为什么 Ubuntu 服务器连接到 likho.canonical.com:80？

Question

我们的网络中有一些 Ubuntu 12.0.3 服务器，我可以在我们的物理防火墙上每天看到几次拒绝。

Ubuntu 服务器正尝试通过端口 80 连接到 91.189.91.15 (likho.canonical.com)。

谁能告诉我这个连接尝试是什么，我应该允许流量还是配置服务器停止进行连接尝试？

Answer 1

我相信教人们钓鱼，所以你为什么不访问http://likho.canonical.com/？端口 80 通常是网络流量，所以我建议在浏览器中打开它。

您很快就会看到这likho.canonical.com是一个存储库。这可能只是地址的负载平衡（准确地说是循环 A 记录）archive.ubuntu.com。您看到的域是反向 IP 查找。

因此，来自您的服务器的连接可能反映了您的服务器更新其本地包记录和/或随后下载更新。

我们如何确认likho.canonical.com是合法的？

那么首先让我们证明likho.canonical.com可以从archive.ubuntu.com. 这是修剪后的dig archive.ubuntu.com输出：

;; ANSWER SECTION:
archive.ubuntu.com. 149 IN  A   91.189.92.176
archive.ubuntu.com. 149 IN  A   91.189.92.177
archive.ubuntu.com. 149 IN  A   91.189.92.200
archive.ubuntu.com. 149 IN  A   91.189.92.201
archive.ubuntu.com. 149 IN  A   91.189.92.202
archive.ubuntu.com. 149 IN  A   91.189.91.13
archive.ubuntu.com. 149 IN  A   91.189.91.14
archive.ubuntu.com. 149 IN  A   91.189.91.15   <- This is likho.canonical.com
archive.ubuntu.com. 149 IN  A   91.189.92.156

这里是两个方向的查找证明91.189.91.15也解析为likho.canonical.com（反之亦然）：

$ host 91.189.91.15
15.91.189.91.in-addr.arpa domain name pointer likho.canonical.com.

$ dig likho.canonical.com +short
91.189.91.15

如果你想要进一步的证明，你可以做一些 TCPdumping 来嗅探流量，但我认为这是一种不必要的高度偏执。如果您不能信任您的存储库，则需要切断以太网电缆。

与 DNS 和朋友一起玩更有趣

如果你想玩，你可以得到他们服务器的其余名称，这些名称archive.ubuntu.com解析为：

$ dig archive.ubuntu.com +short | xargs -I% host %
15.91.189.91.in-addr.arpa domain name pointer likho.canonical.com.
156.92.189.91.in-addr.arpa domain name pointer danava.canonical.com.
176.92.189.91.in-addr.arpa domain name pointer cursa.canonical.com.
177.92.189.91.in-addr.arpa domain name pointer zaurac.canonical.com.
200.92.189.91.in-addr.arpa domain name pointer obake.canonical.com.
201.92.189.91.in-addr.arpa domain name pointer urayuli.canonical.com.
202.92.189.91.in-addr.arpa domain name pointer sudice.canonical.com.
13.91.189.91.in-addr.arpa domain name pointer ragana.canonical.com.
14.91.189.91.in-addr.arpa domain name pointer orobas.canonical.com.

看看哪个延迟最低：

$ dig archive.ubuntu.com +short | xargs -I% ping -c1 % | awk '/time=/ {split($7, array, "="); print $4 "\t" array[2] "ms"}' | sort -n -r -t$'\t' -k 1
91.189.92.202:  19.8ms
91.189.92.201:  19.8ms
91.189.92.200:  19.4ms
91.189.92.177:  20.5ms
91.189.92.176:  19.6ms
91.189.92.156:  20.2ms
91.189.91.15:   97.4ms
91.189.91.14:   95.9ms
91.189.91.13:   96.4ms

以下是您仅使用来自已知位置的延迟将某人的位置三角测量到三英尺以内的方法......好吧......也许不是。可能在 50 英里范围内（如果您知道服务器位置和网络链接），但您需要知道比我知道的更多的信息。