Падает сервер с сайтами

Не пойму что случилось. Стал постоянно отваливаться сервер. Перестает пинговаться и все сайты на нем уходят в аут.
На шлюзе вижу что на него постоянно идут arp запросы

[root@ldap named]# tcpdump -i vlan4 -nn -tt host 192.168.1.120
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on vlan4, link-type EN10MB (Ethernet), capture size 96 bytes
1377366142.169941 arp who-has 192.168.1.120 tell 192.168.1.77
1377366143.178915 arp who-has 192.168.1.120 tell 192.168.1.77
1377366144.178887 arp who-has 192.168.1.120 tell 192.168.1.77
1377366145.178858 arp who-has 192.168.1.120 tell 192.168.1.77
1377366146.188831 arp who-has 192.168.1.120 tell 192.168.1.77
1377366147.188806 arp who-has 192.168.1.120 tell 192.168.1.77
1377366148.188779 arp who-has 192.168.1.120 tell 192.168.1.77
1377366149.198750 arp who-has 192.168.1.120 tell 192.168.1.77
1377366150.198724 arp who-has 192.168.1.120 tell 192.168.1.77
1377366151.197696 arp who-has 192.168.1.120 tell 192.168.1.77

192.168.1.120 -- как раз вебсервер
192.168.1.77 -- сам шлюз (он перенаправляет трафик из вне на веб сервер)

Хз. От этого или нет. Подскажите куда капать пожалуйста.

З.Ы. Попутно вопрос. Вижу что сеть еще загружает торрент. Кто то на ночь врубил закачку. Как разорвать соединение? Пакеты уже значатся как ESTABILESHED и iptables на него не действует. Шлюз перезапускать не хочется.

И bind выдает вот такие ошибки на шлюзе. Вообще с DNS не понятки творятся. Что это?

Aug 24 21:57:56 ldap named[16984]: zone 0.in-addr.arpa/IN: loaded serial 42
Aug 24 21:57:56 ldap named[16984]: zone 168.192.in-addr.arpa/IN: loaded serial 4212
Aug 24 21:57:56 ldap named[16984]: zone 0.0.127.in-addr.arpa/IN: loaded serial 1997022700
Aug 24 21:57:56 ldap named[16984]: zone 255.in-addr.arpa/IN: loaded serial 42
Aug 24 21:57:56 ldap named[16984]: zone 0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa/IN: loaded serial 1997022700
Aug 24 21:57:56 ldap named[16984]: zone mageialinux.ru/IN: loaded serial 2007022600
Aug 24 21:57:56 ldap named[16984]: zone mgkb1.local/IN: loaded serial 6002
Aug 24 21:57:56 ldap named[16984]: zone localdomain/IN: loaded serial 42
Aug 24 21:57:56 ldap named[16984]: zone localhost/IN: loaded serial 42
Aug 24 21:57:56 ldap named[16984]: all zones loaded
Aug 24 21:57:56 ldap named[16984]: running
Aug 24 21:57:56 ldap named[16984]: zone mgkb1.local/IN: sending notifies (serial 6002)
Aug 24 21:57:56 ldap named[16984]: zone 168.192.in-addr.arpa/IN: sending notifies (serial 4212)
Aug 24 21:57:56 ldap named[16984]: zone mageialinux.ru/IN: sending notifies (serial 2007022600)
Aug 24 21:58:05 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.41.8#53
Aug 24 21:58:05 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.32.5#53
Aug 24 21:58:07 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.32.5#53
Aug 24 21:58:07 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.41.8#53
Aug 24 21:58:13 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.41.8#53
Aug 24 21:58:13 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.32.5#53
Aug 24 21:58:16 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.32.5#53
Aug 24 21:58:16 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.41.8#53

Занес 192.168.1.120 (webserver) в записи DNS и arp вроде как норм отработал

[root@ldap named]# arp -na | grep 120
? (192.168.1.120) at 52:54:00:20:2B:38 [ether] on vlan4

Но ARP все равно постоянно идут

arp who-has 192.168.1.120 tell 192.168.1.77

Попробуйте сделать более подробный вывод и посмотреть с какого mac идут запросы. Может кто то балуется ?

"XliN⇓" написал:

. Как разорвать соединение?

