Salut,
La semaine derniere mon serveur heberge chez Online a ete arrete pour cause de "trafic reseau non autorise" (je ne me souviens plus exactement du message mais l'idee est la).
Une fois le reboot fait, je suis alle verifier du cote des logs et comme j'avais mis une regle iptables pour enregistrer les paquets invalide j'ai ca juste avant l'arret du serveur (c'est le nombre exact de logs qui ont ete enregistres avant l'arret du serveur, les xxx represente l'ip publique du serveur) :
Jun 15 15:56:00 monserver kernel: [13031479.962036] OUTPUT INVALID PACKET : IN= OUT=eth0 SRC=xxx.xxx.xx.xx DST=45.79.74.233 LEN=40 TOS=0x00 PREC=0x00 TTL=64 ID=62918 DF PROTO=TCP SPT=80 DPT=34586 WINDOW=0 RES=0x00 RST URGP=0
Jun 15 15:56:01 monserver kernel: [13031480.949325] OUTPUT INVALID PACKET : IN= OUT=eth0 SRC=xxx.xxx.xx.xx DST=45.79.74.233 LEN=40 TOS=0x00 PREC=0x00 TTL=64 ID=63106 DF PROTO=TCP SPT=80 DPT=34586 WINDOW=0 RES=0x00 RST URGP=0
Jun 15 15:56:03 monserver kernel: [13031483.004007] OUTPUT INVALID PACKET : IN= OUT=eth0 SRC=xxx.xxx.xx.xx DST=45.79.74.233 LEN=40 TOS=0x00 PREC=0x00 TTL=64 ID=63525 DF PROTO=TCP SPT=80 DPT=34586 WINDOW=0 RES=0x00 RST URGP=0
Jun 15 15:56:07 monserver kernel: [13031487.060148] OUTPUT INVALID PACKET : IN= OUT=eth0 SRC=xxx.xxx.xx.xx DST=45.79.74.233 LEN=40 TOS=0x00 PREC=0x00 TTL=64 ID=63531 DF PROTO=TCP SPT=80 DPT=34586 WINDOW=0 RES=0x00 RST URGP=0
Jun 15 15:56:15 monserver kernel: [13031494.962609] OUTPUT INVALID PACKET : IN= OUT=eth0 SRC=xxx.xxx.xx.xx DST=45.79.74.233 LEN=40 TOS=0x00 PREC=0x00 TTL=64 ID=64222 DF PROTO=TCP SPT=80 DPT=34586 WINDOW=0 RES=0x00 RST URGP=0
Jun 15 15:56:31 monserver kernel: [13031511.398938] OUTPUT INVALID PACKET : IN= OUT=eth0 SRC=xxx.xxx.xx.xx DST=45.79.74.233 LEN=40 TOS=0x00 PREC=0x00 TTL=64 ID=103 DF PROTO=TCP SPT=80 DPT=34586 WINDOW=0 RES=0x00 RST URGP=0
Jun 15 15:57:04 monserver kernel: [13031543.842873] OUTPUT INVALID PACKET : IN= OUT=eth0 SRC=xxx.xxx.xx.xx DST=45.79.74.233 LEN=40 TOS=0x00 PREC=0x00 TTL=64 ID=5898 DF PROTO=TCP SPT=80 DPT=34586 WINDOW=0 RES=0x00 RST URGP=0
Donc arret du serveur le "Jun 15 15:57:04", 1 minute apres l'apparition des premieres logs.
D'apres ce que je comprends c'est mon apache (port source 80) qui a cherche a realiser une connexion sur l'ip 45.79.74.233 (que je n'ai pas pu identifier, le FAI est Linode et cette ip se trouve en Californie).
Le serveur est installe depuis pas mal de temps sans modifications logiciel depuis au moins un mois (pour precisions le serveur ne fait pas office de seedbox). Et c'est la premiere fois que ca arrive.
Est-ce que vous avez une idee sur comment investiguer plus cette situation afin de trouver le "coupable" et eviter que ca ne se reproduise?
