Forum Debian Users Gang

tabi19 · 2011-11-22 17:10:12

Witam.
Mam problem, zacznę od początku.

Mam internet od lokalnego ISP - w dzień 4 Mbps, w nocy 8 Mbps.
Internet ten mam podłączony do starego PC, który dzieli mi go przez Wifi na inne komputery w domu (1 PC i 1 laptop, i w sumie 1 telefon ;) ).

Od ostatnich kilku dni obserwuję duży spadek w jakości internetu - wyciągam maksymalnie 2 Mbps, ping jest strasznie wysoki, ponadto strony ładują się dość długo jak na taką prędkość.

Dzwoniłem do admina tej sieci, mówił, że po ich stronie wszystko jest ok, a gość jest raczej uczciwy.

Gdzie szukać w takim razie przyczyny ?

Proszę o pomoc.
Pozdrawiam
Grzegorz

P.S. Myślałem, że to dysk, jednak chyba nie - wklejam smarta:

Kod:

Vendor Specific SMART Attributes with Thresholds:
ID# ATTRIBUTE_NAME          FLAG     VALUE WORST THRESH TYPE      UPDATED  WHEN_FAILED RAW_VALUE
  1 Raw_Read_Error_Rate     0x000e   066   057   025    Old_age   Always       -       40972607
  3 Spin_Up_Time            0x0002   078   077   000    Old_age   Always       -       0
  4 Start_Stop_Count        0x0032   097   097   020    Old_age   Always       -       3521
  5 Reallocated_Sector_Ct   0x0032   100   100   036    Old_age   Always       -       25
  7 Seek_Error_Rate         0x000e   082   060   030    Old_age   Always       -       4479816142
  9 Power_On_Hours          0x0032   084   084   000    Old_age   Always       -       14776
 10 Spin_Retry_Count        0x0012   100   099   097    Old_age   Always       -       0
 12 Power_Cycle_Count       0x0032   094   094   020    Old_age   Always       -       6163
194 Temperature_Celsius     0x0022   039   058   000    Old_age   Always       -       39
195 Hardware_ECC_Recovered  0x001a   072   056   000    Old_age   Always       -       154844932
197 Current_Pending_Sector  0x0012   100   100   000    Old_age   Always       -       1
198 Offline_Uncorrectable   0x0010   100   100   000    Old_age   Offline      -       1
199 UDMA_CRC_Error_Count    0x003e   200   200   000    Old_age   Always       -       0
200 Multi_Zone_Error_Rate   0x0000   100   100   000    Old_age   Offline      -       0
202 Data_Address_Mark_Errs  0x0032   100   253   000    Old_age   Always       -       0

Proszę o pomoc.

//edit: sprawdziłem ping do google.pl:

Kod:

root@tabi19:/tmp# ping google.pl
PING google.pl (74.125.39.147) 56(84) bytes of data.
64 bytes from fx-in-f147.1e100.net (74.125.39.147): icmp_req=1 ttl=54 time=1490 ms
64 bytes from fx-in-f147.1e100.net (74.125.39.147): icmp_req=2 ttl=54 time=1414 ms
64 bytes from fx-in-f147.1e100.net (74.125.39.147): icmp_req=3 ttl=54 time=798 ms
64 bytes from fx-in-f147.1e100.net (74.125.39.147): icmp_req=4 ttl=54 time=1150 ms
64 bytes from fx-in-f147.1e100.net (74.125.39.147): icmp_req=5 ttl=54 time=917 ms

Ostatnio edytowany przez tabi19 (2011-11-22 17:13:48)

urbinek · 2011-11-22 17:14:54

wysokie pingi masz do czego jakiejś rumuńskiej strony, gw ?

na dysk raczej nie patrz, bardziej obciążenie platwofrmy poczas ruchu

ew podepnij samego kompa i sprawdź czy jest tak samo

tabi19 · 2011-11-22 17:30:54

Podobny ping mam do swojego VPS'a w niemczech:

Kod:

root@tabi19:~# ping tabnet.eu
PING tabnet.eu (178.63.34.251) 56(84) bytes of data.
64 bytes from static.251.34.63.178.clients.your-server.de (178.63.34.251): icmp_req=1 ttl=49 time=844 ms
64 bytes from static.251.34.63.178.clients.your-server.de (178.63.34.251): icmp_req=2 ttl=49 time=1122 ms
64 bytes from static.251.34.63.178.clients.your-server.de (178.63.34.251): icmp_req=3 ttl=49 time=1120 ms
64 bytes from static.251.34.63.178.clients.your-server.de (178.63.34.251): icmp_req=4 ttl=49 time=1168 ms
64 bytes from static.251.34.63.178.clients.your-server.de (178.63.34.251): icmp_req=6 ttl=49 time=1250 ms
64 bytes from static.251.34.63.178.clients.your-server.de (178.63.34.251): icmp_req=7 ttl=49 time=1251 ms

Ping z VPS'a do mojego komputera w domu (mam zewnętrzne IP) jest też na podobnym poziomie.

