Архив форумов ЦИТФорума

[LordBayne]

В общем, сложилась у меня такая щекотливая ситуация. Имеется сервака по Мандракой 9.0, который является шлюзом в Инет. Для учета траффика по юзверям стоит Squid + Sarg. Потребовалось составить отчет по траффику за декабрь. Выдал по всем машиная(15 шт. в трех подсетках)общий траф где-то 2,6 гига. А недавно пришел счет от провайдера на оплату аж 13(!!!) гигов. В результате контора попала на огромные деньги. Связывался с техподдержкой нашего провайдера(доступ осуществляется по ADSL). Прислали детализацию, но в детализаций доступа в Инет указан IP-адрес x.x.x.241, (провайдер утверждает, что этот адрес принадлежит нам)хотя у нашего сервака IP x.x.x.242. Еще раз проверил логи Squid - все чисто, никто постороний через прокси не лазил. Подскажите, как такое может быть???

[dio]

у вашего сервака может и 242 а в вашей подсети еще есть же ip адреса? XXX - это маска??
Не один же внешний адрес дал прова вам?? Мог кто нить подцепить этот ip(те другой, не сервера с твоей проксей) и напрямую, минуя твой прокси, сразу на модем(в режиме моста??) лазать в интернет и качать все что хочет.
Короче - уточни ВЕСЬ диапазон ip адресов своей внешней подсетки, которые вам дал прова и поищи там этот номер - нарушитель.
_________________
All is not lost!

[LordBayne]

[dio]

[dio]

Модем мостом стоит или шлюзом???
_________________
All is not lost!

[LordBayne]

Модем стоит шлюзом

[dio]

[McZim]

Так ну начнем с того что провайдер вам дает как минимум 3-ip адреса.

1. Адерс который вы должны установить на физический интерфейс.
2. Адрес который выступает в роли gateway.
3. Адрес DNS.

Я так понял 242 это ваш ip, я 241 это ваш gateway.

Ну и где тут неразбериха? Или я чего-то не понимаю? Вы попросите детальные настройки у своего провайдера!

На счет потери трафика, сразу хочу предупредить что на ваши 2,6 Гига набросьте еще 10% процентов и это будет примерной суммое выставляемой провайдером. От куда взялись 13 Гб. ХЗ!

Если возникает подозрение что кто-то заварачивает трафик, то просто сделайте трассировку!
_________________
Я странный...

[McZim]

[dio]

[Dizzy]

Все правильно, у провайдера скорее всего подсеть /30, сервер (241), клиент (242). провайдер считает траффик у себя на интерфейсе и формально он прав. Вероятно, что-то с настройкой Squid + Sarg, точнее сказать не могу в unix-системах не силен.

[McZim]

меня вообще интересует вопрос, модем сам по себе живет или он прицеплен к компу?
_________________
Я странный...

[dio]

[McZim]

[McZim]

[dio]

[dio]

[McZim]

[dio]

[dio]

[dio]

sarg в отчете прямо пишет за какой срок этот отчет - проверьте еще раз!!
_________________
All is not lost!

[McZim]

Я о том что если комп и модем прицеплены, то лучше сделать настройки на компе, а не на модеме!
_________________
Я странный...

[dio]

[McZim]

Лучше тем что получаем гибкость в настройке фаервола и в маршрутизации пакетов. Если бы у него стоял Cisco я думаю подобных вопросов бы не возникало.

Мы откланились уже от темы, давай ка помогать челу!
_________________
Я странный...

[dio]

[dio]

[dio]

[McZim]

_________________
Я странный...

[LordBayne]

К сведению: модем Aus.Linx LAN, подключен к одной из сетевух компьютера, другая сетевуха смотрит в локалу. А адрес с окончанием на 241 - гейт провайдера. Но адреса нашего сервака и прова оличаются только на последнюю цифру. В локале 15 машин. Я че-то не понимаю, как это возможно всем, даже при всем старании выдать такой траффик на 13 гигов?! Лично я сомневаюсь, что мы могли за месяц выдать такой офигенный траффик. Народ у нас в основном только почту проверяет(отправляет) да и в Инет лазит изредка, никто почти и не качает ничего. В Сквиде ACL прописаны, смотрел логи - ничего подозрительного не обнаружил, в смысле, никто к нам не подрубался.

