Mod_remoteip Apache: адрес из заголовка меняет не только строку журнала
Фотография конкретного исполнения не приложена.
За reverse proxy приложение часто хочет видеть исходного клиента. Mod_remoteip может заменить используемый httpd client IP значением из согласованного header. Это влияет также на authorization и наблюдение, поэтому доверие к передающему proxy должно быть определено явно.
Руководство описывает RemoteIPHeader вместе с trusted и internal proxy-настройками. Без соответствующего ограничения источник header не становится достоверным только благодаря его названию. Различие internal и trusted также имеет значение для обработки переданных private intranet addresses.
После замены %a и Require ip используют полученную идентичность. Исходный адрес соединения остаётся доступен через отдельное представление %{c}a. Для расследования полезно сохранять обе границы, чтобы не потерять фактического непосредственного участника и путь получения заявленного клиентского адреса.
В приёмке проверяют доверенный proxy и прямое обращение с подставленным header. Сопоставляют разрешение доступа и оба адреса журнала. Затем проверяют несколько hops согласно реальной схеме. Правильная подпись IP в одном запросе не доказывает, что клиент не может самостоятельно влиять на используемую сервером идентичность.
Основание — Official Apache HTTP Server2.4 branch reference snapshot; exact installed patch not inferred, разделы Remote IP Processing; trusted/internal proxies; %a and %{c}a. Сохранён текст публичной справочной публикации; конкретная реализация может поддерживать только часть возможностей. Основание — снимок официальных руководств ветки Apache HTTP Server 2.4. Это обновляемая ветка, а не документация подтверждённого patch установленного сервера. Реальные модули, virtual hosts, файловые пути и правила доступа не проверялись; запросы к рабочему серверу и изменения не выполнялись.
