IIS W3C Log (anormalmente?)

Question

Três dos nossos servidores IIS da intranet estão por trás do F5 Load Balancer. Eu peguei o log do W3c de um dos servidores para um dia típico, e lá ficaram cerca de 100 mil entradas.

O que me incomoda é o número de ocorrências de entradas incompletas.

Nossos servidores usam a autenticação do Windows, mas de 100k entradas, quase 70k deles estão sem cs-username (o cs-uri-stem é apenas 1 barra simples '/').

Os servidores atendem principalmente às solicitações de um sistema de gerenciamento de conteúdo conectado ao IIS pela ISAPI. Isso tem alguma coisa a ver com a grande quantidade de entradas de log "estranhas"? E isso é algo que eu deveria estar preocupado?

    

Answer 1

Parece que você está usando Autenticação NTLM .

O NTLM usa duas viagens de ida e volta para autenticar uma solicitação ou uma conexão. 401, 401, 200 (com nome de usuário) - somente o 200 recebe o nome de usuário.

Você pode querer examinar a família de configurações AuthPersist: AuthPersistNTLM, AuthPersistNonNTLM e itens relacionados. Com um proxy no mix, às vezes a autenticação por conexão é desativada e, em vez disso, é necessário autenticar todas as solicitações.

Outra alternativa é fazer com que o Kerberos funcione, para que você use apenas uma única viagem de ida e volta (embora com uma carga útil grande) para autenticar um cliente (por exemplo, 401, 200 (com nome de usuário).