การเข้าชม NTP แปลก


10

ฉันมี openSUSE VMs จำนวนมาก (ส่วนใหญ่เป็น 13.1) หนึ่งใน VMs ถูกกำหนดค่าให้ซิงค์เวลากับโลกภายนอกและอีกอันหนึ่งซิงค์กับอันนี้ สิ่งนี้ไม่เคยทำให้เกิดปัญหา (ที่ฉันรู้)

ตอนนี้ฉันสังเกตเห็นว่า ntpd บน VM ที่เชื่อมต่อภายนอกทำให้เกิดโหลด CPU ประมาณ 9% (อย่างถาวร!) และทำการเชื่อมต่อกับโฮสต์ 15+ ทำให้เกิดการรับส่งข้อมูลขาออกประมาณ 100K / s และปริมาณการรับส่งข้อมูลขาเข้าในระดับที่ต่ำกว่าเล็กน้อย พอร์ต UDP 123) - ซึ่งยังคงดำเนินต่อไป (ตอนนี้เป็นเวลาหลายนาที) หลังจากฉันหยุด ntpd และไม่มีทราฟฟิกขาออกดังกล่าวอีกต่อไป

ฉันกำหนดค่า ntpd ให้กับที่อยู่สระว่ายน้ำ de.pool.ntp.org แต่นั่นไม่ได้สร้างความแตกต่าง

ฉันทำการอัพเกรด distro (การบูตจาก DVD) และหลังจากนั้นแม้ติดตั้ง ntp ใหม่โดยไม่มีการเปลี่ยนแปลงใด ๆ

แก้ไข: ปัญหา "แก้ไข"

หลังจากที่ฉันบล็อก UDP 123 ที่เข้ามาจะntpdทำหน้าที่ตามปกติ ฉันยังไม่เข้าใจว่าอะไรทำให้เกิดสิ่งนี้ ไม่ควรเชื่อมต่อกับพอร์ต VM นี้จากด้านนอก ไม่มีการส่งต่อพอร์ตในเราเตอร์ VDSL

แต่: ไม่กี่นาทีที่ผ่านมาฉันส่งแพ็กเก็ต UDP ไปที่พอร์ต 123 จากอินเทอร์เน็ตและ (ทำไม) เราเตอร์ VDSL ส่งต่อไปยัง VM ถ้าฉันทำซ้ำตอนนี้แพ็กเก็ตจะไม่ไปถึง VM อีกต่อไป อาจเป็นผลข้างเคียงที่แปลกประหลาดของการเชื่อมต่อ UDP 123 จำนวนมาก

ฉันจะปิดกั้นการรับส่งข้อมูลนี้ยกเว้นเซิร์ฟเวอร์ที่ต้องการ


โฮสต์ที่มีปัญหาคืออะไร
Faheem Mitha

2
นี่คือในข่าวเมื่อเร็ว ๆ นี้: blog.cloudflare.com/... การโจมตีที่ใหญ่ที่สุดที่เคยบันทึกไว้นั้นสามารถทำได้โดยใช้ NTPD เป็นการโจมตีแบบขยาย
slm

1
เป็นไปได้ว่าอนุญาตให้เข้าถึงจากภายนอกผ่าน UPnP แทนที่จะส่งต่อพอร์ตที่ชัดเจน ไม่น่าแม้ว่า
บ๊อบ

คำตอบ:


14

หากคุณมี NTP Reflection ที่เปิดใช้งานเซิร์ฟเวอร์ NTP ของคุณอาจถูกใช้เป็นส่วนหนึ่งของ DDoS เพื่อให้แน่ใจว่าการสะท้อน NTP ถูกปิดใช้งานให้เพิ่มสิ่งนี้ในntp.conf:

disable monitor

จากนั้นเริ่มntpบริการทั้งหมด

ข้อมูลเพิ่มเติมเกี่ยวกับ DDoS ที่ใช้ NTP: http://blog.cloudflare.com/understanding-and-mitigating-ntp-based-ddos-attacks


ดูการแก้ไขคำถามของฉัน ฉันสับสนเล็กน้อยเพราะระบบนี้ไม่ควรเข้าถึงได้จากพอร์ตนี้จากด้านนอก
Hauke ​​Laging
โดยการใช้ไซต์ของเรา หมายความว่าคุณได้อ่านและทำความเข้าใจนโยบายคุกกี้และนโยบายความเป็นส่วนตัวของเราแล้ว
Licensed under cc by-sa 3.0 with attribution required.