Przełączę teraz internet do PC po kablu i zobaczę, co i jak.

Podłączyłem modem od internetu do PC przez kabel LAN - efekt ? Wszystko jest ok.
Różnica jest taka, że do mojego PC-serwera, który rozdziela internet, ten modem jest podłączony kablem USB, bo nie mam w płycie głównej wejścia Ethernet..

Co poradzić ?

// EDIT:

Podpiąłem modem do laptopa pod Windows 7 przez USB i wszystko śmiga tak jak powinno..

Ostatnio edytowany przez tabi19 (2011-11-22 17:49:34)

thomsson · 2011-11-22 19:52:38

Ja bym na twoim miejscu po prostu do serwera zamiast przez USB bym dał Ethernet - po prostu dorzucić(dokupić) tak jak za dawnych czasów kiedy tego na płytach nie było [b]kartę sieciową[/b]... chiba że coś bredzę (jak tak to przemilcz ten post ;) )

Ostatnio edytowany przez thomsson (2011-11-22 19:53:13)

tabi19 · 2011-11-22 21:14:29

Tak myślałem o tym ;)
Do czasu, aż gdy dzisiaj miałem podłączonego kablem ethernetowym internet - efekt ? Ping był ok, a po jakimś czasie wzrósł znów do 1000+..

Jacekalex · 2011-11-22 23:22:16

Nagły wzrost pingu zazwyczaj oznacza albo kłopot ze stabilnością któregoś urządzenia po drodze (co zazwyczaj przy prawidłowej konfiguracji nie jest zbyt częste), albo coś tą się ć zakłoca.
Zobacz, jeśli możesz, czy w tej sieci nie ma np kompa z Win Xp, który złapał trojana, i teraz atakuje pakietami UDP jakis serwer na necie.
Zobacz to: http://forum.dug.net.pl/viewtopic.php?pid=180901

tabi19 · 2011-11-23 00:40:35

Trojana raczej nie złapałem na żadnym komputerze, przynajmniej nic nie widzę w iptrafie..

Co to jeszcze może być ?
Obstawiałem, że modem się zepsuł, ale jeśli to on byłby winny, to czy nie byłoby tak cały czas ?

Pozdrawiam

thomsson · 2011-11-23 00:58:46

no to zrób dłuższe testy z lapkiem samym podłączonym nie wiem - ściągaj coś (np. filmik Big Buck Bunny :D), sprawdzaj pinga (ja zawsze lukam na onecie :P) rób co chcesz zrób jakiś dłuższy czas i obserwuj to będziesz wiedział czy modem jest OK czy nie jeśli modem jest ok no to albo serwer, albo wifi(!), albo jak mówił Jacekalex gdzieś masz takie cóś co cię zaangażowało jako honorowego członka botnetu :D polukaj podłączaj po jednym kompie CZYTAJ sprawdź wszystkie urządzenia po kolei i wreszcie dojdziem :D

tabi19 · 2011-11-23 17:12:49

To chyba na 90% jakiś intruz na moim PC-serwerze - zrobiłem test:
podpiąłem modem pod usb do PC-serwera (tak jak zawsze było), a przez kabel LAN do laptopa.

Internet działał, działał, i nagle - wysoki ping, zamulenie.

Sprawdziłem ipconfig'iem czy ktoś nie podpiął się do mojej sieci - było tylko IP moje i PC-serwera (wewnętrzne).

Następnie uruchomiłem iftop - efekt - zużycie łącza 800 kbps - 1,3 Mbps - ciekawe jak, skoro miałem włączone tylko GG na laptopie - co ciekawe, zużycie łącza skakało, a iftop pokazywał różne IP, z którymi łączyło się IP zewnętrzne mojego PC-serwera..

Wyłączyłem w takim razie PC-serwer i został tylko internet na kablu LAN pod laptopem - ping momentalnie zmalał i wszystko wróciło do normy..

