Onderbrekingen in TV en verbinding Linux Server

[darkdesire19]

Beste lezer,

Ik zit met een nogal eigenaardig probleem. Ik heb sinds kort(+-1 maand gelden) Ubuntu server 16.04 geinstalleerd op mijn server. De server wordt momenteel als FTP server gebruikt, dit wordt bereikt door middel van VSFTPD. Ook is de server voorzien van een statisch ip, dit heb ik bereikt door /etc/network/interfaces aangepast te hebben en hier een static ip heb geconfigureerd.

Het probleem is als volgt:
Als ik mijn server aanzet begint het altijd goed, snelle overdrachtsnelheden geen verbrekingen. Maar na een bepaalde tijd(soms een paar minuten, soms 2 dagen), is de verbinding met de server buitengewoon slecht. Het gekke is dat op het moment dat de server verbindingsproblemen krijgt, valt de tv ook weg. Interactief of live, alles loopt vast/valt weg. Zodra ik de server weer uit zet, komt de tv weer terug.

Ik zit zelf bij KPN galsvezel, met een 500/500 verbinding. Voorzien van een experiabox v10

Ik heb zelf al veel tijd besteed aan het oplossen van dit probleem en kom er niet uit.

Dingen die ik al geprobeerd heb:
De switch tussen de server en de experiabox vervangen.
De experiabox vervangen(met een nieuwe, geleverd door KPN)
Static IP ingesteld d.m.v het aanpassen van /etc/network/interfaces
Static IP ingesteld d.m.v DHCP binding in de router
Static IP ingesteld met een combinatie van de interfaces file en de router DHCP binding
Verschillende dns-nameservers(8.8.8.8/8.8.4.4/192.168.2.254<---standaard van KPN)
Meerdere Linux installaties
Andere netwerk kaart

Graag wil ik melden dat ik net nieuw ben met linux dus ik za niet alle termen snappen. Ik hoop dat iemand tips of misschien zelfs een oplossing kan bieden.
Alvast bedankt.

M.v.g,
Jesse Gevers

[ Voor 17% gewijzigd door darkdesire19 op 21-10-2017 07:19 ]

[Brahiewahiewa]

darkdesire19 schreef op vrijdag 20 oktober 2017 @ 19:33:
...Ik heb zelf al veel tijd besteed aan het oplossen van dit probleem...

D'r staat toch niet voor niets in de template "wat ik al geprobeerd heb:"? Waarom vul je dat niet in?

[Jumpman]

Misschien op een gegeven moment teveel connecties naar je server, waardoor je Experiabox 10 over zijn nek gaat.

[darkdesire19]

Brahiewahiewa schreef op zaterdag 21 oktober 2017 @ 00:32:
[...]

D'r staat toch niet voor niets in de template "wat ik al geprobeerd heb:"? Waarom vul je dat niet in?

Heb ik nu toegevoegd, thanks voor de tip.
Eerste forumpost, dus vandaar.

[darkdesire19]

Jumpman schreef op zaterdag 21 oktober 2017 @ 00:35:
Misschien op een gegeven moment teveel connecties naar je server, waardoor je Experiabox 10 over zijn nek gaat.

De verbindingsproblemen zijn ook al is voorgekomen terwijl niemand de server gebruikte, dus dat denk ik niet

[hcQd]

Mogelijk dat de fysieke snelheid terugvalt naar 10Mbps, dat zou ook kunnen verklaren waarom je TV gaat haperen (tenminste als je switch geen IGMP-snooping ondersteunt). Je zou dit kunnen controleren met ethtool.

[darkdesire19]

hcQd schreef op zaterdag 21 oktober 2017 @ 07:40:
Mogelijk dat de fysieke snelheid terugvalt naar 10Mbps, dat zou ook kunnen verklaren waarom je TV gaat haperen (tenminste als je switch geen IGMP-snooping ondersteunt). Je zou dit kunnen controleren met ethtool.

De switch is heel basis, dus ik weet bijna zeker dat deze IGMP niet ondersteund. Ik vind het alleen gek dat de TV het gelijk weer doet als de server uit is.

Zelf ben ik echt een nieuweling in Linux, dus zou u me stapsgewijs kunnen uitleggen hoe ik dit check met ethtool?

