Dotaz: Nagios sposobuje DOS utok

[Mike Stuffel]

Dobry den,

 

mam nasadenych 400+ webovych portalov na roznych IP, ich dostupnost kontrolujem pomocou Nagiosu cez HTTP_Check a Ping. Vsetky portaly su chranene pred DDOS atakom. Z casu na cas sa stane, ze Nagios spusti strasne vela kontrol naraz, antidos ochrana zareaguje, vyhodnoti to ako utok, zablokuje IP a nasledne Nagios zacne posielat "tony" varovnych SMS.

 

Zial whitelist v antidos ochrane z roznych dovodov nechem aplikovat.

 

Rad by som sa spytal ci sa da Nagios nejako rozumne nakonfigurovat aby v jednom momente nespustal vsetky testy ci nadefinovat aby v jednom momente spustil napr. len 20 testov? Popripade ci sa daju nejako nadefinovat skupiny testov ktore sa budu vykonavat v urcenom step-by-step poradi?

 

Dakujem.

---

---

Odpovědi

[Ruža Becelin]

Problem bych hledal v nastaveni DDOS ochrany, jeste jsem nevidel, aby check_http zpusobil problemy web serveru.

Co je konkretne mysleno "strasne vela kontrol naraz"?

[Mike Stuffel]

"strasne vela kontrol naraz" -> z casu na cas (cca raz mesacne) sa stane ze Nagios spusti vsetkych pingy, a vsetky HTTP checky naraz (alebo vo velmi kratkom intervale) a antidos ochrana (za ktorou sa nachadzaju vsetky portaly) to vyhodnoti ako DOS.

[Ruža Becelin]

V tom pripade je neco shnileho v Nagiosu, protoze za normalnich okolnosti nepousti vsechny testy zaraz (pac by to uvarilo Nagios server )

[NN]

Tomu se nechce verit, napripklad v sablonach mam pro genericke hosty/sluzby v minutach(default):

check_interval          5
retry_interval          1

normal_check_interval           10
retry_check_interval            2

Takze bezny proces vypada takto:

http://www.1337geek.co.uk/wp-content/uploads/2011/10/nagios_v2.png

Pokud se nepletu tak plati "scheduled host checks are run in parallel", takze si nedokazu predstavit ,kdy by tato situace mohla nastat. Podival bych se na konfiguraci sablon.

[SPM]

IMHO jde o to, že kontroluje 400 webů na pár serverech. Ty kontroly se pustí za sebou, kdyby řekněme na jednom serveru běželo 100 webů, tak v celkem krátké chvíli tam přijde 100 requestů a pak to zase pět minut dá pokoj. Na druhou stranu si taktéž myslím, že je chyba v tom DoS reportéru, protože nějakých cca 100 požadavků za krátkou chvíli (a pak nic) mi jako DoS nepřijde.

[lol]

no tak ale tazatel nezminil, ze bych tech 400 webu byly virtualy a bezely na par tedy dvou http servrech...

[Michal Kubeček]

Že to nezmínil, ještě neznamená, že to tak není. Tazatelé obecně nezmiňují spoustu věcí… Podle formulace "na roznych IP" mám dokonce neblahé tušení, že by to ve skutečnosti mohlo všechno běžet i na jednom serveru.

[Mike Stuffel]

niektore portaly maju svoju verejnu IP adresu - svoj vlastny server(vacsina), niektore portaly su riesenie ako virtual hosty na rovnakej IP adrese.

[vencour]

Pokud má tazatel v cestě firewall, tak i on může vyhodnotit provoz z jedné IP jako DOS. Jsou komerční fw, které umožňují per pravidlo takové ochrany vypnout.

[NN]

I kdyby to bezelo na jedne IPine tak plati, ze kontrola se provadi paralelne, ne najednou..

[Šangala]

Trochu jsem se ztratil…,
paralelně ≈ najednou, sériově ≠ najednou.

[vencour]

Nebo spíše sekvenčně nebo "hned vše naráz"

[Mike Stuffel]

mam nastavenie taketo:

check_period 24x7

normal_check_interval 5

retry_check_interval 1

max_check_attempts 3

notification_period 24x7

"scheduled host checks are run in parallel" -> ak sa nemylim tak podla tohto nagios kontroluje vsetky hosty paralelne... tj. spusta vela testov naraz - co moze viest k DOS, chapem to spravne?

dalo by sa zariadit aby nekontroloval vsetky hosty paralelne ale hosty zoskupit do skupin a aby kontroloval hosty v 1. skupine, potom v 2. skupine, potom v 3. skupine... atd.

[Max]

max_concurrent_checks=<max_checks>
Jen nevím, zda to umožňuji i Nagios, nebo jen jeho fork Icigna.
Zdar Max

[Max]

Zdá se, že Nagios to také umí.
Zdar Max

[Mike Stuffel]

Bingoooo, moc dakujem. si trafil klinec po hlavicke... toto presne potrebujem.

# MAXIMUM CONCURRENT SERVICE CHECKS
# This option allows you to specify the maximum number of 
# service checks that can be run in parallel at any given time.
# Specifying a value of 1 for this variable essentially prevents
# any service checks from being parallelized.  A value of 0
# will not restrict the number of concurrent checks that are
# being executed.

max_concurrent_checks=0

idem sa teraz pohrat s parametrom. tu je viac info

[alkoholik]

Ty si hlavne udelej jasno v rozdilu mezi host check a service check.

[NN]

Spletl jsem si serial/parallel .. :(