Problem mit Webserver (Auslastung? DoS? Flooding?)

[n0fear]

Ich habe folgendes Problem.
Ich betreibe einen Webserver (2800+, 512 MB Ram s4you Rechenzentrum) auf dem "nur" eine einzige Seite rennt. Es handelt sich hierbei um eine Community mit ca. 15.000 Besuchern am Tag. Bzw. 2500 angemeldeten Usern und etwa 200-300 gleichzeitigen. Die Seite läuft auf dem CMS joomlas (ehem. mambo).

Nun ist unsere Seite in letzter Zeit plötzlich schwer zu erreichen. Manchmal geht es mehere Minuten bis sie geöffnet ist. Hat mir jemand eine idee wie ich herausfinden kann ob/welche ip unsere Seite mit DoS oder mit einem Script (das z.b. ständig mit mehreren connectiosn die datenbank quält) unsere Seite zum abliegen bringt? Snort habe ich mal installiert finde aber nichts dort.

Oder könnte es echt ein Hardware Problem (zu wenig ram z.b.) sein? Unsere Datenbank Mysql ist ca. 35 mb groß

[duergner]

Hmm ich würde zuerst mal die Apache Logfiles durchsehen. Dort solltest du ja erkennen können wieviele Anfragen in welchen Zeitabständen können.

Für die Hardwareausslastung gibt es z.B. Munin.

[alexander newald]

Ist der Server von aussen dann noch mit normalen Pingwerten zu erreichen?

Wenn der Server mal langsam ist, per SSH einloggen und

free -m
netstat
mysqladmin -u root -p -h 127.0.0.1 processlist
ps axw|grep httpd|wc -l

ausführen und dann posten

[n0fear]

Also wir haben nun einen neuen Server mit 2 Gig Ram und 3,8 GHZ... naja leider immer noch das gleiche Problem :( manchmal rennt das CMS pfeilschnell mit 200 usern dann mal wieder total langsam mit 150 usern gleichzeitig :( ... hat jemand eine Idee?

Firewall ist an sowohl eine externe (1und1) sowie auf dem Server selbst. Hab langsam keine Ahnung mehr :(

Hab hier mal alles posted:

p15xxxxxxx:~ # top
top - 17:21:26 up 15 days, 17:31, 1 user, load average: 24.78, 13.83, 9.71
Tasks: 159 total, 14 running, 137 sleeping, 0 stopped, 8 zombie
Cpu(s): 66.8% us, 33.2% sy, 0.0% ni, 0.0% id, 0.0% wa, 0.0% hi, 0.0% si
Mem: 2027104k total, 1617432k used, 409672k free, 17028k buffers
Swap: 3919840k total, 16280k used, 3903560k free, 695820k cached