[slaay]

Wat gebeurt er als je de server wel aan laat staan, maar de vsftpd service stopt?

code:

sudo service vsftpd stop

Gaat je tv alsnog haperen?

[darkdesire19]

slaay schreef op zaterdag 21 oktober 2017 @ 11:12:
Wat gebeurt er als je de server wel aan laat staan, maar de vsftpd service stopt?

code:

sudo service vsftpd stop

Gaat je tv alsnog haperen?

Ik heb nu net de server aangezet, zodra ik storing krijg bij de tv zal ik de service uitzetten en kijken wat er gebeurt

[darkdesire19]

slaay schreef op zaterdag 21 oktober 2017 @ 11:12:
Wat gebeurt er als je de server wel aan laat staan, maar de vsftpd service stopt?

code:

sudo service vsftpd stop

Gaat je tv alsnog haperen?

Tv haperde dit keer gelijk, hij hapert ook als de vsftpd service uit staat

[slaay]

darkdesire19 schreef op zaterdag 21 oktober 2017 @ 11:22:
[...]


Tv haperde dit keer gelijk, hij hapert ook als de vsftpd service uit staat

Je hebt je server een vast ip adres gegeven, als je dat wijzigt naar dynamisch ook nog steeds het probleem?

[darkdesire19]

slaay schreef op zaterdag 21 oktober 2017 @ 11:28:
[...]


Je hebt je server een vast ip adres gegeven, als je dat wijzigt naar dynamisch ook nog steeds het probleem?

Op mode op DHCP gezet, haperen blijft. Hij krijgt alleen wel steeds hetzelfde ip-adres toegewezen.

[Thralas]

darkdesire19 schreef op zaterdag 21 oktober 2017 @ 11:07:
Zelf ben ik echt een nieuweling in Linux, dus zou u me stapsgewijs kunnen uitleggen hoe ik dit check met ethtool?

Vrijwel ieder commando heeft een prima handleiding

$ man ethtool

Ik heb 'm in dit geval een beetje voor je ingekort; zo zou je eruit moeten komen.

quote: ethtool(8)

SYNOPSIS
ethtool devname

DESCRIPTION
ethtool is used to query and control network device driver and
hardware settings, particularly for wired Ethernet devices.

devname is the name of the network device on which ethtool should
operate.

OPTIONS
ethtool with a single argument specifying the device name prints
current settings of the specified device.

Als hieruit blijkt dat je gewoon een 100/1000 link hebt, zou ik met tcpdump (en/of wireshark) kijken wat voor verkeer er in/uit de server gaat. Ook daar zijn man pages van, en 1001 voorbeelden op internet.

[darkdesire19]

Thralas schreef op zaterdag 21 oktober 2017 @ 12:52:
[...]


Vrijwel ieder commando heeft een prima handleiding

$ man ethtool

Ik heb 'm in dit geval een beetje voor je ingekort; zo zou je eruit moeten komen.


[...]


Als hieruit blijkt dat je gewoon een 100/1000 link hebt, zou ik met tcpdump (en/of wireshark) kijken wat voor verkeer er in/uit de server gaat. Ook daar zijn man pages van, en 1001 voorbeelden op internet.

Ethtool geeft gewoon een 1000/1000 link aan.
Als ik tcpdump uitvoer krijg ik enorm veel meldingen. De tijd tussen deze meldingen is enorm klein, vb:
melding 1 ontvangen op 13:09:44.376556
Melding 2 ontvangen op 13:09:44.378083

[darkdesire19]

Ik heb de requests ingelezen en het zijn bijna allemaal [S] flags. Ik ben er zelf achtergekomen dat dit sync requests zijn. Is iemand zo wijzer?

[Thralas]

Dat zijn TCP SYN packets. Dat zouden er relatief weinig moeten zijn, en er is iets erg vreemds aan de hand als dat werkelijk je probleem is. Maar misschien lijkt dat maar zo.

Als je de dump in Wireshark inlaadt kun je met 'Statictics -> Protocol Hierarchy' een aardig idee krijgen van het verkeer in de trace. Ook 'Statistics -> Endpoints' is nuttig om een indruk te krijgen waar het meeste verkeer vandaan komt.

