зависает kerio control 9.1.3

Добрый день.
Ситуация следующая:
Kerio Control Standard Edition 9.1.3 build 1408
Memory: 1919 MB, 2 processors.
установлен на физический компьютер.

зависает в среднем каждые 2-36 часов намертво.не пингуетя.только жесткий reset.
(бывает что за день 3-5 раз зависает ,бывает 3-5 дня не зависает)
средняя загрузка cpu 1-3 % ram 22-27%
до этого на компьютере был windows server 2003.
проблем с зависанием не наблюдалось.
в журналах никаких критичных данных на мой взгляд не остается.

подскажите на что обратить внимание?
может есть у кого какие мысли?

Цитата

Сообщение от 2222mar2222

установлен на физический компьютер.

какой?

Цитата

Сообщение от 2222mar2222

в журналах никаких критичных данных на мой взгляд не остается.

доп. опции к логу debug в керио.
как проставить - погугли.

Цитата

Сообщение от 2222mar2222

подскажите на что обратить внимание?

на логи после доп. опции
на кондеры материнки и БП, SMART харда, тест оперативки и т.п.

учитывая что комп походу не новый:

Цитата

Сообщение от 2222mar2222

до этого на компьютере был windows server 2003.

Цитата

Сообщение от exchar

комп походу не новый

Мягко сказано...
Ещё, как вариант - пыль вычистить - лето, влажность, гигроскопичность...

За Керио стоит сервер, доступный из интернета? Это ключевой момент.

Цитата:

Сообщение от водку_хочешь

За Керио стоит сервер, доступный из интернета? Это ключевой момент.

И в чём он ключевой? У меня несколько серверов в инет через Керио смотрят и что-то подобных проблем не наблюдается.

Цитата:

Сообщение от Mr.Torture

в чём он ключевой

Ну, например в организации HTTP-Flood Attack или DDoS на этот сервер... Дальнейшее нужно рассказывать??

Было пару раз - дидосили нам сайт - перегруза именно в Керио это вообще не вызывало никакого - в админке Керио было видно куча соединений - там же выбирал айпишники, с которых шли атаки, и добавлял их в забаненную группу.

Mr.Torture, а потому и говорю - "например", ибо вся инфа от ТС заключена в том, что у него с некой периодичностью "зависает комп", в нем 2 гига и 2 ядра и все. На сем ТС иссчез.

Цитата:

Сообщение от Mr.Torture

Было пару раз - дидосили нам сайт - перегруза именно в Керио это вообще не вызывало никакого - в админке Керио было видно куча соединений - там же выбирал айпишники

Потому что дудос был даже не школьный, а детсадовский. А когда канал в 150-200 мбит, дудосят платным дудодсом (десятки гигабит/с, хоть к нам идёт строго по тарифу) и я даже не могу представить, сколько там шло пакетов в секунду.

Только вчера на 9.1.4 такое словил (меня не было рядом). Зайдя потом в Керио, увидел, что всё рабоатет (а толку, люди с сервера повылетали на минуту и так несколько раз подряд), но увидел сообщение о том, что он был перезапущен, т.к. был сбой. Замечал такое и раньше, даже в более простых ситуациях - была кривая верисия, думал, что 9.1.4 этим не страдает. После того случая обновился до 9.2.2. Посмотрим. Я готов смириться с потерей пакетов, невозможностью зайти в веб-интерфейс Керио, но перезапуск системы, это явный глюк. Или так задумано?

То, что это был дудос, 100%. Но посколько такой вид воздействия стоит почти 1$ в минуту, то дудосили минут 5-7 (большего я не стою и своего они отчасти добились).

А школьный дос, это всего 1-2 гбитс/с UDP-флуда, что при нормальном канале терпимо, но если будет синфлуд с IP-спуфингом (за 10 сек. создаётся 100 тыс. фейковых соединений), то Керио ничего с этим не сделает, потому что син-куки они так и не прикрутили. А это тоже школьный дос - для этого нужен просто 1 ПК и к серверу за Керио подключиться будет просто невозможно.

Вот такой у меня опыт держания сервачка за Керио. Это всё равно лучше, чем всякие SOHO-роутеры, типа Асуса и Зухеля. Но явно хуже, чем Mikrotik (+мешок знаний), ZyWall от Зухеля (+пачка денег и мешочек знаний) или голый Линукс (+ контейнер знаний).

Радует одно, Керио понимает потребность в добавлении функций, предназначенных для защиты сервера за ним. Несколько дет назад не было большей части из того, что есть сейчас. Лишь бы работало всё.

