Shell macht Probleme (Connection refused)

[snowduck]

Guten Abend Miteinander,

im moment hat mein Linux Debian Server ein sehr mysteriöses Problem. Alle paar Stunden ist der Server nicht mehr erreichbar.
Über die Shell kann ich mich dann nicht mehr einloggen. Also Connection refused.

Nach einigen Minuten wenn nicht Stunden, geht es dann plötzlich wieder. Was es zusagen gibt ist, dass wenn ich nicht mehr darauf connecten kann, ist der Teamspeak 2 Server und der Minecraft Server offline bzw. wie vom Internet getrennt. Die Homepage und Phpmyadmin sind jedoch weiterhin erreichbar. Plötzlich ist der Server wieder da und der Teamspeak und Minecraft Server auch ohne das diese sich beendet haben.

Kenn evtl. jemand eine Lösung für das Problem?

Habe mir schon überlegt ob es an Failban liegen könnte.

Grüsse
snowduck

[Cae]

Falls die Meldung "Connection refused" tatsächlich zutreffend ist, ja das könnte…

ob es an Failban liegen könnte.

… der Fall sein. Schon mal in dessen Logs geschaut, den Dienst testweise abgeschaltet?
Ohne irgendwelche Logs oder Hinweise wird man dir nicht helfen können. Bei deinen rudimentär wirkenden Fähigkeiten solltest du dir ernsthaft Gedanken machen, ob ein Server draußen wirklich die beste Idee ist.

Gruß Cae

[Natureshadow]

Habe mir schon überlegt ob es an Fail2ban liegen könnte.

Ja.

[snowduck]

Fail2ban werde ich mal abschalten. Log Auszüge kann ich euch gleich übermitteln.

Ich gebe deiner Aussage zwar absolut recht, denn ich kenne genug Menschen welche nicht einmal wissen was ein Cronjob ist ggf. Bash ist und dann einen Server betreiben...
Zu meinen Kenntnissen, ich beschäftige mich jetzt bereits seit 2 Jahren mit Linux Debian. Zuerst Lokal 18 Monate und jetzt "draussen."
Und ich muss wircklich sagen, dass meine Kenntnisse eigentlich ausreichend sind und ich diese immer wieder weiter ausdehne.

edit:

Auth.log

Ab ca. 22:43 konnte ich mich ca. 15 min nicht mehr einloggen.

Apr 12 22:41:26 153 sshd[857]: Received signal 15; terminating.
Apr 12 22:41:26 153 sshd[1199]: Server listening on 0.0.0.0 port 22.
Apr 12 22:41:26 153 sshd[1199]: Server listening on :: port 22.
Apr 12 22:41:37 153 sshd[1205]: Accepted password for teamspeak from _________ port 54638 ssh2
Apr 12 22:42:51 153 sshd[1189]: pam_unix(sshd:session): session closed for user root

Apr 12 23:00:01 153 CRON[1226]: pam_unix(cron:session): session opened for user smmsp by (uid=0)
Apr 12 23:00:01 153 CRON[1226]: pam_unix(cron:session): session closed for user smmsp
Apr 12 23:02:21 153 sshd[1245]: Accepted password for root from __________ port 55185 ssh2
Apr 12 23:02:32 153 sshd[1251]: Accepted password for root from _________ port 55186 ssh2
Apr 12 23:02:32 153 sshd[1251]: subsystem request for sftp
Apr 12 23:02:49 153 sshd[1254]: Accepted password for root from __________ port 55187 ssh2
Apr 12 23:02:50 153 sshd[1254]: subsystem request for sftp

Xconsole.log:

Apr 12 22:42:51 153 sshd[1189]: pam_unix(sshd:session): session closed for user root
Apr 12 22:55:17 153 -- MARK --
Apr 12 23:00:01 153 CRON[1226]: pam_unix(cron:session): session opened for user smmsp by (uid=0)
Apr 12 23:00:01 153 /USR/SBIN/CRON[1227]: (smmsp) CMD (test -x /etc/init.d/sendmail && /usr/share/sendmail/sendmail cron-msp)
Apr 12 23:00:01 153 CRON[1226]: pam_unix(cron:session): session closed for user smmsp
Apr 12 23:02:21 153 sshd[1245]: Accepted password for root from _________ port 55185 ssh2

Soll ich euch noch andere Logs posten?

Irgendwie geht der Server in regelmässigen Abständen vom Netz:


Langsam habe ich das Problem gefunden. Sobald ich es gelöst habe, sag ich euch bescheid.