Eventueel kun je ook filteren op TCP SYN, maar dat zou alleen een probleem kunnen zijn als je een SYN flood-achtige DoS voor je kiezen krijgt (op een service die wordt geforward door je router). Tenzij je online ruzie maakt met 14-jarigen zou dat 'm toch niet moeten zijn.

Kom je er dan nog niet uit, dan zou je een capture file kunnen delen, misschien dat iemand hier meer ziet..

[darkdesire19]

darkdesire19 schreef op zaterdag 21 oktober 2017 @ 13:36:
Ik heb de requests ingelezen en het zijn bijna allemaal [S] flags. Ik ben er zelf achtergekomen dat dit sync requests zijn. Is iemand zo wijzer?

Syn packet, a session establishment request.*

[darkdesire19]

Thralas schreef op zaterdag 21 oktober 2017 @ 14:02:
Dat zijn TCP SYN packets. Dat zouden er relatief weinig moeten zijn, en er is iets erg vreemds aan de hand als dat werkelijk je probleem is. Maar misschien lijkt dat maar zo.

Als je de dump in Wireshark inlaadt kun je met 'Statictics -> Protocol Hierarchy' een aardig idee krijgen van het verkeer in de trace. Ook 'Statistics -> Endpoints' is nuttig om een indruk te krijgen waar het meeste verkeer vandaan komt.

Eventueel kun je ook filteren op TCP SYN, maar dat zou alleen een probleem kunnen zijn als je een SYN flood-achtige DoS voor je kiezen krijgt (op een service die wordt geforward door je router). Tenzij je online ruzie maakt met 14-jarigen zou dat 'm toch niet moeten zijn.

Kom je er dan nog niet uit, dan zou je een capture file kunnen delen, misschien dat iemand hier meer ziet..

Ik heb denk ik nu een .log bestand verkregen van tcpdump. Ik heb alleen geen flauw idee hoe ik Wireshark moet gebruiken, ik heb ook geen UI op mijn server hé. Zou je me er doorheen kunnen leiden ?

[johnkeates]

In plaats van wireshark kan je ook tshark gebruiken. Maar, voor dat je dat allemaal doet: tcpdump kan ook direct naar een pcap schrijven, en die kan je daarna downloaden en dan op je desktop openen met wireshark.

Ik denk trouwens dat in dit geval je server of switch iets verkeerd doet, de TV gebruikt dacht ik nog steeds multicast, en de EB v10 doet nog steeds QoS en VLANs, dus als je TV gaat haperen en je server ongelukkig wordt kan het best zijn dat er ergens iets met multicast/broadcast mis gaat.

Aan de andere kant: je gebruikt in 2017 FTP, stel dat daar ook verbindingen van buiten af bij komen kijken, dan heb je dikke kans dat je server gewoon misbruikt en gehackt wordt. FTP en FTP servers zijn gewoon zwak. Ook als je aan jouw kant alles goed denkt te hebben kan het nog prima zijn dat er een client is die een keertje op een gekraakt netwerk ging inloggen en daar credentials lekt.

Check netstat eens, als je heel veel connecties ziet terwijl je server niks aan het doen zou moeten zijn heb je misschien wat meer aanknopingspunten om wat mee te doen.

[ Voor 67% gewijzigd door johnkeates op 21-10-2017 14:27 ]

[darkdesire19]

Ik heb de .pcap file nu ingeladen met wireshark op mijn computer.(het is een bestand van 1,8GB met 1,2 miljoen items)
Ik zie allemaal items naar hetzelfde ip toe, wat kan ik hiermee?

[darkdesire19]

johnkeates schreef op zaterdag 21 oktober 2017 @ 14:24:
In plaats van wireshark kan je ook tshark gebruiken. Maar, voor dat je dat allemaal doet: tcpdump kan ook direct naar een pcap schrijven, en die kan je daarna downloaden en dan op je desktop openen met wireshark.

Ik denk trouwens dat in dit geval je server of switch iets verkeerd doet, de TV gebruikt dacht ik nog steeds multicast, en de EB v10 doet nog steeds QoS en VLANs, dus als je TV gaat haperen en je server ongelukkig wordt kan het best zijn dat er ergens iets met multicast/broadcast mis gaat.