Цитата:

Сообщение от водку_хочешь

UDP-флуда

А зачем пропускать удп на веб-сервер?
По дидосу - да, канал у нас не 200 мегабит, но количество соединений при дидосе не от скорости канала зависит, так что не аргумент. Повторю - Керио при дидосе у меня отлично справлялся, не вылетал, не ребутался, нормально пускал в админку, откуда я и блокировали атакующие адреса.

Цитата:

Сообщение от Mr.Torture

А зачем пропускать удп на веб-сервер?

Вы это серьёзно?

Цитата:

Сообщение от Mr.Torture

По дидосу - да, канал у нас не 200 мегаби

Это важно при UDP-флуде.

Цитата:

Сообщение от Mr.Torture

Повторю - Керио при дидосе у меня отлично справлялся, не вылетал, не ребутался, нормально пускал в админку, откуда я и блокировали атакующие адреса.

Вы имеете лишь смутное представление, что такое (D)DoS.

Дубль

Да - вполне ерьёзно - зачем на веб-сервере удп?
И я могу судить, что вы вообще обо всём, связанном с работой файрволов, имеете смутное представление.

Цитата:

Сообщение от Mr.Torture

И я могу судить, что вы вообще обо всём, связанном с работой файрволов, имеете смутное представление.

Всё с точностью наоборот. Вы не в теме - ответ здесь - [Для просмотра данной ссылки нужно зарегистрироваться]

То-то у меня всё работает, а у того, кто в теме, сплошные проблемы )))

Цитата:

Сообщение от Mr.Torture

То-то у меня всё работает

Тащемта, у нас тут клуб контор под лейблом "Неуловимый Джо".
конторы наши делятся на два типа:
1) те, что не представляют интереса для ддоса - абсолютное большинство
2) те, что - извиняюсь за каламбур - близки к Конторе и потому имеют хотя бы теоретическую возможность отвесить ддосящим и их заказчикам в разрезе законодательства. Особенно если ддосят идиоты. - таких тут исчезающе мало и пользуют они в работе не керио

Куда не кинь - админов реально крупного и при этом частного бизнеса, владельцы которого при этом не являются родственниками родственников сидельцев кабмина... я на форуме не видел. Наверное, смотрел плохо. =)

Короче, не ломают нас так, как могли бы - по указанным выше причинам. И скрипткидди с подбором паролей в логах керио к ддосу не относится.

Цитата:

Сообщение от Mr.Torture

сплошные проблемы )))

потому, что серебрянной пули пока от ддоса не существуетЪ

Цитата:

Сообщение от Mr.Torture

а у того, кто в теме

Мне вот например уже полгода интересно, за что все-таки ддосят этого "товарища в теме" и что за ресурсы он обслуживает. Но как культурный человек, я такие вещи не спрашиваю напрямую, а только как случай подвернется.

Например, сейчас - как раз тот случай

Цитата:

Сообщение от водку_хочешь

Цитата:
Сообщение от Mr.Torture Посмотреть сообщение
А зачем пропускать удп на веб-сервер?
Вы это серьёзно?

не боюсь показаться ламером, мне пофиг - как в вашем случае используется перманентно разрешенный входящий udp на веб-сервере? Нужные сервисы никак нельзя вынести в дмз на отдельный хост, который при атаке тупо поспит под ддосом?

Добавлено через 7 минут
а, все - нашел

Цитата:

Сообщение от водку_хочешь

UDP-трафик блочится на Керио, но он каждый пакет должен обработать, чтобы понять, что это за пакет и решить, что с ним делать. Это отнимает ресурсы центрального процессора и на всё это работает только одно ядро. Когда Керио это поправит можно лишь гадать. Антивирус и IPS могут использовать другие ядра. Если создать хитрые правила трафика, то можно снизить нагрузку при UDP-флуде на 15-20%.

согласен
но эффективнее думаю поставить перед керио микротик с единственной функцией - блокировкой UDP.

Ну вот я тоже думал, что я Неуловимый Джо... Когда сайты упали, не сразу даже сообразил, что это дидос - рестарчу демона - несколько секунд работает и опять умирает всё.

Цитата

Сообщение от exchar

те, что не представляют интереса для ддоса - абсолютное большинство

Проходил человек мимо, было у него 5-10 минут неизрасходованных платного дудоса. Решил подгадить. Пару кликов мышью и готово. Таких контор, кто предоставляет это немало. instaBOOTER, zSTRESS, DataBooter, PolyStress, TopBooter, Exo Stresser, BetaBooter. Сам не пользовался, но в эффективность верю. Допустим, просят 30$ в мес и дают за это 40 минут, которые можно использоваться по своему усмотрению.

Цитата

Сообщение от exchar

те, что - извиняюсь за каламбур - близки к Конторе и потому имеют хотя бы теоретическую возможность отвесить ддосящим и их заказчикам в разрезе законодательства

Они не в России. Заказчики, если их так можно назвать - молодняк из Турции и Морокко. Но никаких доказательств этого у меня нет (только их IP-адреса, но они просто зашли на сервер и сразу начался дудос, потом ушли). Дудос у них был платный, который устроил кто-угодно. Кто их будет искать по всему миру?

