☰

mod_security por trás do proxy reverso e IP dos clientes

tag-icon • tag-icon apache-2.4 mod-security x-forwarded-for mod-rpaf
mod_security por trás do proxy reverso e IP dos clientes 
client -> haproxy -> mod_security boxes -> backends

Problema: caixas mod_security usam mod_rpaf com ip de haproxy em 'RPAFproxy_ips'. O log do Apache mostra o IP real dos clientes, mas o mod_security ainda relata o ip haproxys como visto abaixo.

IP dos clientes encontrado no log do Apache das caixas mod_sec

x.93.129.90 - - [14/Oct/2015:08:35:56 +0200] "GET /MYTEST HTTP/1.1" 301 524 "-" "curl/7.15.5 (x86_64-redhat-linux-gnu) libcurl/7.15.5 OpenSSL/0.9.8b zlib/1.2.3 libidn/0.6.5"

Mod_security reporta IP do proxy (cliente x.21.107.165)

 ==> /var/log/apache2/site.se_error.log <==
[Wed Oct 14 08:36:12.584500 2015] [:error] [pid 10264:tid 139895758558976]  [client x.21.107.165] ModSecurity: Access denied with code 403 (phase 2). 
Pattern match "\\\\balert\\\\b[^a-zA-Z0-9_]{0,}?\\\\(" at ARGS_NAMES:
<script>alert(1)</script>. [file "/usr/share/cwaf/rules/07_XSS_XSS.conf"] <etc>..

Pessoas na web parecem rodar rpaf com mod_sec, estou fazendo algo errado?

Alguém conhece outra boa abordagem? Já vi algumas regras mod_sec que basicamente usam um valor de um cabeçalho, se presente, caso contrário, recorrem a remote_addr, mas não consegui fazê-las funcionar.

Responder1

mod_rpaf só funciona com apache <2.4, mod_remoteip funciona com 2.4 e mod_security agora informa o ip do cliente, não o do balanceador de carga/proxy

No Ubuntu 14.04

a2enmod remoteip
echo "RemoteIPHeader X-Client-Ip" > /etc/apache2/mods-enabled/remoteip.conf
service apache2 restart

informação relacionada