kdyz kouknu do logu, tak tam vidim zaznamy:

mail amavis[60376]: (60376-05) Clam Antivirus-clamd: Can't connect to UNIX socket /var/run/clamav/clamd: Connection refused, retrying (2)

mail amavis[60387]: (60387-02) Clam Antivirus-clamd: Can't connect to UNIX socket /var/run/clamav/clamd: Connection refused, retrying (3)

mail amavis[60376]: (60376-05) Clam Antivirus-clamd: Can't connect to UNIX socket /var/run/clamav/clamd: Connection refused, retrying (3)

Clam Antivirus-clamd av-scanner FAILED: Too many retries to talk to /var/run/clamav/clamd (Can't connect to UNIX socket /var/run/clamav/clamd: Connection refused) at (eval 53) line 180.

Pomuze az restartovani clamav. Pak to nejakou dobu jede, ale stejne to po case "spadne". Myslel jsem, ze dochazi pamet nebo misto na disku, ale v "nejhorsim pripade" mam volnych asi 20MB pameti a disk je z pulky prazdny (nekolik GB).

Nevite, co by to "padani" mohlo zpusobovat?

Diky za rady.

Odpovědi

[Kamorek]

jojo, delalo mi to taky a uz jsem to tu resil.

v /etc/group prirad do skupiny clamav uzivatele amavis a do skupiny amavis, uzivatele clamav

Asi staci jen jedno z z toho, ale takhle mi to jede v poho. Dej vedet, jak to dopadlo. Zdar

[Mira]

Jo, koukal jsem, ze si to resil, ale ty si mel problem s pravy. Jenze me to normalne nekolik mesicu jelo a ted to zacalo zlobit. Asi proto, ze dochazi pamet, protoze kdyz vypnu spamassassina, tak to jede v poho. Ono preci jen 128MB je na mailserver malo.

[Mira]

Ted jsem jeste zkusil zapnou debug hlasky a hle, po nejaky dobe to vyhodilo:

Starting clamd. clamd in malloc(): error: allocation failed Abort trap

Takze to opravdu vypada na nedostatek pameti.

[Kamorek]

to je divny. Ja mam 64 MB a na firme je 25 PC. krom mailserveru to jeste stahuje fetchmailem jine ucty. Jedu na FC1, Postfix, amavis-new, clamAV, spamassassin, DNS, IPTABLES..... Vse je v poradku, vytizenost systemu max 10 procent....viz top

[Mira]

Jo, zapomnel jsem dodat, ze tam bezi jeste NAT a transparentni squid :)

Jinak mailserver bezi se spamassassinem, courier-imap (pop3 a imap) a maildropem. Takze 128MB je zalostne malo.

[jm]

No, ten zbytek by to asi i zkouslo, ale squid je proste smrt, pro ten samotnej je 128MB na hrane, natoz kdyz tam bezi jeste neco dalsiho.

[Lukáš Zapletal]

?

Squid muzete rozjet i na pár megáčích, stačí si pořádně přečíst dokumentaci a správně to nastavit...

Také jsem tento problém řešil, restartuju každou noc Clamd a je to :D

[jm]

No to muzu, ale pak ho muzu radsi rovnou vypnout, protoze je k nicemu.

[Kamorek]

Souhlasim. Taky jsem nerekl, ze mi na tom stroji bezi squid v zakladni konfiguraci. SNAT je snad samozrejmost. 64 MB, 400MHz P2. Obyc. fosna, 40 GB HDD

[Mira]

Tak dalsim testovanim jsem zjistil, ze to pameti "asi" neni. Vypnul jsem squid, takze jsem mel volnych nejakych 90MB. Pak jsem spustil clamd a flushnul frontu postfixe. Ale ono to stejne spadlo. Tak jsem zapnul debug hlasky a tohle to vypsalo:

LibClamAV debug: Scanning /var/amavis/tmp/amavis-20040921T172917-76405/parts/part-00002

LibClamAV debug: Starting scanzip()

clamd in malloc(): error: allocation failed

Abort trap

Netusite, cim by to mohlo byt?

[Lukáš Zapletal]

No a není to nějakým tím infikovaným ZIPem, který je DoS-READY? Myslím tím ten útok přes velikost souboru...

[Kamorek]

No, mozna bych zkusil stahnout z DAGu novou verzi ClamAV a prevalcoval bych stavajici. Jinak muzes zkusit zakazat exe,bat,com,pif....v amavisu, prepnout postfix tak, aby vynechal clamAV a zkusit, zda posta probehne. Pokud ano, podelal se CLAMAV a je treba ho prevalcovat. Me se takhle po nejakych experimentech podelal VSFTPD. Kdyz jsem ho prevalcoval, jelo to v poho.

[Kamorek]

jinak bych ale mel zajem o nejake podrobnejsi info o tom webmailu. Jak to jede, co to je, co bezpecnost....jaka distribuce?

[Mira]

Zatim pouzivam Squirrelmail, ale neni to ono. Hledal jsem neco "lehciho" ve stylu freemailu centrum.cz, ale nic jsem nenasel. Takze si casem asi neco napisu sam. Jinak ten webmail samozrejme jedu pres SSL.

Nevim, jeslti je to tim squirrelmailem, ale pokud pristoupi najednou treba 30uzivatelu, tak se to stava nepouzitelne - strasne pomale.