Esta pregunta parece estar recibiendo muchos puntos de vista pero todavía no hay respuesta, por lo que decidí responder mi propia pregunta a cualquiera que busque una solución.
Lo primero es lo primero, saber que el motivo es la mitad de la solución. Estaba bajo lo que se llama SYN Flooding Attack que usa el comportamiento del protocolo HTTP contra sí mismo
En pocas palabras, el cliente remoto intenta establecer una conexión con su servidor enviando SYN, su servidor responde con SYN_ACK (en sus registros usted verá SYN_SENT) y esperará hasta que reciba ACK. Si ACK no se recibe dentro de xx segundos, su servidor enviará SYN_ACK de nuevo, .... y nuevamente .... y nuevamente. Eventualmente alcanzará el umbral configurado y dejará de aceptar más solicitudes SYN haciendo que su servidor no responda. Uno de los síntomas que me sucedió fue que mi sitio web respondía una vez, como si nada estuviera mal pero no respondiera en los próximos xx veces.
La solución que funcionó para mí fue habilitar las cookies SYN, SSH en el servidor, abra el siguiente archivo con su editor favorito. Estoy usando vi en este ejemplo
vi /etc/sysctl.conf
Y agregue estas líneas al archivo, luego reinicie su servidor. Esperamos que esto detener el ataque como lo hizo para mí
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog = 2048
net.ipv4.tcp_synack_retries = 3
que estaba usando CentOS, creo que la solución anterior funcionará en todas las distribuciones, pero en caso de que no lo busco "Cómo dejar de ataque SYN flooding" para su distribución Linux
en una nota, el bloqueo de las IPs que inician las solicitudes SYN probablemente no servirá porque lo más probable que el atacante ha falsificado las IPs
Ejecutar '-pnt' netstat para obtener el nombre del proceso que posee los enchufes. –
@AlanCurry: tcp 0 1 213.163.64.207:39316 154.45.206.59:443 SYN_ SENT 12388/httpd. está abierto por httpd pero veo el puerto 443 allí, ¿no es raro? – EGN
Entonces será mejor que mire su servidor web y vea qué podría causarle una conexión HTTPS saliente. Por cierto, cuando intento una solicitud https a esa dirección IP, recibo una redirección a rapidshare.com, por lo que puede ser una pista sobre qué buscar –