vreemde regels in apache2 log

[Trax_Digitizer]

Hi,

Ik ontdekte vandaag iets vreemds in mijn apache2 logfile van één van mijn domeinen (traxotic.net):

code:

127.0.0.1 - - [07/Dec/2007:23:58:22 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:58:37 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:58:38 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:58:39 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:58:40 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:58:41 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:58:42 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:58:43 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:58:44 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:58:45 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:58:46 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:58:47 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:58:48 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:58:49 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:58:50 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:58:51 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:58:52 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:58:53 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:58:54 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:58:55 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:58:56 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:58:57 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:58:58 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:58:59 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:59:00 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:59:01 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:59:02 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:59:03 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net
127.0.0.1 - - [07/Dec/2007:23:59:04 +0100] "GET /" 400 464 "-" "-" 0 www.traxotic.net

Een bad request van localhost met elke keer 464 bytes (ex. header).

Zoals je ziet komt deze log-entry vaak voor en ik tast op dit moment volledig in het duister wat dit kan zijn. Het klinkt misschien gek, maar ik heb het gevoel dat ik in het verleden ooit rare entries in de apache logfile heb gezien door samba. Weet echter niet meer precies waar dat over ging. Misschien dat er nu weer zoiets aan de hand is.

Iemand een idee? Ik zoek me het leplazerus, maar vind niks.

[raymonvdm]

Volgens mij moet je vriendje worden met google....

http://linuxfr.org/forums/32/22911.html

Mischien ook gelijk een cursus frans :-)

[Trax_Digitizer]

Thanks, deze had ik inderdaad nog niet gevonden.
Ik spreek helaas geen woord frans. Met behulp van babelfish men ik te begrijpen dat de oplossing/oorzaak er niet bij staat.

Misschien een gekke vraag, maar welke search string heb je gebruikt in google om dit te vinden?

[Bergen]

http://www.google.nl/search?q=%22GET+%2F%22+400+464%22

2e hit. Dit topic is de 1e hit. lol

(Aanhalingstekens om je zoekstring doen het hem. Dan krijg je alleen hits met exact waar je om zoekt. Alhoewel, in de zoekstring zelf staan hier toevallig ook al aanhalingstekens, maar toch komen wel die exacte hits bovenaan.)

[ Voor 76% gewijzigd door Bergen op 08-12-2007 01:00 ]

[Trax_Digitizer]

Ah ok, had al verschillende varianten van de logfile proberen te google'en, maar zo "kaal" had ik hem nog niet geprobeerd. Thanks... ga nog eens goed zoeken.

[Trax_Digitizer]

Volgens mij hebben deze logentries te maken met InternalDummyConnections:

When the Apache HTTP Server manages its child processes, it needs a way to wake up processes that are listening for new connections. To do this, it sends a simple HTTP request back to itself. This request will appear in the access_log file with the remote address set to the loop-back interface (typically 127.0.0.1 or ::1 if IPv6 is configured). If you log the User-Agent string (as in the combined log format), you will see the server signature followed by "(internal dummy connection)" on non-SSL servers. During certain periods you may see up to one such request for each httpd child process.

These requests are perfectly normal and you do not, in general, need to worry about them. They can simply be ignored.

Omdat bij mij geen user-Agent string weergegeven wordt, bedacht ik me dat het ook wel eens de SSL server kon zijn. Voor traxotic.net zonder SSL en met SSL gebruik ik twee aparte virtualhosts. Beide liet ik loggen naar dezelfde logfile. Ik laat de SSL virtualhost nu loggen naar een andere file. Resultaat: de logentries komen alleen voor bij SSL.

Dit zou dus kunnen betekenen dat deze entries onschuldig zijn, omdat het apache zelf is (signal its children to die).

Via deze site kwam ik erachter dat het vaak voorkomen van deze logentry wellicht te maken heeft met MaxRequestsPerChild. Maar omdat ik apache 2.2 gebruik is de waarde van dit configuratie-item afhankelijk van de gekozen Multi-Processing Module (MPM).

Met apache2 -l kwam ik erachter dat de prefork MPM gebruikt wordt (standaard Debian Etch?). De settings die hier bij horen zijn als volgt:

code:

<IfModule prefork.c>
StartServers         5
MinSpareServers      5
MaxSpareServers     10
MaxClients          150
MaxRequestsPerChild 100
</IfModule>

Zoals je ziet staat MaxRequestsPerChild nu op 100 en dat is misschien wat aan de lage kant. Het verhogen van deze waarde zou kunnen betekenen dat ik minder "vreemde" logentries krijg (dus minder signals van apache zelf om children te killen).

Make any sense?