Цитата

Сообщение от exchar

Куда не кинь - админов реально крупного и при этом частного бизнеса, владельцы которого при этом не являются родственниками родственников сидельцев кабмина... я на форуме не видел. Наверное, смотрел плохо.

Я не слышал, чтобы крупный бизнес использовал Керио. Если есть деньги - решения под ключ в виде сетей из Cisco, Juniper и остального брендового. Если денег мало или их умеют считать, при этом есть сильные линуксоиды - голый Линукс, с жёстким тюнингом или Микротик. Или же аренда сервера у соответствующего провайдера, причём нередко в Германии и с DDoS-защитой до 100 гбит/с как минимум. Мой случай редкий - сам себе админ. Но это не снимает с Керио вины в некоторых просчётах. Я когда пошёл жаловаться на форум Керио, то представитель ничего не смог ответить про син-куки, которых в Керио нет (функция Линукса, но её решили не задействовать). Про то, что на маршрутизацию работает только одно ядро процессора тоже молчок. Это же касается и их Контрол Боксов, что = то же самое, что и самосбор на Керио, но самосбор можно сделать быстрее (не буду писать, а то меня заклюют).

Голый Линукс, это вообще имба. Есть в инете статьи, с названием типа "как получить миллион пакетов в секундку на Линуксе". Суть в том, что Линукс по умолчанию использует только одно ядро для рашрутизации, эьто можно исправить, в дополнение произведя некоторые оптимизации. 1 миллион pps, для простого 4-ядерного ПК, это просто до хренища. Кериоты тоже могли бы сделать такое. Но или им лень, или не умеют, или боятся проблем с совместимостью.

Но каналы становятся жирнее, нагрузки возрастают, дудос всё более распространён, а процессоры уже лет шесть не особо прогрессируют в плане производительности на ядро (AMD не в счёт, у них только новый Ryzen можно назвать нормальным ЦП). Рано или поздно, Линукс по умолчанию будет использовать все ядра для маршрутизации. То же самое касается и син-куки, без которых защититься от син-флуда с IP-спуфингом просто нереально.

Цитата

Сообщение от exchar

потому, что серебрянной пули пока от ддоса не существуетЪ

Cloudflare, но они не защищают игровые и голосовые сервера. Другие провайдеры защищают и неплохо. Но я хочу всё своё.

Цитата

Сообщение от exchar

Мне вот например уже полгода интересно, за что все-таки ддосят этого "товарища в теме" и что за ресурсы он обслуживает.

Несколько TeamSpeak-серверов. При этом, денег не беру. Хобби такое (искать приключения?). Есть домены, всё открыто, сервера в списках различных. Иногда использую как хостинг картинок, но только для себя. Мне удобнее выложить это у меня и кинуть на форуме ссылку, чем использовать тот же фастпик. К тому же, за это отвечаю я и пока держу это у себя - такого бардака, как было с ipicture и fastpic не будет.

Цитата

Сообщение от exchar

не боюсь показаться ламером, мне пофиг - как в вашем случае используется перманентно разрешенный входящий udp на веб-сервере?

UDP-пакеты пробрасываются только на 5 соответствующих портов, что нужны для TS3-сервера, без этого никак. Но нужно учесть, что если идёт платный UDP-флуд, то бить будут именно по UDP-портам TS3-сервера. Это не бесплатный дудос, когда UDP-порт выбирается рандомно.

На веб-сервер проброшен только TCP-80. Правила сделаны так:

1 - локальный трафик.
2 - дроп всего ICMP, TCP/UDP с портами источника 1-1023 и все TCP/UDP порты, которые мне не нужны (чтобы Керио дальше не искал по правилам соответствия)
3 - разрешён TCP-порт сервера запросов для TS3, но только для нескольких IP-адресов (сайты, ведущие статистику посещяемости TS3-серверов)
4 - два промежутка времени по 10-15 минут, когда меня чаще дудосили за всё время, блокируется по расписанию все входищие TCP/UDP с портами источника 1-49150

5) дроп некоторых диапазонов IP-адресов, которые мне точно не нужны. Много записей делать нельзя, т.к. это снижает производительность при большой нагрузке - тот же NTP-флуд (но если это будет срезано верхним правилом, с портом источника 123, то проблем не будет). Как-то введя 3000 записей - Керио просел конкретно, начав дропать пакеты и ядро ушло в полку, показав всего 12 мбайт/с. Опять всё упёрлось в одно ядро.

Потом 80-й порт для веб-сервера, за ним UDP-порты TS3-сервера для голоса и один TCP-порт для передачи данных.