Aan de andere kant: je gebruikt in 2017 FTP, stel dat daar ook verbindingen van buiten af bij komen kijken, dan heb je dikke kans dat je server gewoon misbruikt en gehackt wordt. FTP en FTP servers zijn gewoon zwak. Ook als je aan jouw kant alles goed denkt te hebben kan het nog prima zijn dat er een client is die een keertje op een gekraakt netwerk ging inloggen en daar credentials lekt.

Check netstat eens, als je heel veel connecties ziet terwijl je server niks aan het doen zou moeten zijn heb je misschien wat meer aanknopingspunten om wat mee te doen.

netstat kan ik ook nog doen ja, maar die 1,8GB pcap file is denk ik al een goede aanwijzing

[johnkeates]

Welk IP het is? IP adressen zijn niet geheim ofzo, dus post maar eens.

[darkdesire19]

johnkeates schreef op zaterdag 21 oktober 2017 @ 15:02:
Welk IP het is? IP adressen zijn niet geheim ofzo, dus post maar eens.

IP adres: 101.71.103.182

[johnkeates]

China. Lekker bezig ;-) Ik denk dat je misschien maar eens je backups moet maken, het systeem herinstalleren en al je wachtwoorden veranderen. Zou best goed kunnen dat je nu dienst doet als spam mailer, C&C server voor malware of crypto mining. Waarschijnlijk via FTP (want, geen protocol-based security mogelijk) op je server binnen komen, en dan uit de FTPd breken en een lokale shell regelen. Dan privesc als je je software niet up to date houdt en bam, root op je box.

[ Voor 57% gewijzigd door johnkeates op 21-10-2017 15:06 ]

[darkdesire19]

johnkeates schreef op zaterdag 21 oktober 2017 @ 15:04:
China. Lekker bezig ;-) Ik denk dat je misschien maar eens je backups moet maken, het systeem herinstalleren en al je wachtwoorden veranderen. Zou best goed kunnen dat je nu dienst doet als spam mailer, C&C server voor malware of crypto mining.

oh shit, hoe kan ik dit voorkomen dan?/in de toekomst anders doen?

[johnkeates]

darkdesire19 schreef op zaterdag 21 oktober 2017 @ 15:06:
[...]


oh shit, hoe kan ik dit voorkomen dan?/in de toekomst anders doen?

Geen FTP gebruiken, goede wachtwoorden gebruiken, haveibeenpwned.com in de gaten houden (zowel usernames, email adressen als wachtwoorden die je gebruikt), en je software constant up to date houden.

[darkdesire19]

johnkeates schreef op zaterdag 21 oktober 2017 @ 15:07:
[...]


Geen FTP gebruiken, goede wachtwoorden gebruiken, haveibeenpwned.com in de gaten houden (zowel usernames, email adressen als wachtwoorden die je gebruikt), en je software constant up to date houden.

oke, wel zou ik deze server als ftp server willen blijven gebruiken. Hoe zou ik dit wel kunnen gebruiken?

[johnkeates]

darkdesire19 schreef op zaterdag 21 oktober 2017 @ 15:09:
[...]


oke, wel zou ik deze server als ftp server willen blijven gebruiken. Hoe zou ik dit wel kunnen gebruiken?

FTP vervangen met iets wat wel werkt. Bijvoorbeeld SFTP dat SSH als onderliggend protocol gebruikt. Je kan FTP niet veilig gebruiken via internet.

Een optie zou misschien IPSec of OpenVPN zijn, om een VPN verbinding tussen de client en server op te zetten, waarna je FTP via die verbinding doet. Het probleem is namelijk niet alleen dat FTP als protocol vrij zwak is, maar dat de FTP server software ook niet echt goed onderhouden of veilig is.

[darkdesire19]

johnkeates schreef op zaterdag 21 oktober 2017 @ 15:16:
[...]


FTP vervangen met iets wat wel werkt. Bijvoorbeeld SFTP dat SSH als onderliggend protocol gebruikt. Je kan FTP niet veilig gebruiken via internet.

Een optie zou misschien IPSec of OpenVPN zijn, om een VPN verbinding tussen de client en server op te zetten, waarna je FTP via die verbinding doet. Het probleem is namelijk niet alleen dat FTP als protocol vrij zwak is, maar dat de FTP server software ook niet echt goed onderhouden of veilig is.