PID USER PR NI VIRT RES SHR S %CPU %MEM TIME+ COMMAND
26452 mysql 16 0 110m 42m 4072 S 86.1 2.1 1542:19 mysqld
4622 wwwrun 16 0 125m 20m 4004 R 3.9 1.0 0:00.47 httpd2-prefork
4620 wwwrun 15 0 123m 19m 3900 S 3.3 1.0 0:00.55 httpd2-prefork
4438 wwwrun 16 0 126m 22m 3868 R 1.3 1.1 0:00.71 httpd2-prefork
3290 wwwrun 16 0 125m 20m 4096 R 1.0 1.1 0:02.92 httpd2-prefork
1229 root 16 0 8508 1352 952 R 0.7 0.1 0:02.33 top
4765 wwwrun 16 0 126m 22m 3728 R 0.7 1.1 0:00.30 httpd2-prefork
4782 wwwrun 16 0 116m 11m 3332 S 0.7 0.6 0:00.02 httpd2-prefork
3498 wwwrun 16 0 127m 22m 4052 R 0.3 1.1 0:02.17 httpd2-prefork
3804 wwwrun 16 0 127m 22m 4068 R 0.3 1.1 0:00.96 httpd2-prefork
4654 wwwrun 16 0 124m 20m 3984 R 0.3 1.0 0:00.45 httpd2-prefork
1 root 16 0 724 84 56 S 0.0 0.0 0:02.02 init
2 root RT 0 0 0 0 S 0.0 0.0 0:00.00 migration/0
3 root 34 19 0 0 0 S 0.0 0.0 0:00.04 ksoftirqd/0
4 root RT 0 0 0 0 S 0.0 0.0 0:00.00 watchdog/0
5 root 10 -5 0 0 0 S 0.0 0.0 0:00.00 events/0
6 root 10 -5 0 0 0 S 0.0 0.0 0:00.01 khelper
p15xxxxxxx:~ # free -m
total used free shared buffers cached
Mem: 1979 1554 424 0 16 679
-/+ buffers/cache: 858 1121
Swap: 3827 15 3812
p15xxxxxxx:~ # netstat
Active Internet connections (w/o servers)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 p15xxxxxxx.pure:www-http p549F531F.dip.t-di:1127 SYN_RECV
tcp 0 0 p15xxxxxxx.pure:www-http ACB4152C.i:newlixengine FIN_WAIT2
tcp 0 0 p15xxxxxxx.pure:www-http p549F6AB3.dip.t-d:63701 FIN_WAIT2
tcp 0 0 p15xxxxxxx.pure:www-http ACB4152C.i:newlixconfig FIN_WAIT2
tcp 0 0 p15xxxxxxx.pure:www-http p549F0C7B.d:tdm-over-ip ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http dialin-2:ipether232port ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p549F0C7B.di:ias-admind ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p549F0C7B.di:appworxsrv TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http p549FCECB.dip.t-:savant TIME_WAIT
tcp 0 194 p15xxxxxxx.pure:www-http p549F2F26.:splitlock-gw ESTABLISHED
tcp 0 194 p15xxxxxxx.pure:www-http p549F2F26.dip0.t-i:nmmp ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p549F7786.d:ctdhercules TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http p549F7786.d:ctdhercules TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http p549F7786.dip.t-d:zicom TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http p549FCECB:d2k-tapestry1 TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http p549AD574.dip.t:rib-slm TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http p549AD372.di:aic-oncrpc TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http cache-frr-aa07.pr:50089 ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p549F6AB3.dip.t-d:62341 FIN_WAIT2
tcp 0 0 p15xxxxxxx.pure:www-http cache-frr-aa05.pr:33951 ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p549AD372.dip:dicom-tls TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http pD9F8304B.dip.t-di:1151 TIME_WAIT
tcp 0 980 p15xxxxxxx.pureserve:ssh Ka7c6.k.pppool.de:ica ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http pD9F8304B.dip.t-di:1146 TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http p549AD574.d:cart-o-rama TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http p549AD574.dip.t-:fg-gip TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http cache-frr-ae09.pr:33798 ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p549F1B64.:ibridge-mgmt ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p549F1B64:bluectrlproxy ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p549F1B64.di:pcttunnell TIME_WAIT
tcp 0 0 localhost.localdo:12277 localhost.localdo:https TIME_WAIT
tcp 0 0 localhost.localdo:12276 localhost.localdo:https TIME_WAIT
tcp 0 0 localhost.localdo:12279 localhost.localdo:https TIME_WAIT
tcp 0 0 localhost.localdo:12278 localhost.localdo:https TIME_WAIT
tcp 0 0 localhost.localdo:12273 localhost.localdo:https TIME_WAIT
tcp 0 0 localhost.localdo:12272 localhost.localdo:https TIME_WAIT
tcp 0 0 localhost.localdo:12275 localhost.localdo:https TIME_WAIT
tcp 0 0 localhost.localdo:12274 localhost.localdo:https TIME_WAIT
tcp 0 0 localhost.localdo:12281 localhost.localdo:https TIME_WAIT
tcp 0 0 localhost.localdo:12280 localhost.localdo:https TIME_WAIT
tcp 0 0 localhost.localdo:12283 localhost.localdo:https TIME_WAIT
tcp 0 0 localhost.localdo:12282 localhost.localdo:https TIME_WAIT
tcp 0 0 localhost.localdo:12269 localhost.localdo:https TIME_WAIT
tcp 0 0 localhost.localdo:12268 localhost.localdo:https TIME_WAIT
tcp 0 0 localhost.localdo:12271 localhost.localdo:https TIME_WAIT
tcp 0 0 localhost.localdo:12270 localhost.localdo:https TIME_WAIT
tcp 0 0 localhost.localdo:12265 localhost.localdo:https TIME_WAIT
tcp 0 0 localhost.localdo:12267 localhost.localdo:https TIME_WAIT
tcp 0 0 localhost.localdo:12266 localhost.localdo:https TIME_WAIT
tcp 0 24840 p15xxxxxxx.pure:www-http pD9F8304B.dip.t-dia:nfa ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p549F1B64.dip0:mysql-im TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http p549FEE31.:netbill-cred ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p549FEE31.dip.t-dia:ill ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p549F1E43.dip0.t-:33012 FIN_WAIT2
tcp 0 0 p15xxxxxxx.pure:www-http p549F1E43.dip0.t-:33014 ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p549F1754.dip0.t-:63227 ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p549F79B0.dip.t-d:13171 TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http cache-frr-ae11.pr:54482 ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p549F79B0.dip.t-d:13172 TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http cache-frr-aa09.pr:57679 ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http cache-frr-ae11.pr:54481 ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p549F1754.dip0.t-:63229 TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http p549F6689.dip.t-:ultrex ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p549F1EFD.dip0.t-:radio TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http p549F6EAD.dip.t-di:chmd TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http