Onは良くない?Apacheでログにホスト名を残したい場合があります。そのための設定が次のものです。OnこれはデフォルトではOffになっているようですが、これ有効にして、逆引きをする設定になっていることがあるようです。忙しいサーバではOffにしてパフォーマンスを上げるチューニングが良く紹介される設定ですが、ガラガラなサーバなら問題がなさそうにもみえます。この設定だと逆引きした結果のみをそのままログに記録してしまうようです。ふつう逆引きの結果が記録されることに問題はありませんが、逆引きと正引きが必ずしも一致しているとは限らない点がセキュリティー的なリスクになる恐れがあります。仮に悪いヤツが逆引き権限の委譲を受けている場合、好きな値に設定できてしまうからです。ためしに次のような設定にしてみました。nakahara.michitomo.jpこの状態で206.225.17.15からApacheにアクセスすると、ログは次のようになります。Version/10.00"ドメイン所有者が設定しているIPアドレス以外からのアクセスにもかかわらず、ログにはnakahara.michitomo.jpのドメインが残りました。これだとnakahara.michitomo.jpからのアクセスに見えます。このドメインがわかりづらいですが、逆引きの設定は委譲を受けていれば自由にできてしまうので、例えばsoftbank***.bbtec.netやkantei.go.jpなどのオレオレ逆引きが設定されていてもApacheのログにはそのまま逆引きの結果だけが残ってしまう点が問題です。静的なサイトでは特にいいかもしれませんが、動的な、例えばアップローダなどを運営しているサーバの場合、アップロード主を追跡できないと厄介なファイルをアップロードされたときに困るかもしれません。ところで、SSHの場合は対策がされているようです。上と同じ状況で接続したときのauth.logは次のようになります。ATTEMPT!「206.225.17.15はnakahara.michitomo.jpに逆引きされているが、nakahara.michitomo.jpは206.225.17.15になっていない。不正侵入の可能性!」という意味のメッセージです。ログイン中のユーザ一覧を表示するwhoやwコマンドでホスト名が表示されるためにも逆引きと正引きの一致が条件になっているようです。Doubleがあるようです。DNSの負荷が2倍になる問題はありますが、個人的に画像のアップローダをやるなら、OnにしておくよりはDoubleの方がいいかなと。今のところ私自身はIPアドレスだけを記録して後で必要なら正引きをしています。Doubleがいいんじゃないか?という話でした。(02/08)michitomo.jpSeesaaブログご意見・ご質問はコメントまたはメールでお知らせください。Nakahara×この広告は180日以上新しい記事の投稿がないブログに表示されております。