Dotaz: iftop a iptraf - podivna odchozi spojeni

[cerv]

Zdravím.
Je to asi týden co jsem si všiml vytížení CPU na mem VPS (CentOS 7). Proces, který vytěžuje cpu cca. na 7-12 % je NetworkManager. Hledal jsem trochu co se tam děje a netstat neříká vůbec nic. Ten je čistej, žádná navázaná spojení, nic. Pouze listen a nebo ip, o kterých vím a jsou ok.
Nicméně pokud pustím iptop nebo iptraf, tak mi to ukazuje zvláštní odchozí spojení. Jedná se o opakující se ip adresy. iptraf vypadá například takto:
TCP Connections   Packets    Bytes    Flag
ip:port          = 1          46     S---
mojeip           = 0           0     ----

Porty jsou relativne vysoke, vetsi nez 40tis.
Když pustím monitoring, tak po par minutách tam toho vyběhne docela dost.Dane ip pridany na firewallu na bl. ale beze změny.
Je toto normální chování nebo ne? Ty ipny jsou různé ruské, čínské...
A teď ještě jedna otázka (trochu UFO). Přihlásil jsem se na konzoli a zapnul na firewallu panic mode. Když jsem znova spustil iptop, tak veškerý známý traffic (ssh atd.) byl samozřejmě pryč, ale tato podezřelá spojení stále probíhala. Je to vůbec možné ? Nebo jenom čtu špatně ty výstupy a ukazuje mi to i packety, které "litaji kolem" meho interfacu z toho virt. prostredi providera ?
Díky.

---

---

Odpovědi

[Jendа]

Co třeba pořídit nahrávku těch paketů a přiložit ji k dotazu?!

cca. na 7-12 % je NetworkManager

Osobně nevidím důvod mít u staticky nastaveného serveru network manager.

ale tato podezřelá spojení stále probíhala. Je to vůbec možné ?

Tipnu si, že to povoluje libovolná odchozí spojení a samozřejmě RELATED,ESTABLISHED.

Nebo jenom čtu špatně ty výstupy a ukazuje mi to i packety, které "litaji kolem" meho interfacu z toho virt. prostredi providera ?

Ano, to je také možné. Zjistíš to podle toho, že se podíváš na zdrojové a cílové adresy těch paketů…

[cerv]

Přílohy:

• iftop.png (54068 bytů)
• iptraf.png (43056 bytů)

Zdravím, dostal jsem k tomu až teď večer.
Mno... stav se má tak, že k mému překvapení vytížení networkmanagera kleslo tak nějak na normální hodnoty a i odchozí traffic neni tak intenzivní jak byl. Nicméně.

Osobně nevidím důvod mít u staticky nastaveného serveru network manager.
Ano souhlasim, neni duvod. NetworkManager jsem sdisabloval a jedu na network.service.

Vyhledem k tomu, že ta intenzita toho "odchoziho" trafficu je ted velmi nizka, tak to mereni co mam neni asi prilis prukazne. V priloze je screenshot cca po 5ti minutach z iftop a iptraf.
Jinak na firewallu mam porty zavrene aktualne a v /etc/sysctl.conf mam vypnutou i odpoved na ping vc. vypnuteho ipv6.
Hlavně mi trochu nejde do hlavy ten vystup z iftop. Pokud tomu dobre rozumím, tak jsou to odchozí spojení z mého serveru ?
A zase podle iptraf to ma flag: S--- to je ping ? a ty spojeni jsou prichozi.
Jeste se to pokusim sledovat a dat nejakej lepsi vystup.
Diky.

[Jendа]

Co třeba pořídit nahrávku těch paketů a přiložit ji k dotazu?!

Co třeba pořídit nahrávku těch paketů a přiložit ji k dotazu?!

Co třeba pořídit nahrávku těch paketů a přiložit ji k dotazu?!

Co třeba pořídit nahrávku těch paketů a přiložit ji k dotazu?!

mam vypnutou i odpoved na ping

Jo, takové stroje mám nejradši.

Hlavně mi trochu nejde do hlavy ten vystup z iftop. Pokud tomu dobre rozumím, tak jsou to odchozí spojení z mého serveru ?

Ne, iftop jenom říká kolik bajtů na který stroj proteklo. I když se někdo zkusí třeba připojit na zavřený port a ty mu pošleš RST, tak to tam AFAIK bude.

A zase podle iptraf to ma flag: S--- to je ping ?

No vzhledem k tomu, že tam je port, tak to ping bude těžko.

[Jendа]

OK, jestli došlo k nepochopení: nahrávkou se myslí pcap, kde ty pakety jako budou.

[cerv]

Jj, to jsem asi nepochopil. Takze vystup z tcpdump.
Ono ja mozna tu otazku polozil taky trochu spatne. Jde mi v podstate o to, abych zjistil zda muj server navazuje nebo ne spojeni nekam jinam a pokud ano, tak proc. A nebo zda ty "podezrele IP" jsou prichozi komunikace a muj stroj je jen odmita. Az zas tolik se v paketech a v sitove komunikaci nevyznam, tak mozna proto to zmateni. Diky.

[Michal Kubeček]

Takze vystup z tcpdump.

Raději soubor, který tcpdump vytvoří, když použijete parametr "-w", na terminálu toho defaultně až tak moc vidět není.

[cerv]

Omlouvam se za delsi prodleni, ale problem jsem vyresil. Samozrejme, ze problem byl mezi zidli a klavesnici. Nejednalo se o odchozi spojeni, ale prichozi spojeni, ktere firewall nasledne odmital. Spatne jsem interpretoval ty logy a hodnoty. Jak bylo samozrejme uvedeno vyse, v logu bylo vse co prislo na interface. Nicmene problem jsem vyresil tak, ze jsem to vse odstinil na firewallu providera, takze na "muj" interface prijde uz skutecne jen to co potrebuji. Dekuji za pomoc a nasmerovani.