Сервер падает при нескольких обновлениях страницы

[maxpostal]

Боюсь что это не представляется возможным. Даже если вводить какие то ограничения на исполение файлов в htaccess или виртуальных хостах доменов, то делать это нужно для каждого.

Очень жаль, вчера сервер попал по атаку каких-то муд..ов. Вначале долбили вордпрессовские файлы xmlrpc.php:

Пришлось в каждом .htaccess прописывать

Code: Select all

<Files xmlrpc.php>
order deny,allow
deny from all
</Files>

Поэтому я и хотел уточнить можно ли это правило прописать централизованно для всех доменов, например в apache2.conf?

Затем долбили wp-login.php, изучаю, как правильно настроить fail2ban для защиты, пока как временное решение настроил basic auth.
Ну и на последок начали убивать сервер запросами к несуществующим страницам, в результате Load average: 50 - 70 и хард резет...

Смотрите что выполняется в файле wp-cron.php, он делает различные проверки обновлений и прочее. Кстати плагинов много на сайтах? Потому что wp-cron.php может и их запускать, к примеру на проверку спама.

Самих сайтов много и просматривать на каждом плагины не очень рационально, поэтому пришлось в wp-config.php отключать wp-cron.php:

Code: Select all

/* Отключаем CRON - Max */
define('DISABLE_WP_CRON', true);

Хотелось бы иметь возможность глушить такие скрипты глобально на всех доменах, либо как-то централизовано, прописывая пути в одном месте, а не перебирая все домены.

Да, такое есть в планах, но чуть позже.

Спасибо, очень хорошие новости.

Панель не запустит бэкап, если превышается лимит по нагрузке на систему

Да, я это уже понял, а где устанавливается этот предел?
У меня при запуске бэкапов на нагруженном сервере в логах бэкапов Весты отображалось сообщение, что порог Load average - 5, это значение меняется в самой Весте?

Хотел перенести все домены равномерно между пользователями и назначить бэкапы в разное время, через консоль от рута такая стратегия работает и нагрузка не большая, но вначале видимо нужно дождаться обновления панели для корректной работы cli скриптов в Debian 8.5.

[imperio]

Code: Select all

<Files xmlrpc.php>
order deny,allow
deny from all
</Files>

Укажите в глобальном конфиге apache, если нужно для всех хостов.
Потом перезапустите апач

Если атакуют с какой то определенной страны, можно подключить nginx geoip, или ограничить коннекты директивой limit_conn

Да, я это уже понял, а где устанавливается этот предел?
У меня при запуске бэкапов на нагруженном сервере в логах бэкапов Весты отображалось сообщение, что порог Load average - 5, это значение меняется в самой Весте?

15
v-backup-user

для корректной работы cli скриптов в Debian 8.5

Попробуйте выполнить полный ребут (перезагрузку) сервера и проверить работу cli интерфейса

[maxpostal]

Спасибо за помощь!
Сервер перезагрузил, результат тоже:

Code: Select all

admin@server:~$ sudo /usr/local/vesta/bin/v-change-domain-owner z68686a.ru user8
/usr/local/vesta/bin/v-change-domain-owner: line 30: v-search-domain-owner: command not found
Error: domain z68686a.ru doesn't exist

Создал баг: https://bugs.vestacp.com/issues/316

[imperio]

Исправим в релизе 17

[maxpostal]

или ограничить коннекты директивой limit_conn

Подскажите, в Vesta на Debian 8.5 эта директива должна работать, модуль ngx_http_limit_conn_module должен быть установлен?
Не могу найти его в списке модулей:

