Mod_security Logging

Question

Estou tentando executar mod_security como serviço autônomo com nginx como proxy reverso tudo funciona bem, exceto o log. O Mod_security registra os endereços IP do servidor reverso em vez do endereço IP do cliente.

Gostaria que alguém ajudasse.

O seguinte é um exemplo de logfile onde mod_security está registrando 127.0.0.1 em vez do endereço IP dos clientes.

2012/08/29 14:18:13 [info] 206862#0: [client 127.0.0.1] ModSecurity: Access denied with code 403 (phase 2). Pattern match ...

    

Answer 1

@kbulgrien: Na verdade, porque o NGINX está capturando seus próprios registros corretamente.

Eu tive que fazer uma solução para esse problema. Eu criei um bloco RequestDeny onde eu enviei solicitações que foram 403 negadas pelo mod_security. Neste bloco eu formatei os logs da maneira que eu queria, assim foi fácil capturar o endereço IP da requisição rejeitada.

Eu sei que é melhor ter o mod_security gravando seus logs corretamente, mas quando você não sabe uma maneira melhor de fazê-lo pode ajudar e assim foi por mim:)

    

Answer 2

Pelo menos com o Apache, podem ocorrer problemas com redirecionamentos / reconfigurações para um vhost atendido pelo mesmo servidor, de forma que os logs relatem que uma solicitação estrangeira chegou do host local. Talvez haja algo semelhante acontecendo nesta situação. No caso em que esse comportamento de log inválido foi observado, foi possível uma alteração na configuração do servidor que corrigiu o problema. Envolvia alguma reestruturação da configuração do servidor. Possivelmente isso estava relacionado a um site definido no httpd.conf que foi então movido para um vhost .conf, mas infelizmente, essa situação surgiu e foi resolvida sem capturar a essência das mudanças. Poderia isso, ou algo semelhante, ser um fator em sua situação?