И всё это стоит на одном ПК, на виндовс. Лишь под Керио выделен отдельный ПК, чтобы никакой VMWare не было.

Цитата

Сообщение от exchar

но эффективнее думаю поставить перед керио микротик с единственной функцией - блокировкой UDP.

Ещё син-флуд со спуфингом возможен. По-хорошему, давно надо поставить ставить Микротик и изучить его. Обратиться за помощью могу, но я должен сам понять, как это работает. А очень сильно лень. До сих пор помню, как в начале 2010-го пытался изучить свежекупленный D-Link DFL-800. Через три недели продал его тому человеку, который помогал его настроить

Ещё останавливает то, что Керио не стоит на месте. Несколько лет назад в нём даже нельзя было ограничить число одновременных подключений с одного IP-адреса. Теперь можно, тем самым можно не заморачиваться на простейшие синфлуды. Поставил 30 соединений и всё. Нормальному пользователю больше не нужно.

Цитата:

Сообщение от Mr.Torture

Когда сайты упали, не сразу даже сообразил, что это дидос - рестарчу демона - несколько секунд работает и опять умирает всё.

Я не думаю, что если Керио при этом выжил, то веб-сервер был настроен правильно. Что было в логах того же Керио? Подробный график загрузки каналов, процессора и памяти у Керио хранится 2 часа, потом он уезжает и превращается в график за 1 день. А там уже мало что можно увидеть. Именно поэтому я теперь и записываю экран, когда долго не могу посмотреть.

Цитата:

Сообщение от водку_хочешь

Кто их будет искать по всему миру?

На СБшном сленге слово "[Для просмотра данной ссылки нужно зарегистрироваться]" имеет конкретное значение.

Цитата:

Сообщение от водку_хочешь

не буду писать, а то меня заклюют

после kerio->gfi конструктивная критика в целом не банится
однако всегда возможны варианты

Цитата:

Сообщение от водку_хочешь

Но или им лень, или не умеют, или боятся проблем с совместимостью.

Предполагаю, что отказались по какой-либо причине. Такие киллер-фичи на дороге не валяются.

Цитата:

Сообщение от водку_хочешь

Хобби такое (искать приключения?)

ну, а что вы собственно хотели при таком раскладе?

на "дорого и сразу" денег нет, а качественный велосипед долго пилить лень - но можно пойти на форум к тем, кто продает "дешево и что-то" и замотивировать их улучшить свое ПО.
Задумка прикольная, но фикус в том что после kerio->gfi разрабы не завязаны на персонально этот форум вообще никак.
Есть офф форум на аглицком, можно туда поспам...сходить. Или написать письмо(а) на суппорт, давным-давно там был реквест фич вроде.
Есть группа во вконтакте, где живет бывшая (до kerio->gfi) нормальная поддержка (оригинальный расклад, ага).

Цитата:

Сообщение от водку_хочешь

если идёт платный UDP-флуд, то бить будут именно по UDP-портам TS3-сервера.

я малость не в теме - а у TS3 есть активно продвигающие свое ПО конкуренты?

Цитата:

Сообщение от водку_хочешь

Проходил человек мимо, было у него 5-10 минут неизрасходованных платного дудоса. Решил подгадить.

Если фигня происходит регулярно, то есть куча людей, которые случайно за бабло ддосят конкретный ресурс? Пахнет фантастикой.

Цитата:

Сообщение от водку_хочешь

но они просто зашли на сервер и сразу начался дудос, потом ушли

автоматическая проверка со стороны ддос-сервиса?
если бы я пилил ддос, то предусмотрел бы там аналог QoS (тестового юзера вышибло с сервиса - результат достигнут)

Цитата:

Сообщение от водку_хочешь

Правила сделаны так:

да нормально

Цитата:

Сообщение от водку_хочешь

Керио просел конкретно, начав дропать пакеты и ядро ушло в полку, показав всего 12 мбайт/с. Опять всё упёрлось в одно ядро.

с этим трудно что-то сделать
придется пилить волшебный линукс по статьям видимо и ставить перед керио

Цитата:

Сообщение от водку_хочешь

По-хорошему, давно надо поставить ставить Микротик и изучить его.

аналогично, я вот его тоже не знаю практически.

Цитата

Сообщение от exchar

я вот его тоже не знаю практически.

а штука надо сказать - мега! мегаштука!

я познакомился, маленько освоил, поэксплуатировал где-то с годик x86 версию
в контору купил девайс Cloud чегой-то там, в общем нормальный такой девайс, производительный, хотел украсть по увольнении, но не украл, надеюсь через годик его спишут и я его не ёбаного не юзаного таки утяну, он там нахрен никому не нужен оказался, а мне пригодится