p549F6EAD.dip.t:ndl-aps TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http p549F6EAD.di:slslavemon TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http p549F1EFD:simbaservices TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http p549F6EAD.di:autocuesmi ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p549F6689.dip.t-d:ewall ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p549F6EAD.dip.:hp-pxpib TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http cache-frr-aa03.pr:39705 ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p549F7C8B.dip.t-d:21780 ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p549FE1AC.dip.t-di:4540 TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http B74ac.b.pppoo:ff-annunc TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http 80.245.147.81:37817 TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http proxydmz01.kivbf.:33340 TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http p549F4854.dip0.t-:63293 ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http cache-frr-ad08.pr:39605 ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p549F4854.dip0.t-:63291 ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p549FEDE7.:virtual-time FIN_WAIT2
tcp 0 0 p15xxxxxxx.pure:www-http K91d3.k.pppool.de:62940 TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http p549FEDE:fiorano-msgsvc ESTABLISHED
tcp 733 0 p15xxxxxxx.pure:www-http B74c0.b.pppool.de:1140 ESTABLISHED
tcp 780 0 p15xxxxxxx.pure:www-http B74c0.b.pppool.de:1139 ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http ACD08369.ipt.aol.:38389 ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http proxydmz01.kivbf.:38268 TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http ACD08369.ipt.aol.:38387 ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http 80.245.147.81:37321 TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http p549FF684.dip.t:sdproxy ESTABLISHED
tcp 0 13800 p15xxxxxxx.pure:www-http p549F14C2.dip0.t-:61363 CLOSE_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http 85.216.88.20:61038 TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http K91d3.k.pppool.de:62960 TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http B74ac.b.pppool.de:socks TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http B74ac.b:cplscrambler-in TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http B74c0.b.pppool.d:sacred TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http cache-frr-ac10.pr:38438 ESTABLISHED
tcp 0 9660 p15xxxxxxx.pure:www-http p549AF0A:isbconference2 ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http proxydmz01.kivbf.:39855 TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http proxydmz01.kivbf.:37035 TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http K91d3.k.pppool.de:62986 ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http dialin-2:aeroflight-ads ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http dialin-2:aeroflight-ret ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http K91d3.k.pppool.de:62979 ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http proxydmz01.kivbf.:36992 TIME_WAIT
tcp 0 13800 p15xxxxxxx.pure:www-http p549AF0A2.dip.t-:de-noc ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http dialin109047.just:64773 TIME_WAIT
tcp 0 13800 p15xxxxxxx.pure:www-http p54924E92.dip.t-d:15889 ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p85.212.203.223.t:61339 ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p549FE852.dip.t:noagent ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p85.212.203.223.t:61337 ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http dialin109047.just:64793 TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http dialin109047.just:64792 TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http cache-frr-ac08.pr:55151 ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p549FE852.dip:metaagent ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http proxydmz01.kivbf.:33276 TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http dialin109047.just:64791 TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http p549FE852.dip.:linkname TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http p549FCCB2.dip0.t-:12948 TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http cache-frr-ac06.pr:39260 ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http cache-frr-aa06.pr:50455 ESTABLISHED
tcp 0 0 p15xxxxxxx.pure:www-http p549FE85C.di:tarantella TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http p549FE85C.dip.t-:vmodem TIME_WAIT
tcp 0 7095 p15xxxxxxx.pure:www-http proxydmz01.kivbf.:35294 CLOSING
tcp 0 0 p15xxxxxxx.pure:www-http p549FE85C.dip.t:seaview TIME_WAIT
tcp 0 0 p15xxxxxxx.pure:www-http p549FE85C.di:rdc-wh-eos TIME_WAIT
udp 0 0 localhost.l:filenet-rpc localhost.l:filenet-rpc ESTABLISHED
Active UNIX domain sockets (w/o servers)
Proto RefCnt Flags Type State I-Node Path
unix 12 [ ] DGRAM 2486 /dev/log
unix 2 [ ] DGRAM 2489 /var/lib/named/dev/log
unix 2 [ ] DGRAM 2490 /var/lib/ntp/dev/log
unix 2 [ ] DGRAM 1222 @udevd
unix 3 [ ] STREAM CONNECTED 10727039 /var/lib/mysql/mysql.sock
unix 3 [ ] STREAM CONNECTED 10727038
unix 3 [ ] STREAM CONNECTED 10727030 /var/lib/mysql/mysql.sock
unix 3 [ ] STREAM CONNECTED 10727029
unix 3 [ ] STREAM CONNECTED 10727019 /var/lib/mysql/mysql.sock
unix 3 [ ] STREAM CONNECTED 10727018
unix 3 [ ] STREAM CONNECTED 10727012 /var/lib/mysql/mysql.sock
unix 3 [ ] STREAM CONNECTED 10727011
unix 3 [ ] STREAM CONNECTED 10726945 /var/lib/mysql/mysql.sock
unix 3 [ ] STREAM CONNECTED 10726944
unix 3 [ ] STREAM CONNECTED 10726828 /var/lib/mysql/mysql.sock
unix 3 [ ] STREAM CONNECTED 10726827
unix 3 [ ] STREAM CONNECTED 10726800 /var/lib/mysql/mysql.sock
unix 3 [ ] STREAM CONNECTED 10726799
unix 3 [ ] STREAM CONNECTED 10726583 /var/lib/mysql/mysql.sock
unix 3 [ ] STREAM CONNECTED 10726582
unix 2 [ ] DGRAM 10595175
unix 2 [ ] DGRAM 10595168
unix 2 [ ] DGRAM 10291455
unix 2 [ ] DGRAM 10291232
unix 2 [ ] DGRAM 8918866
unix 2 [ ] DGRAM 8918723
unix 2 [ ] DGRAM 8918673
unix 2 [ ] DGRAM 8918462
unix 2 [ ] DGRAM 4041
unix 2 [ ] DGRAM 2657