Oké thanks man, ben nu aan t herinstalleren. Thanks iedereen voor de hulp!!!

[Thralas]

darkdesire19 schreef op zaterdag 21 oktober 2017 @ 15:06:
oh shit, hoe kan ik dit voorkomen dan?/in de toekomst anders doen?

Als je nu éérst even nagaat wat er precies mis is gegaan voordat je herinstalleert dan stoot je je niet meteen weer aan dezelfde steen.

Bovendien kun je zo nog een hoop over Linux/forensics leren, om het maar van de positieve kant te bekijken

• Welke services stonden er open naar het hele internet?
• Was alle software up-to-date?
• Waren alle wachtwoorden sterk genoeg?

Vooral die laatste is erg belangrijk; als je SSH open had staan naar het internet is dat een aannemelijke route, met een FTP-accountje alleen draait men nog niet zomaar code. De belangrijkste les is dan dat je ten eerste geen zwakke wachtwoorden moet gebruiken (inkopper), maar nog belangrijker: lees je in over het gebruik van public keys voor SSH, en gebruik meteen SFTP ipv FTP als je toch bezig bent.

Lees ook eens de logfiles in /var/log zodat je in ieder geval weet wat er nu misging.

[Equator]

@darkdesire19 zou je in het vervolg je laatste bericht willen aanpassen als je wat toe te voegen hebt en jouw post is de laatste in het topic ? Dat komt wat minder opdringerig over. Pas na 24 uur kan je je topic opnieuw onder de aandacht brengen door een post toe te voegen.

[darkdesire19]

Equator schreef op zaterdag 21 oktober 2017 @ 16:45:
@darkdesire19 zou je in het vervolg je laatste bericht willen aanpassen als je wat toe te voegen hebt en jouw post is de laatste in het topic ? Dat komt wat minder opdringerig over. Pas na 24 uur kan je je topic opnieuw onder de aandacht brengen door een post toe te voegen.

Is goed, mijn excuses.

[darkdesire19]

Thralas schreef op zaterdag 21 oktober 2017 @ 15:54:
[...]


Als je nu éérst even nagaat wat er precies mis is gegaan voordat je herinstalleert dan stoot je je niet meteen weer aan dezelfde steen.

Bovendien kun je zo nog een hoop over Linux/forensics leren, om het maar van de positieve kant te bekijken

• Welke services stonden er open naar het hele internet?
• Was alle software up-to-date?
• Waren alle wachtwoorden sterk genoeg?

Vooral die laatste is erg belangrijk; als je SSH open had staan naar het internet is dat een aannemelijke route, met een FTP-accountje alleen draait men nog niet zomaar code. De belangrijkste les is dan dat je ten eerste geen zwakke wachtwoorden moet gebruiken (inkopper), maar nog belangrijker: lees je in over het gebruik van public keys voor SSH, en gebruik meteen SFTP ipv FTP als je toch bezig bent.

Lees ook eens de logfiles in /var/log zodat je in ieder geval weet wat er nu misging.

Shit, net te laatXD
maarja, heb nu de ssh connection m.b.v keys(private en public) gedaan. en ga nu ip's whitelisten die connectie met de server mogen maken. Echt heel erg bedankt voor de tips iedereen!!!

[Equator]

En nu doe je het weer

[darkdesire19]

Equator schreef op zaterdag 21 oktober 2017 @ 20:01:
En nu doe je het weer

Mijn excuses, ik kom er net achter dat ik meerdere mensen kan quoten in 1 post....

[geenwindows]

let erop dat Ubuntu server standaard zijn eigen firewall niet inschakelt, dit moet je zelf na installatie ingeven.
waarom niet via Openvpn werken? hoef je alleen een poort open te zetten voor de vpn. stukken veiliger dan ftp open te zetten voor het internet. ook is het beter om de standaard ftp poort extern op een andere poort te zetten. volgens mij kan je dat doen in de experiabox. intern gewoon poort 21 en voor externe toegang een andere gebruiken.
Linux werkt met iptables, met wat google zoekwerk kun je met wat moeite de firewall instellen.
hoewel ik zelf UFW gebruik, vind ik persoonlijk net wat makkelijker werken.