1 votes

Richie086 avatar

Les journaux HAProxy affichent des adresses IP externes essayant d'accéder à des domaines qui ne sont pas hébergés par mon entreprise.

Demandé el 8 de Juin, 2020
Quand la question a-t-elle été
217 affichage
Nombre de visites la question a
1 Réponses
Nombre de réponses aux questions
Résolu
Situation réelle de la question

Donc, je parcourais mes journaux HAProxy plus tôt aujourd'hui et j'ai remarqué quelques demandes étranges provenant d'adresses IP externes vers des domaines que nous n'hébergeons pas.

Par exemple

Jun  8 06:25:56 haproxy haproxy[6316]: 185.108.107.19:54243 [08/Juin/2020:06:25:56.731] localhost localhost/ -1/-1/-1/-1/13 503 213 - - SC-- 2/2/0/0/0 0/0 "CONNECT chekfast.zennolab.com:443 HTTP/1.1
Jun  8 06:26:33 haproxy haproxy[6316]: 185.108.107.19:54598 [08/Juin/2020:06:26:33.855] localhost localhost/ -1/-1/-1/-1/3 400 188 - - PR-- 0/0/0/0/0 0/0 ""
Jun  8 06:34:07 haproxy haproxy[6316]: 94.200.76.222:55958 [08/Juin/2020:06:34:07.906] localhost localhost/ -1/-1/-1/-1/0 503 213 - - SC-- 0/0/0/0/0 0/0 "POST /cgi-bin/mainfunction.cgi HTTP/1.1"
Jun  8 06:46:05 haproxy haproxy[6316]: 14.221.172.38:2184 [08/Juin/2020:06:46:05.845] localhost localhost/ -1/-1/-1/-1/11 503 213 - - SC-- 6/6/0/0/0 0/0 "GET http://api.gxout.com/proxy/check.aspx HTTP/1.1"
Jun  8 06:59:49 haproxy haproxy[6316]: 223.12.75.250:17883 [08/Juin/2020:06:59:49.392] localhost localhost/ -1/-1/-1/-1/0 503 213 - - SC-- 11/11/0/0/0 0/0 "HEAD http://123.125.114.144/ HTTP/1.1"

De ce que je peux voir, la personne (ou le script) qui fait cela obtient des codes de réponse comme 503 (Service non disponible), ce qui me laisse espérer que la demande ne se déroule pas correctement - mais y a-t-il un moyen d'empêcher ce type de demandes d'être faites en premier lieu? Nous exécutons la version HAProxy 1.6.3 sur Ubuntu 16.04.4 LTS.

Merci

Demandé el 8 de Juin, 2020 par Richie086

Réponse

Trop de publicités?

1voto

Altimus Prime avatar
Altimus Prime Points 324

Vous ne pouvez pas empêcher les gens de faire une demande, mais vous pouvez limiter le nombre de fois qu'une adresse IP donnée fait certaines demandes.

Au niveau du serveur, j'utilise fail2ban et je définis les geôles et les règles selon mes besoins, de sorte qu'aucune adresse IP ne puisse faire plus que le nombre prédéfini de mauvaises demandes et cela réduit considérablement le nombre total de demandes au serveur. Pour plus d'informations sur la manière de l'utiliser, de créer des règles spécifiques et de définir les fichiers journaux selon vos besoins, visitez :

https://www.fail2ban.org/wiki/index.php/MANUAL_0_8

HAProxy dispose d'un outil intégré qui fait quelque chose de similaire que vous pouvez consulter sur :

https://haproxy.com/blog/bot-protection-with-haproxy

Si je comprends bien, HAProxy ne s'occupe que des demandes routées vers les ports dont il est responsable. fail2ban peut avoir des règles pour les demandes sur n'importe quel port, donc si ce n'est pas déjà en cours d'exécution et que vous regardez vos journaux sécurisés, il y a probablement beaucoup de personnes qui sondent vos ports 22, 3306 et autres.

Répondu el 10 de Juin, 2020 par Altimus Prime (324 Points )

Questions en vedette

Top Tags

Dans notre réseau

SistemesEz.com

SystemesEZ est une communauté de sysadmins où vous pouvez résoudre vos problèmes et vos doutes. Vous pouvez consulter les questions des autres sysadmins, poser vos propres questions ou résoudre celles des autres.

Powered by:

Yandex
X