Debian 环境下，Nginx 的日志由访问日志 access.log 与错误日志 error.log 构成，解读时优先关注请求成功率、时延、后端健康与客户端来源等关键指标，以快速定位性能瓶颈与异常。
日志位置与基础格式
- 默认路径：/var/log/nginx/access.log、/var/log/nginx/error.log。常见默认访问格式为 combined/main，包含客户端 IP、时间、请求行、状态码、响应大小、来源页、UA 等；错误日志为固定格式，便于定位问题。若经 CDN/反向代理，需关注 X-Forwarded-For 以获取真实客户端 IP。常用关键变量如下：
| 变量 |
含义与要点 |
| $remote_addr |
客户端 IP；若经代理，可能为代理 IP |
| $http_x_forwarded_for |
代理链上的客户端 IP 列表，最左为原始客户端 |
| $time_local |
本地时间，用于时段分析 |
| $request |
请求行（方法 + URL + 协议） |
| $status |
HTTP 状态码（如 200/404/499/502/504） |
| $body_bytes_sent |
发送给客户端的响应体字节数 |
| $request_time |
请求总耗时（秒，含排队与后端） |
| $upstream_response_time |
与上游交互耗时（秒；未连上游可能为 “-”） |
| $upstream_addr |
上游地址（如 127.0.0.1:8080） |
| $http_referer / $http_user_agent |
来源页与客户端类型，用于流量结构与来源分析 |
| 以上变量与默认路径、格式说明适用于 Debian 上的 Nginx 部署。 |
|
关键指标与判读要点
- 流量规模与分布
- PV（Page Views）：总请求数；UV（Unique Visitors）：去重客户端数（按 $remote_addr 或 X-Forwarded-For 首段）。用于评估站点热度与峰谷时段。
- 成功率与错误构成
- 成功率 = 2xx/总请求；关注 4xx（客户端问题，如 404/403）与 5xx（服务端问题，如 502/504）。
- 499（Client Closed Request） 表示客户端在响应前主动断开，常与前端超时、后端慢有关，需与 504 区分（504 为网关/上游超时）。
- 时延与后端健康
- P95/P99 $request_time 反映长尾体验；$upstream_response_time 接近或超过 $request_time 时，瓶颈多在后端。
- upstream 超时/连接失败（如 “connect() failed (111: Connection refused) while connecting to upstream”）常见于上游宕机、端口错误或过载。
- 缓存与 CDN 效果
- 命中率提升通常伴随 响应时间下降 与 回源请求减少；结合 $http_x_forwarded_for 与 $remote_addr 区分 CDN 节点 与 真实用户。
- 客户端来源与设备
- $http_referer 识别引流来源与盗链；$http_user_agent 识别浏览器/爬虫/移动端，辅助容量规划与安全策略。
以上要点可直接用于定位性能瓶颈、错误根因与 CDN 效果评估。
常用命令与快速排查
- 基础统计
- 统计 PV/UV：
- awk ‘{print $1}’ access.log | sort | uniq -c | sort -nr # Top IP（近似 UV 分布）
- awk ‘{print $1}’ access.log | sort | uniq | wc -l # UV（去重 IP 数）
- wc -l access.log # PV（总行数）
- 按天统计 PV：
- awk ‘{print $4}’ access.log | awk -F’[ :]’ ‘{print $1" “$2” "$3}’ | sort | uniq -c | sort -nr
- Top URL 与状态码分布：
- awk ‘{a[$7]++}END{for(v in a)print v,a[v]}’ access.log | sort -k2 -nr | head
- awk ‘{a[$9]++}END{for(v in a)print v,a[v]}’ access.log | sort -nr
- 错误与异常定位
- 实时观察错误：tail -f /var/log/nginx/error.log
- 统计 499 并按 IP/URL/时延排查：
- awk ‘$9 == 499 {print $1,$7,$request_time,$upstream_response_time}’ access.log | sort -k3 -nr | head
- 检查上游连通与超时：grep -i “upstream.*timed out|connect.*failed” /var/log/nginx/error.log
- 可视化与长期分析
- 使用 GoAccess 生成交互式报表：goaccess /var/log/nginx/access.log -a
以上命令覆盖日常排查的高频场景，适合快速定位异常与验证优化效果。
日志格式与采集建议
- 为性能与可观测性增强日志字段
- 在 http { log_format } 中增加：$request_time、$upstream_response_time、$upstream_addr、$http_x_forwarded_for、$ssl_protocol、$ssl_cipher、$server_name 等，便于分析时延、上游与加密套件。
- 正确获取真实客户端 IP
- 反向代理/CDN 场景务必记录并优先使用 X-Forwarded-For 的最左地址作为真实客户端 IP，避免将代理 IP 误判为用户。
- 错误日志级别与路径
- 生产常用 error/warn 级别；可按 server 拆分错误日志，便于隔离问题域。
- 配置变更与热加载
- 变更后用 nginx -t 校验，使用 systemctl reload nginx 热加载，确保不中断服务。
- 日志轮转与容量管理
- 使用 logrotate 管理 access/error 日志轮转，避免磁盘被占满（/etc/logrotate.d/nginx）。
- 可视化与集中化
- 小规模用 GoAccess；中大规模建议 Filebeat + Elasticsearch + Kibana 做集中采集、检索与仪表盘。
以上实践能显著提升日志可读性与排障效率，并支撑长期容量与性能优化。