Eingang-Traffic ungewöhnlich hoch

[jpsaenz]

Hi Forum,

Ich habe einigen Servern bei netdirekt laufen. Seit etwa 10 Tagen beobachte ich unmögliche Eingangstraffic-Werte: an einigen Tagen sind es 10 - 15 GB (normal sind es 200-400MB). Da ich in letzter Zeit vermehrt Mails gekriegt habe, die als automatische Antwort auf Spammails gedacht sind (also wird es sehr viel mit meiner EMail-Adresse gespammt, auch wenn das kein Hinweis auf einem gehackten Server sein muss), habe die Befürchtung gehabt, daß irgend eins von den mailer-php-skripte zum Versenden vom Spam meißbraucht werden (der Mailserver ist ansonsten dicht und besteht alle Relay-Tests), aber dann sollte doch der Ausgangstraffic sehr hoch sein und nicht umgekehrt...

Der Speicherplatz der HDD wird auch nicht weniger, wie kann es sein, daß an einem Tag 15GB reinkommen und nichts davon auf der Maschine bleibt und auch nichts davon wieder rausgeht?

Bin über jede Idee dankbar, wo ich anfangen soll zu suchen!

Danke!

Saludos,
jp

[nepos]

Tja, was sprechen denn deine Logfiles? Wenn du den Missbrauch deiner Webmail-Skripten befürchtest, dann sollte sich da auf jeden Fall was in den Logfiles deines MTA wie exim, postfix oder sendmail finden lassen.
Sind auffällige Dinge in anderen Logs zu finden? Apache-Logs z.B.?

[a.jakob]

Hallo..

klingt schon recht seltsam..

spontan würde mir nur Spam einfallen.. lässt du Spam automatisch löschen?
Wobei 15 GB spam.. schon heftig sind...

Was läuft denn auf dem Server.. und wieviele email accounts ungefähr?

Vieleicht fällt dir ja was auf wenn du mit netstat die verbidnungen anschaust..

MFG

Andre

[jpsaenz]

@all: Danke für Eure Antworten!
@nepos: Eben, die Logs sehen unverdächtig aus...
@a.jakob: Nein, Spam wird geblockt (MAIA) und 30 tage in einem Spamordner aufbewahrt, oder bis man den Müll als HAM deklariert oder löscht. Ich gucke auch regelmäßig rein und mache auch sauber. Insgesamt müssten so um die 50-60 Emailaccounts laufen.

Mein Serveradmin-Tool (vhcs2) sagt, den ganzen Traffic fände statt über "andere Eingang", also *nicht* über httpd, pop3 oder ftp. Einen Darstellungfehler vom VHCS2 kann ich ausschliessen, da auch in dem Adminbereich vom Netdirekt steht, daß dieser immensen Traffic reinkommt und nicht rausgeht.

Meine Dienste: Apache2, Bind, MySQLd, ProFTPd, Amavis/ClamAV, SSH, Postfix/Courier

Meine Offene Ports:

Code: Alles auswählen

21/tcp   open  ftp
22/tcp   open  ssh
25/tcp   open  smtp
53/tcp   open  domain
80/tcp   open  http
110/tcp  open  pop3
143/tcp  open  imap
953/tcp  open  rndc
3306/tcp open  mysql
9876/tcp open  sd

Saludos,
jp