Site inaccessible : log : "MaxRequestWorkers"

Bonjour,

Je ne peux pas vous donner accès à l'url de mon site (site de ma boite), de toute façon, vous ne verriez rien puisque le site est indisponible (ça mouline).
Voilà... depuis 16h30-17h, le site est donc HS.
En regardant les logs apache, j'ai ceci:

Code:

[Tue Jan 23 16:29:56.602114 2018] [mpm_prefork:error] [pid 3605] AH00161: server reached MaxRequestWorkers setting, consider raising the MaxRequestWorkers setting

J'ai bien compris que les logs m'indique que la limite de requêtes est atteinte. Elle est par défaut à 150. Je ne veux pas y toucher car je doute qu'il y a une merde. Augmenter la limite n'est pas une solution...

Mon interface serveur m'indique pas de surcharge serveur extraordinaire.
Par contre, en regardant analytics en "temps réel", cela m'indique entre 10 et 15 sessions alors qu'en détail, cela m'indique qu'un seul utilisateur sur la page d'accueil et ça m'affichait des urls referer us. Là, ça c'est calmé mais le site est toujours lent.

J'ai redémarré le serveur, rien...

Une idée ?

 

Merci de ta réponse.
Oui je suis passé sur debian 9, apache2.4.25 et http/2.
Effectivement, par défaut c'est mpm_preforks.
Mais j'ai changé de distrib, y a env. 1 mois et je n'avais pas de prob avec cette config ?!
Le site tourne à env. 150/200 visites/jour et là, hier j'ai dépassé le 1000 visites.
En regardant analytics, les referer me donnent ça:


J'ai installé fail2ban. Je vais passer en mpm_event mais par contre, ça ne résoud pas mon prob si c'est un DDOS.
je peux augmenter la limite de requêtes mais le prob reste présent.

 

je suis resté sur mpm_prefork
En faisant :

Code:

netstat -an | egrep ':80|:443' | grep ESTABLISHED | awk '{print $5}' | grep -o -E "([0-9]{1,3}[\.]){3}[0-9]{1,3}" | sort -n | uniq -c | sort -nr

Cette commande me permet de lister les IPs par ordre croissant et la 1ére commence à 2 fois !
Et la commande:

Code:

netstat -an|awk '/tcp/ {print $6}'|sort|uniq -c

Me donne:

Code:

41 CLOSE_WAIT
3 CLOSING
240 ESTABLISHED
10 FIN_WAIT1
6 FIN_WAIT2
27 LAST_ACK
10 LISTEN
128 SYN_RECV
3 TIME_WAIT

Donc rien de particulier ??!!

Comprends pas ?!
Je ne voulais pas augmenter la limite sans avoir être certain qu'il ne s'agisse pas de Ddos attack mais c'est bizarre ?!

 

Mon prob n'est pas résolu mais j'ai plus de pistes mais pas de solutions pour autant actuellement.

J'ai reçu un mail d'ovh pour me prévenir d'une attaque DDos puis d'un 2ème mail pour me prévenir que le serveur était sorti de cette attaque. Ceci remonte à hier donc cependant malgré avoir banni l'adresse IP de "bitcoin" (cf analytics) et j'ai installé "fail2ban" et "mod_evasive". J'ai vérifié les logs puis rebooté le serveur et rien n'y fait !!!
Le monitoring ovh ne m'affiche aucun pic aujourd'hui.
Malgré tout, le site ne répond toujours pas.
J'ai même augmenté en dernier recours le "MaxRequestWorkers" et "serviceLimit", redémarré le serveur et toujours rien ! Maintenant, j'ai essayé de me connecter en FTP, j'ai voulu faire un backup, au cas où cela devenait encore plus critique, je n'ai pas pu ! J'étais tout le temps déconnecté.
Je me suis connecté SSH via putty, j'ai voulu faire un simple "apt-get update", histoire de faire une maj de la distrib si ça pouvait aidé et la console me répondait : "plus de mémoire alloué !".

J'ai même fait un test en autorisant QUE mon IP, pour accéder à mon site (bloquer par htaccess). Et bien, site indisponible !

J'en conclus que c'est comme si malgré tous mes efforts à relancer apache, tuer les processus en cours, rebooté, etc... n'empêchait pas de saturer les processus. Ce qui expliquerait pourquoi le site ne répond plus, que je ne peux rien faire en ftp, console ssh, etc... car le gestionnaire de processus a complètement saturé et n'accepte plus rien.
Comment faire pour réinitialiser ces processus et récupérer une machine opérationnelle ?

Normalement une attaque DDos est ciblée dans un instant T, non ? J'en suis sorti depuis hier, non ? Pourquoi malgré tout, je ne peux plus rien faire ?! Comme si un script en boucle, créé des processus pour saturer la mémoire d'allocation des processus ?!

Pour rappel, ma config:
Debian 9 stretch, apache 2.4.25, php7, mpm-prefork avec mod-php, https et http2 activé.
Cette distribution est en place depuis 1 mois et aucun prob jusqu'à hier soir !

Merci de votre aide.

 

Bon, depuis ce matin, c'est revenu à la normale. J'ai dû redémarrer le serveur.
Je pense que la machine a tellement été surchargé que plus rien n'y faisait.
Putain, si je tenais devant moi celui qui s'est amusé à ça, je lui ferais passé l'envie de ré-essayer de si tôt.
D'ailleurs... j'ai pu remonté à la source, l'expéditeur de cette attaque DDos.
Il est aux usa. J'ai contacté son registrar du domaine et son hébergeur.
Je leurs ai envoyé un mail bien salé avec captures d'écrans du monitoring du serveur, analytics, etc... avec preuves à l'appui.
J'espère qu'ils vont prendre des sanctions contre ce conn**d.

Cette mauvaise expérience m'a donné envie de monter un serveur de secours. Il aura pour rôle de faire des backups journaliers du répertoire de travail + la bdd. et si un con**rd lui venait à nouveau l'idée de ce genre de méthodes, je bascule sur l'autre vps. Je pourrai prendre des IPS failover mais c'est pas la même utilisation pour moi. Mais bon, faut dire aussi que je l'ai renforcé en sécurité. ça m'a servi de leçon. pfffff

Tout ça pour dire que je tenais à te remercier sincèrement colonies pour ton aide précieuse. tu as pris le temps de m'aider. C'est facile de passer son chemin sur le web mais tu as pris le temps de m'aider.
Respect.

Merci encore.