[McZim]

Трасеровкой проверь как пакет идет!?
_________________
Я странный...

[LordBayne]

Вот думаю вместо SAMS юзать, вместо SARG. Не очень-то нравится мне SARG

[LordBayne]

[McZim]

Да.
_________________
Я странный...

[dio]

ребята...я так и не пойму, зачем тут что - то трассить? Всего 2 ip один наш, другой шлюз прова...пусть разбирается с логами, скорее всего там причина.
_________________
All is not lost!

[McZim]

Мне просто интересно пакет идет от них к прову или нет?
_________________
Я странный...

[a-m-d]

Хотелось бы видеть от автора темы ответы на пару вопросов:

1. (примерно это уже спрашивал уважаемый dio, но ответа я что-то не видел) Кто-либо, кроме ответственных лиц, имеет физический доступ к DSL-модему? Ну так, на всякий случай, не мог подключиться кто-то ВМЕСТО вашего проки-сервера. Посмотрите логи сервера, не "падал" ли у него внешний интерфейс неоправданно?

2. А "мимо" сквида у вас точно трафик не может пройти? Скажем, ftp, Аська, p2p как рулятся? Игрулечки типа CS не пролазят по udp ?

Мораль. Не считайте трафик сквидом. Тщательно проверьте дырявость фаервола и вообще возможности выхода в инет через вашу систему. Запросите у прова детальную статистику по портам. Не было ли аналогичного по объему исходящего трафика?

PS Ах да! Ко второму вопросу прикрутите еще почту. Не по почте ли вы этот трафик получили?
_________________
Век живи - век учись!.. Дураком помрёшь.

[a-m-d]

[a-m-d]

[LordBayne]

Cвязался с провайдером. Прислали по факсу расшифровку по IP-адресам, по входящему зарубежному и россйскому траффику. Наибольшее кол-во траффика (зарубежного, причем) приходится на xxx.xxx.xxx.242, но есть там еще неизвестные адресочки xxx.xxx.xxx.222, 223 Смотрел логи Сквида - ничего не обнаружил. Есть траффик еще по нашему, 241 адресу, но он меньше. Причем даты, на которы приходится большое количество траффика - последние дни декабря, в остальное время трафф был почти ничтожным. Сделал трассировку этих подозрительных адресочков, узнал что оттуда идут пакеты на 241-й адрес. Что сие может значить?

[dio]

[LordBayne]

[LordBayne]

Узнал! Эти неизвестные адреса числятся в базе ripn.net как принадлежащие нашему провайдеру.

[dio]

как ты это узнал?Многие адреса могут прове принадлежать - это не факт, что он за них отвечает.
_________________
All is not lost!

[a-m-d]

[McZim]

[a-m-d]

[LordBayne]

[McZim]

Делается все просто...рассматривайте продукцию таких компаний например как Zyxel, D-Link, Cisco.
_________________
Я странный...

[tatlink]

мдя приобрел недавненько ZyXeL adsl модемчик. почитал сие пост чуть плохо не стало...
_________________
Хочешь знать правду? Читай таблицу умножения.

[McZim]

Причем здесь модем? И по некоторым изделиям компанию не судят.
_________________
Я странный...

[tatlink]

[a-m-d]

[LordBayne]

Связался с техсуппортом провайдера. Спросил, возможно ли предоставить детализацию траффика по портам. Ответили, что сделать этого не могут. Заодно сказали, что вполне вероятно что открыты порты на нашем серваке, следовательно, траффик идет через них. Посканировал порты nmap-ом. Выдал сие:

21/tcp open ftp
22/tcp open ssh
25/tcp open smtp
80/tcp open http
111/tcp open rpcbind
443/tcp open https
854/tcp open unknown
873/tcp open rsync
2401/tcp open cvspserver
3128/tcp open squid
3306/tcp open mysql

[tatlink]

ну я типа о том,что LordBayne использует ADSL прова для подлючения к Инету и мне предстаит тоже самое сделать. вернее уже делаю..эти проблемы немного испугали меня когда я читал пост. хотя у меня все получеться хорошо
_________________
Хочешь знать правду? Читай таблицу умножения.

[LordBayne]

[a-m-d]

Продолжая гнуть свою линию...