Rozumiem, że mój PC-serwer pod debianem załapał się do jakiegoś botnetu ?

Gdzie teraz szukać przyczyny ?

qluk · 2011-11-23 20:01:35

Po co marnujesz prąd na dodatkowy sprzęt PC jako router/gateway?
Jaki masz soft na tym blaszaku?

thomsson · 2011-11-23 20:06:04

Ostatnio coś czytałem o pierwszym Linuxowym Botnecie... o znalazłem link
http://webhosting.pl/Botnet.serwerow.WWW.bo.Linux.tez.jest.podatny.na.zombifikacje
ale raczej mało prawdopodobne że któraś z przyczyn tu będzie pasować...

tabi19 · 2011-11-23 21:34:51

Marnuję na ten sprzęt pieniądze, bo swego czasu służył mi on także jako serwer WWW, do tego teraz mam na nim podpięty dysk, który sobie rozdzielam na lokalne pliki między komputerami przez sambę..

Skoro nie botnet to co to może być ?

Odpalone obecnie na serwerze jest tylko wifi przez hostapd, dhcp, samba, nic więcej..

qluk · 2011-11-23 22:18:46

Jakie distro, jajko?
Zrób zrzut ruchu wychodzacego i przeanalizuj co wychodzi i gdzie, ewentualnie wrzuć to ktos moze to zrobi :P

Huk · 2011-11-23 22:18:55

@tabi19:

1. A jaką masz kartę wifi w tym kompie? Znaczy na jakim chipsecie i sterze działa?
2. Jaka wersja jajca?

U mnie coś podobnego działo się swego czasu, z tym że nie pingi po czasie rosły a ilość rozłączeń - okazało się że pobranie sterownika z nowego jajca do sieciówki pomogło.

EDIT:

Aj cholercia, qluk był szybszy ;]

Ostatnio edytowany przez Huk (2011-11-23 22:33:40)

tabi19 · 2011-11-24 02:40:11

To nie jest wina karty sieciowej Wifi, bo internet na PC-serwerze też muli..
W "iptraf" widziałem, że pingowały mnie jakieś IP z chin..

Prześlę Wam screen z iftop, gdzie na moim lapku chodziło tylko GG:

http://i40.tinypic.com/o9emh3.png

Czy to normalne, że mam wymianę danych z tyloma adresami IP ?
Myślę, że to tu leży przyczyna, bo np. na VPS'ie produkcyjnym, mam w tej chwili prawie zerowy ruch (max. 2 kbps), a tutaj proszę bardzo - takie coś..

Jeśli to tu leży przyczyna, jak temu zaradzić ?

Proszę o radę.

Pozdrawiam
Grzegorz

//dane:
debian 6.0, jajko 2.6.32-5-686

Ostatnio edytowany przez tabi19 (2011-11-24 02:40:49)

bobycob · 2011-11-24 10:18:03

Nad czym tyle dywagować?
Odłącz/opuść wszystkie interfejsy poza wanowym i sprawdź czy nadal ruch występuje jeśli tak przejrzyj uruchomione w systemie procesy może coś znajdziesz.
Ruch sieciowy to nie widmo skądś się bierze. Kiedyś miałem włamanie i w trakcie dochodzenia znalazłem wiele ciekawych rzeczy.
Podpowiem, że program apache2 w procesach wcale nie musi być apachem ;).

Najprościej ubijaj usługi, przy odrobinie szczęścia narzędzia nie są podmienione i widzisz wszystkie programy działające w systemie.

Ostatnio edytowany przez bobycob (2011-11-24 10:37:07)

tabi19 · 2011-11-24 15:34:25

[quote=bobycob]Nad czym tyle dywagować?
Odłącz/opuść wszystkie interfejsy poza wanowym i sprawdź czy nadal ruch występuje jeśli tak przejrzyj uruchomione w systemie procesy może coś znajdziesz.
Ruch sieciowy to nie widmo skądś się bierze. Kiedyś miałem włamanie i w trakcie dochodzenia znalazłem wiele ciekawych rzeczy.
Podpowiem, że program apache2 w procesach wcale nie musi być apachem ;).

Najprościej ubijaj usługi, przy odrobinie szczęścia narzędzia nie są podmienione i widzisz wszystkie programy działające w systemie.[/quote]
Chyba strzał w dziesiątkę - ubiłem kilka procesów, co do których nie miałem pewności co to i nagle internet wrócił do normalnego działania..
Jak już odkryję, co to za proces, to wystarczy że usunę go poleceniem "kill ID_PROCESU" + usunę jego źródło z serwera ?