Отпрваить поддельный arp reply с ложным mac адресом и ip шлюза. Через пару минут отправить нормальный reply.

"marikk⇓" написал:

Попробуйте сделать более подробный вывод и посмотреть с какого mac идут запросы. Может кто то балуется ?

Каким образом? Кстати я отрубил всех кто качал, но сайты все равно так же не доступны. Пинги то есть, то нету. Сейчас все запросы перенаправил на другой сервер, заглушку. Так тот сервер сразу отвис и доступ к нему нормальный по ssh.

И я не пойму, почему из сети идут запросы на slave DNS сервер (192.168.3.223), он их не может обработать и перенаправляет на мастер DNS (192.168.1.77) тем самым получаю кучу запросов и логи растут.

Aug 24 21:58:05 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.41.8#53
Aug 24 21:58:05 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.32.5#53
Aug 24 21:58:07 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.32.5#53
Aug 24 21:58:07 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.41.8#53

Лечится отключением логирования на мастере, но это не выход думаю. Может где в сети вирус завелся?

Прошу помощи. Не знаю куда копать ((( Руки опускаются.

XliN написал:

Прошу помощи. Не знаю куда копать ((( Руки опускаются.

Я бы железо протестировал, и не только память. И блок питания и стресс-тесты погонял.

Да нет, железо тут, скорее всего, ни при чем, кто-то действительно балуется, я тут видел:

Aug 24 21:58:05 ldap named[16984]: error (unexpected RCODE REFUSED) resolving '133.157.184.178.in-addr.arpa/PTR/IN': 195.162.32.5#53

Эти два IP ведь извне, я правильно понимаю?

"yars⇓" написал:

Эти два IP ведь извне, я правильно понимаю?

Да. Из вне. Идут от DNS Slave. Если я на нем ставлю recursion no, то пропадают, но инет отваливается у всех, кто использует этот DNS Slave как основной.
Бинды на все обновлены до последней версии. Система CentOS 5.8 и 6.2

Получается 195.162.32.5 не может отрезолвиться на Slave и пересылает его на форвадинг (мастер). Только не понятно почему обратная зона. Могу ошибаться.

XliN написал:

[quote="yars⇓"]Эти два IP ведь извне, я правильно понимаю?

Да. Из вне. Идут от DNS Slave. Если я на нем ставлю recursion no, то пропадают, но инет отваливается у всех, кто использует этот DNS Slave как основной.
Бинды на все обновлены до последней версии. Система CentOS 5.8 и 6.2

Получается 195.162.32.5 не может отрезолвиться на Slave и пересылает его на форвадинг (мастер). Только не понятно почему обратная зона. Могу ошибаться.[/quote]
А как они вообще из вне к вам попадают? Вывесил slave dns наружу?

recursion no

Ну так надо прописать вот так, а не как ты прописываешь:

allow-recursion   { 127.0.0.1; 10.168.50.0/24;};

Где:

127.0.0.1 - адрес внутренней петли
10.168.50.0/24 - адрес локальной сети

Обычно вот такую вставку надо вставлять для авториатрного DNS сервера:

allow-query       { any;};
allow-query-cache { 127.0.0.1; 10.168.50.0/24;};
allow-recursion   { 127.0.0.1; 10.168.50.0/24;};

Нельзя чтобы рекурсивные запросы шли от других DNS серверов на твой.
Поэтому в allow-recursion только твои доверенные сети и компы.

AlfaStriker, Не надо меня совсем за идиота держать. У меня так и было прописано. Если прочитать внимательно, то можно понять что вопрос стоит в том что бы узнать с какого лешего лезет обратная зона.

Конфигов твоих не видно, вот и дал маленький советик :)
Как решил проблему?

"AlfaStriker⇓" написал:

Конфигов твоих не видно, вот и дал маленький советик

Ты извини. На нервах был. Не серчай.

"AlfaStriker⇓" написал:

Как решил проблему?

Да понимаешь какое дело, как то само все перестало. Походу мини атака =( Другого объяснения не нахожу.

"XliN⇓" написал:

Походу мини атака

хм, с какого места интересно она исходила *SCRATCH*

"XELFAER⇓" написал:

хм, с какого места интересно она исходила 

Хз. Может и нет. Просто уже и не знал на что подумать. Сейчас все нормализовалось.