[n0fear]

Gibt es denn n Tool um die Apache Logs auszuwerten? Wie soll ich sonst "echte" User von Floodern oder DOS unterscheiden?

[Joe User]

http://www.rootforum.org/forum/viewtopic.php?t=36343
http://www.rootforum.org/forum/viewtopic.php?t=36346

[n0fear]

@joe user
Vielen Dank schonmal! Werd ich mir gleich genauer ansehen. Ich weis nur nicht, der Server läuft über PLESK keine ahnung, kann man da einfach die confs austauschen oder überschreibt plesk die wieder? Problem ist halt irgendwie das ich nicht weis, ob jemand einfach unsere Seite stören möchte (ist ne locale Partycommunity mit Fotos usw.) oder obs echt n Performance problem ist (die Seite läuft auf Mambo/Joomla - immer die neuste Version)

[braindead]

ich, also nach meinen Erfahrungen mit Joomla liegt das wahrscheinlich am Joomla. Welche Module lädst du, ein absoluter brüller ist das extcal Module das alleine sage und schreibe 50 SQL Queries macht :( Wir hatten mit Joomla die selben Probs, nach ein wenig tuning läuft die Sache auf einem 2.4GhZ Rechner mit 521MB RAM auch bei 200 Leute online noch ohne Probleme.

[n0fear]

Ja das ist schon ein problem, auf der Startseite haben wir verdammt viele Module. Was habt ihr getuned? Das ExCal module haben wir auch um die Events anzuzeigen. Schau doch mal auf http://www.hochrhein.biz evtl. hast du noch ne weitere Idee!?... kann man an dem Modul was drehen oder hilft nur das Abschalten?

[braindead]

Das meiste hat wohl http://pear.php.net/package/Cache_Lite gebracht (90% unserer Seite wird statisch ausgeliefert), in Verbindung mit dem APC und dem Ligthhttp als Webserver. Schalte mal den debug mode ein und guck dir an wieviel SQL deine Seiten machen.

Noch so ein paar Killer auf der seite sind das Forum (ca. 50 Sqls pro aufruf) und der Community Builder (wenn ich das richtig sehe).

Ich hab noch so ca. 20 Indexe in die SQL Datenbank eingebaucht (für myPMS usw.)

Das ganze geht halt ein wenig hier am Thema vorbei... hab dir mal ne PN geschickt...