Откуда столько соединений?

Question

[Denis Melnikov]

Всем привет.
с 8 утра наблюдаем нездоровую картину.
Есть сервер, выделенный, с 8 утра у него адский трафик на порту, занят весь. Полная загрузка процов. Сайт в 502 ушел ( весь сервак под 1 сайт )

По нетстату видно вот что

netstat -n -p | awk '{print $6}'|awk -F: '{print $1}' | sort -n | uniq -c | sort -nr | head -n10
48562 ESTABLISHED
9512 TIME_WAIT
8757 SYN_SENT
532 SYN_RECV
314 CONNECTED
197 FIN_WAIT1
58 FIN_WAIT2
8 LAST_ACK
3 CLOSING
2 CLOSE_WAIT

netstat -n -p | awk '{print $5}'|awk -F: '{print $1}' | sort -n | uniq -c | sort -nr | head -n10
28189 127.0.0.1

sudo netstat -nput | awk '{print $4}'|awk -F: '{print $2}' | sort -n | uniq -c | sort -nr | head -n10
52914 443
495 8888
76 11211
59 80
10
8 21
3 22
2 60998
2 60980
2 60968

Откуда такое и в чем может быть причина ?

Answer 1

[Wexter]

Судя по тому что вы скинули такое происходит из-за луны в фазе единорога.
Тут вполне видно что у вас 53к соединений на 443 порт, вот и разбирайтесь кто это и зачем подключается столько.
Может так и должно быть, просто у вас сервер уже не справляется с нагрузкой и пора наращивать мощности, а может вас конкуренты давят. Кто его знает

Comments

[Denis Melnikov]

Это для нас не оч нормально =)
мы ловили макс 600 клиентов онлайн. Это в черную пятницу.

А сейчас это какой то суровый ад.

Тем более , напрягает что 30к соединений от локалхоста... че это вообще.

Варик с DDoS тоже рассматриваем, но f2b уже должен был порезать все.

[Wexter]

Denis Melnikov, ну так и смотрите какие приложения к каким ломятся. Может разработчики чего накуралесили

[vreitech]

Denis Melnikov, от локалхоста может быть какой-нибудь балансировщик, например, haproxy. или соединения от фронта к бэку.

[Denis Melnikov]

vreitech, bitirx тут стоит... хз что он там может запрашивать в таком количестве.

[vreitech]

Denis Melnikov, ну почему сразу он? в подавляющем числе случаев запрашивают клиенты всё же, а дальше всё уходит по цепочке.

[Denis Melnikov]

vreitech, клиенты сейчас 502 страницу видят =)))

[Андрей]

Denis Melnikov, HTTP-флуд

Answer 2

[noute]

Если web то может быть ddos. Все что угодно.

Comments

[Denis Melnikov]

DDOS Был, да.
Но спасибо =) Ответ через год, тоже приятно читать

[noute]

Denis Melnikov, Сорян недвано зарегался. Если актуально лучше нарости горизантально мошьности. То что пришло в голову.