サイトがエラーで表示不可なのに、アクセスログに200のステータスコードが出るのはなぜか

Question

質問内容

サイトがエラーで表示不可のはずなのに、一部のアクセスログに
200のステータスコードが出ているのはなぜでしょうか。
あと、IP制限がきちんとできているのか不安になっています。

考えられる原因等ありましたら、教えていただけましたら幸いです。

状況

該当のサイトは
・自分のIPアドレスのみ接続できるようにしている
・現在、500や502エラーなどが表示される状態で正常に表示できていない

にも関わらず、アクセスログを確認したところ
なぜか一部、見知らぬIPアドレスでステータスコードが「200」で
記録されているログがありました。

#ログの一部抜粋
XXX.XXX.XX.XX - - "GET / HTTP/1.1" 200 615 "-"

自分（のIPアドレス）で見に行っても500関連のエラーが出ているのが確認できて、
ページにはエラー表示が出るのみです。
ログにも自分のアクセス記録は、200としては残っていませんでした。

サイトが上手く表示されない状態のはずなのに、なぜアクセスログに
知らないIPアドレスで、200の記録が残っているのか疑問に思いました。

なお、別のIPアドレスから接続したところ403表示になったので
IP制限自体はできているのかな…と思っています。

考えていること

自分なりに原因を考えているのですが、よくわかりません…。
・サイトは表示されていないが、何かの不具合で200で応答したことになった
・サイトは表示されていないが、何かの不具合でnginxのウェルカムページが表示されて（？）、200で応答したことになった
・実はnginxのディレクティブ書き方が間違っていて、IP制限が上手くできていない
・ページ表示せずに、応答するか確認しただけだから200になった（？？？）

補足情報（FW/ツールのバージョンなど）

VPS, Ubuntu, nginx, Django

Answer 1

「想定外の Host ヘッダだと通ってしまう」が怪しいかなと思いました
(Host: foo.example.com だと弾くけれど IP アドレスだと通る的な設定になっているのではということ)。

LogFormat に Host ヘッダの内容を出すと何がでますか? (やったことないですが %{Host}i を追加すればよい?)

Comments

[Yukika]

アドバイスいただきありがとうございます。
確かに、当時はサイトがエラーで表示不可だったので、想定外のURLに接続されると
意図しない場所に行ってしまった可能性もあったのではないかと思います。
色々やり直しをして現在は出ていない状態になったので、LogFormatの件は
試せておらず申し訳ありませんが、もし再発したら確認してみようと思います。
ありがとうございました。

Answer 2

まあ、詳細なサーバーの設定を見ないとなんとも言えないが、とりあえずこの辺を確認してみる。

まずは、そのログにあったIPのWhois情報見たら単に鯖会社側の管理ツールとかが踏んでただけの場合はwhois見たらすぐわかるのでとりあえず確認する

次に自分のサイトにnmapとかでポートスキャンかけてみてアクセス制限が及んでないポートが開いてないかとか調べてみる。
まあほぼないと思うが、普通にHTTPSでアクセスしたらアクセス制限されているのに別のポートも開いててそっちで踏んだら普通に見れたみたいなこともごく稀にあったりするので。

あとログにある、615の数字はクライアントに送ったデータのバイト数なので、この数値から実際になんのデータがクライアント側に送られたかが推測できるはずです。

まあ、そもそも論としてIPアドレスでアクセス制限するよりBASIC認証でパスワード尋ねるようにしたほうがいいとは思いますが。

Comments

[Yukika]

色々アドバイスいただきありがとうございます。大変助かります。
まだ全て試せておらず申し訳ありませんが、取り急ぎお返事させていただきます。

>まずは、そのログにあったIPのWhois情報見たら単に鯖会社側の管理ツールとかが踏んでただけの場合は>whois見たらすぐわかるのでとりあえず確認する

whoisは見ていなかったのですが、abuseIP(https://www.abuseipdb.com/)というところで該当IPを確認したところ、不審IPアドレス判定が出ているようでした。

>次に自分のサイトにnmapとかでポートスキャンかけてみてアクセス制限が及んでないポートが開いてないか>とか調べてみる。

nmap、インストールしてポートスキャンをかけてみようと思います。

>あとログにある、615の数字はクライアントに送ったデータのバイト数なので、この数値から実際になんのデータがクライアント側に送られたかが推測できるはずです。

あまり思い当たるファイルがなく調べてみたのですが、サイトが正常に動いていれば表示されるはずのDjangoのアプリのディレクトリ容量が「612」で近かったです。
このデータを表示、というか取得した可能性があるのでしょうか…。

>まあ、そもそも論としてIPアドレスでアクセス制限するよりBASIC認証でパスワード尋ねるようにしたほうがいいとは思いますが。

IPアクセス制限だけで大丈夫かなと思ってしまっていましたが、BASIC認証も設定するようにしようと思います。

[Yukika]

回答が遅くなり申し訳ありません。
nmapでポートスキャンをかけたところ、想定していたポートのみしか開いておらず
残念ながら原因はわかりませんでした…。
その後は、BASIC認証をかけて作業を進めるようにいたしました。
いったん解決とさせていただきます。ご回答いただきありがとうございました。