[snowduck]

Mir scheint es so, als man eine Firewall ein und ausschalten würde. Irgendetwas kann doch nicht sein.
Oder habe ich etwas übersehen?

[Cae]

Mir scheint es so, als man eine Firewall ein und ausschalten würde.

Naja, eine normale Firewall tut das nicht. Falls du iptables meinst, starte einen screen oder mit nohup

Code: Alles auswählen

# while sleep 60; do echo -n '// ' >>/tmp/iptlog; date >>/tmp/iptlog; iptables-save >>/tmp/iptlog; done

– und schau' ob sich da etwas grundlegendes ändert.

Hier [1] hatte jemand übrigens kürzlich ein ähnliches Problem.

Gruß Cae

[1] viewtopic.php?f=18&t=135286#p874728

--Edit: sleep 60 eingebaut, um den Flooding-Charakter durch Nutzen zu ersetzen

[snowduck]

So, Script läuft.
Der Log ist ja gigantisch... Ist das normal?
momentan: 193'998'105 Bytes weiter steigend.

[Cae]

Oh äh, nein, das ist eine ungebremste Endlosschleife, sorry. Das sleep fehlt, ich baue es sofort ein.

Gruß Cae

[snowduck]

Momentan ist er erreichbar und dies schon eine weile. Sobald der Server plötzlich wieder weg vom Web ist, melde ich es dir.
Was macht das Script den? Das es einen Log schreibt, habe ich bereits erkannt.

edit:

Server ist bereits wieder weg vom Web nur apache bzw. die Webseite ist noch erreichbar.

[Cae]

Was macht das Script den? Das es einen Log schreibt, habe ich bereits erkannt.

Also, da du vermutest, dass sich etwas an der Firewall ändert (was ich allerdings nicht recht glauben mag), wird die Firewallkonfiguration jede Minute geloggt. Dann kann man im Nachhinein suchen, wo sich etwas verändert hat. Die Ursprungsversion hatte den Nachteil, dass sie nicht minütlich, sondern permanent geloggt hat, welches sinnlose Ressourcenverschwendung war.

Gruß Cae

[snowduck]

Hab mir das ganze angeschaut. Da hast du absolut recht! Es liegt definitiv nicht an der Firewall.

[Cae]

Dann würde ich das mal abändern in cat /proc/loadavg, um festzustellen, ob die Maschine einfach zu viel zu tun hat. Oder gleich Munin installieren…

Gruß Cae

[snowduck]

Die ganze Maschine läuft momentan fast im Leerlauf... Von 12 GB Ram werden aktuell nicht einmal 2GB gebraucht. CPU wird auch fast nichts gebraucht. Es ist mir ein bisschen fraglich an was es liegen könnte.

Der Server bzw. das Betriessystem sind frisch installiert und seitdem habe ich Probleme.

[Natureshadow]

Wo steht denn diese Maschine?

Wer sagt, dass es deine Firewall ist?

[snowduck]

Die Maschine steht in einem Rechenzentrum in Deutschland.

[Natureshadow]

Die Maschine steht in einem Rechenzentrum in Deutschland.

Und wo endet ein traceroute (apt-get install mtr-tiny) in dem Moment, wo die Kiste offline geht?

Das klingt alles so ein bisschen nach Hetzner ...

[snowduck]

Das Problem ist gelöst
Es ist wie folgt:

Der Server hat zwei Netzwerkkarten und zwei Festplatten. Nun ist die eine defekt aus diesem Grund war sie deaktiviert. Durch irgendeinen Bug wurde nun die kappute Festplatte aktiviert. Somit wechselte der Server immer zwischen den Systemen hin und her. Nun wurde die Festplatte enfernt.

Besten Dank für eure Hilfe

[Cae]

Hm, komische Maschinen hast du da. Ist jetzt nur die NIC kaputt oder auch eine Festplatte? Bootet von der ein System, welches die kaputte NIC nicht geblacklistet hat? Warum kein RAID1? Warum keine neue Platte? General-wtf.

Gruß Cae

[snowduck]

Es war wie folgt auf der einen Platte die gut ist, war der ganze Server drauf. Auf der anderen welche defekt war, war wohl noch irgendein Betriebssystem drauf. Die defekte war deaktiviert. Nun hat sich diese irgendwie aktiviert. Nun hat man die defekte enfernen lassen und das Problem ist weg.