Ответь мне, пожалуйста, на один только вопрос... :
- Какой трафик из перечисленного тобой учитывается squid'ом?
... и поймешь, что разница между твоими 2,6 Г и предъявленными провайдером (13 Г) могла бы быть и гораздо значительнее.

[a-m-d]

[a-m-d]

В дополнение к сканированию портов вашего шлюза снаружи, на самОм шлюзе посмотрите командой sockstat какие сервисы слушают эти порты. Также полезно поглядеть netstat -l и с другими ключиками.

Я так и не понял, какие из адресов 100% ваши, как вы их используете, какова схема подключения и степень доступности оборудования для посторонних.

a'la:

[PashaP]

На один только спам очень много трафика уходит.

[Pingvinenok]

[tatlink]

[a-m-d]

Перечитав тему еще раз
2 LordBayne Просю пардону, это сообщения пропустил:

[dio]

[McZim]

Попробуйте объясниться с провайдером, возмите и сообща решите эту проблему. Если они не захотят разоьраться то скажите что отказываетесь от их услуг без дальнейше оплаты трафика, тогда они может быть и захотят разобраться. Вы разговаривали ведь со специалистами тех отдела!? Поробуйте выйти на руководителей, если тех отдел не дает вам объяснений!
_________________
Я странный...

[dio]

собственно непонятно ОДНО - почему предъявляют за ip, котрые вам НЕ принадлежать??
_________________
All is not lost!

[Pingvinenok]

2 Dio

[dio]

Дело в том, что насколько мне известно, платят за входящий траффик при пользовании ADSL. Возникает вопрос - каким образом приведенные выше открытые порты могут на него(на входящий траффик) повлиять?? Что по вашему мнимый нарушитель-злопыхатель будет закачивать в вашу подсеть (на ваш сервер?) в ГИГАБАЙТНОМ объеме, используя эти порты?? Вот в чем дело и вот почему я это сказал - нет никакой связи между этими открытыми портами и "пропажей" траффика. Автору еще раз рекомендую уточнить претензии прова по поводу траффика от ip адресов, НЕ ПРИНАДЛЕЖАЩИХ вам и самому разобраться в логах как следует.
_________________
All is not lost!

[Pingvinenok]

2 dio
С этим согласен.
Но могу представить следующую ситуацию, к примеру:
Дано:
Провайдер, имеющий "домашние" сети
Внутренний трафик по таким сетям для конечного пользователя стоит во много раз дешевле внешнего.
User установил у себя прокси, не позаботившись о соответ. защите.
Macho_User юзает его прокси практически бесплатно.
Возможно? Просто как например? Думаю, да.
_________________
Съешь еще мягких французских булок,да выпей чаю!

[LordBayne]

[LordBayne]

[a-m-d]

Конкретные лекарства посоветуют те, кто хорошо знает Linux, а общими словами:

1. Обеспечение физической безопасности оборудования;
2. Создание корпоративной политики доступа в инет. Всем под роспись;
3. Настройка (конфигурирование) ОС шлюза;
4. Запуск только необходимых сервисов;
5. Корректная конфигурация всех запускаемых сервисов (apache, named, ssh, ftp, *mail* и т.д.);
6. Контроль работы сервисов. На начальном этапе эксплуатации - тщательный, в дальнейшем - периодический (логи);
7. Настройка фаервола. Контроль его работы/сообщений (iptables);
8. Установка и настройка какой-нибудь системы обнаружения вторжений (IDS. например, snort);
9. Установка и настройка системы подсчета трафика;
10. Обеспечение антивирусной безопасности.

Думаю, что примерно так. Порядок необязательно такой. Дополняем / поправляем / конкретизируем...
_________________
Век живи - век учись!.. Дураком помрёшь.

[McZim]

Та зачем здесь разводить демогогию? В Инете полным пално документации по поводу обеспечения безопасности серверов, различных функциональностей!!!
_________________
Я странный...

[a-m-d]

[McZim]

Я считаю что:

1. Нужно вести четкую и строгую политику среди пользователей. Что-бы пользователи четко представляли что если админ так сделал значит так надо, а не то что куда попало натыкали, а все равно админ исправит.

2. Нужен определенный опыт и знание (уверреность в себе).

Ну и грубо говоря все..... .....все остальное - это документация!
_________________
Я странный...