Jak się zabezpieczyć przed tego typu niespodziankami ?

tabi19 · 2011-11-24 17:56:34

Internet zaczął normalnie działać po ubiciu procesu squida - czyli przez to, że stoi tu squid na standardowym configu, z którego i tak nie korzystam (bo nie miałem czasu go skonfigurować) ktoś wykorzystał mój serwer jako serwer proxy i urządza sobie niezłą zabawę ?
Czy to raczej mało prawdopodobny scenariusz ?

Jacekalex · 2011-11-25 01:23:48

[quote=tabi19]Internet zaczął normalnie działać po ubiciu procesu squida - czyli przez to, że stoi tu squid na standardowym configu, z którego i tak nie korzystam (bo nie miałem czasu go skonfigurować) ktoś wykorzystał mój serwer jako serwer proxy i urządza sobie niezłą zabawę ?
[b]Czy to raczej mało prawdopodobny scenariusz ?[/b][/quote]
Akurat to zależy od tego, co masz w Firewallu.
Bo jeśli porty Squida byly otwarte, a sam Squid uruchomiony na domyślnym konfigu,
to już nie jest mało prawdopodobny, ale BARDZO PRAWDPODOBNY scenariusz.
:xD

To by było na tyle
;-)

Ostatnio edytowany przez Jacekalex (2011-11-25 01:24:46)

tabi19 · 2011-11-25 15:11:43

Czyli wyszła moja "ogromna wiedza" ;)

Dziękuję wszystkim za pomoc!

Pozdrawiam

Time (s)	Query
0.00021	SET CHARSET latin2
0.00006	SET NAMES latin2
0.00162	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='18.219.208.117' WHERE u.id=1
0.00386	REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '18.219.208.117', 1714939819)
0.00141	SELECT * FROM punbb_online WHERE logged<1714939519
0.00099	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=20101 AND t.moved_to IS NULL
0.00007	SELECT search_for, replace_with FROM punbb_censoring
0.00557	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=20101 ORDER BY p.id LIMIT 0,25
0.00180	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=20101
Total query time: 0.01559 s

Forum Debian Users Gang

Ogłoszenie

#1 2011-11-22 17:10:12

tabi19 - Użytkownik

Spowolniony internet

Kod:

Kod:

#2 2011-11-22 17:14:54

urbinek - Użytkownik

Re: Spowolniony internet

#3 2011-11-22 17:30:54

tabi19 - Użytkownik

Re: Spowolniony internet

Kod:

#4 2011-11-22 19:52:38

thomsson - Dyskutant

Re: Spowolniony internet

#5 2011-11-22 21:14:29

tabi19 - Użytkownik

Re: Spowolniony internet

#6 2011-11-22 23:22:16

Jacekalex - Podobno człowiek...;)

Re: Spowolniony internet

#7 2011-11-23 00:40:35

tabi19 - Użytkownik

Re: Spowolniony internet

#8 2011-11-23 00:58:46

thomsson - Dyskutant

Re: Spowolniony internet

#9 2011-11-23 17:12:49

tabi19 - Użytkownik

Re: Spowolniony internet

#10 2011-11-23 20:01:35

qluk - Pan inż. Cyc

Re: Spowolniony internet

#11 2011-11-23 20:06:04

thomsson - Dyskutant

Re: Spowolniony internet

#12 2011-11-23 21:34:51

tabi19 - Użytkownik

Re: Spowolniony internet

#13 2011-11-23 22:18:46

qluk - Pan inż. Cyc

Re: Spowolniony internet

#14 2011-11-23 22:18:55

Huk - Smoleńsk BULWA!

Re: Spowolniony internet

#15 2011-11-24 02:40:11

tabi19 - Użytkownik

Re: Spowolniony internet

#16 2011-11-24 10:18:03

bobycob - Członek z Ramienia

Re: Spowolniony internet

#17 2011-11-24 15:34:25

tabi19 - Użytkownik

Re: Spowolniony internet

#18 2011-11-24 17:56:34

tabi19 - Użytkownik

Re: Spowolniony internet

#19 2011-11-25 01:23:48

Jacekalex - Podobno człowiek...;)

Re: Spowolniony internet

#20 2011-11-25 15:11:43

tabi19 - Użytkownik

Re: Spowolniony internet

Stopka forum

Informacje debugowania