admin@domain:~$ sudo nginx -VShow

nginx version: nginx/1.10.1
built by gcc 4.9.2 (Debian 4.9.2-10)
built with OpenSSL 1.0.1k 8 Jan 2015 (running with OpenSSL 1.0.1t 3 May 2016)
TLS SNI support enabled
configure arguments: --prefix=/etc/nginx --sbin-path=/usr/sbin/nginx --modules-path=/usr/lib/nginx/modules --conf-path=/etc/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log --http-log-path=/var/log/nginx/access.log --pid-path=/var/run/nginx.pid --lock-path=/var/run/nginx.lock --http-client-body-temp-path=/var/cache/nginx/client_temp --http-proxy-temp-path=/var/cache/nginx/proxy_temp --http-fastcgi-temp-path=/var/cache/nginx/fastcgi_temp --http-uwsgi-temp-path=/var/cache/nginx/uwsgi_temp --http-scgi-temp-path=/var/cache/nginx/scgi_temp --user=nginx --group=nginx --with-http_ssl_module --with-http_realip_module --with-http_addition_module --with-http_sub_module --with-http_dav_module --with-http_flv_module --with-http_mp4_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_random_index_module --with-http_secure_link_module --with-http_stub_status_module --with-http_auth_request_module --with-http_xslt_module=dynamic --with-http_image_filter_module=dynamic --with-http_geoip_module=dynamic --with-http_perl_module=dynamic --add-dynamic-module=debian/extra/njs-1c50334fbea6/nginx --with-threads --with-stream --with-stream_ssl_module --with-http_slice_module --with-mail --with-mail_ssl_module --with-file-aio --with-ipv6 --with-http_v2_module --with-cc-opt='-g -O2 -fstack-protector-strong -Wformat -Werror=format-security -Wp,-D_FORTIFY_SOURCE=2' --with-ld-opt='-Wl,-z,relro -Wl,--as-needed'

[skurudo]

Подскажите, в Vesta на Debian 8.5 эта директива должна работать, модуль ngx_http_limit_conn_module должен быть установлен?

afaik встроенный модуль в ядре, он не отображается как отдельный.
http://nginx.org/ru/docs/http/ngx_http_ ... odule.html

[maxpostal]

LoadAverage 23 is above threshold

Панель не запустит бекап, если превышается лимит по нагрузке на систему

Сегодня не создался бэкап админа при значении LoadAverage = 6
Error: LoadAverage 6 is above threshold

Хотя с такой нагрузкой сервак работает нормально.

Подскажите пожалуйста, где можно изменить заданный предел LoadAverage 6?

[Mr.Erbutw]

Затем долбили wp-login.php, изучаю, как правильно настроить fail2ban для защиты,

Есть интересная тема в помощь viewtopic.php?p=45513#p45513

[maxpostal]

Есть интересная тема в помощь viewtopic.php?p=45513#p45513

Читал, пробовал, регулярка не работает.
Вот здесь - https://wordpress.org/plugins/wp-fail2ban/ я думаю более подходящие настройки, но пока руки не дошли до проверки, временно ограничил доступ к wp-login.php с помощью basic auth apache, вроде помогло.

[maxpostal]

Поставил модули ngx_http_limit_req_module и ngx_http_limit_conn_module (Debian 8.5), следующим образом:

1. Добавить в nginx.conf директивы
http {
# Main settings
sendfile on;
...

limit_req_zone $binary_remote_addr zone=perserver:10m rate=2r/s;
limit_conn_zone $binary_remote_addr zone=perip:10m;

2. Изменить в nginx.conf адрес до 503 ошибки (опционально)
error_page 502 504 /error/50x.html;
error_page 503 /error/503.html;

3. Отредактировать дефолтные шаблоны
nano /usr/local/vesta/data/templates/web/nginx/default.tpl
nano /usr/local/vesta/data/templates/web/nginx/default.stpl

Вынести статику из корня location / и добавить директивы

location / {
limit_req zone=perserver burst=10 nodelay;
limit_conn perip 10;

proxy_pass http://%ip%:%web_port%;
}

location ~* ^.+\.(%proxy_extentions%)$ {

root %docroot%;
access_log /var/log/%web_system%/domains/%domain%.log combined;
access_log /var/log/%web_system%/domains/%domain%.bytes bytes;
expires max;
try_files $uri @fallback;
}

5. Создать страницу ошибки 503.html в
/usr/local/vesta/data/templates/web/skel/document_errors/
(опционально)

6. Пересоздать конфиги доменов у пользователей
/usr/local/vesta/bin/v-rebuild-web-domains user

7. Проверить изменения в конфигах
nano /home/user/conf/web/nginx.conf

8. Перезагрузить nginx
service nginx restart

Надеюсь будет толк, следующий этап apache mod_security.

Только возник вопрос, шаблоны обновляются при обновлении Весты?