Журналы nginx: access.log и error.log — где они и как их читать

Где лежат журналы

Эти пути заданы в файле /etc/nginx/nginx.conf: строка error_log — в начале файла, access_log — в блоке http. Если у сайта свой журнал, строки access_log и error_log стоят в файле настроек сайта. Все строки с журналами покажет команда:

sudo nginx -T 2>/dev/null | grep '_log '

nginx -T выводит все настройки вместе с подключёнными файлами, а grep оставляет из них строки с журналами. Строки, которые начинаются со знака #, выключены. Если команда ничего не вывела, проверьте настройки: sudo nginx -t — при ошибке в них nginx -T ничего не покажет.

Как читать журнал запросов

В Ubuntu у строки access_log не указан формат — значит, nginx пишет журнал в формате combined. Строка журнала состоит из таких частей, по порядку:

Если значения нет — например, посетитель открыл сайт не по ссылке, — на его месте стоит дефис. Номера частей для подсчётов командой awk — в разделе Готовые команды для журнала nginx.

Как найти нужные строки

Последние 20 ответов с кодом 404:

sudo grep '" 404 ' /var/log/nginx/access.log | tail -n 20

Кавычка и пробелы в шаблоне нужны, чтобы grep нашёл именно код ответа, а не число 404 в адресе страницы. Ответы с ошибками сервера — коды от 500 до 599:

sudo grep '" 5[0-9][0-9] ' /var/log/nginx/access.log | tail -n 20

Все запросы с одного IP: sudo grep '^203.0.113.10 ' /var/log/nginx/access.log. Вместо 203.0.113.10 подставьте нужный адрес.

Сколько раз встречается каждый код ответа и какие страницы открывают больше всего — Команды wc, sort и uniq. Все ключи grep — Команда grep.

Как читать журнал ошибок

Строка журнала ошибок состоит из частей, перечисленных ниже. Не в каждой строке есть все: сведения о запросе бывают только у ошибок, которые случились во время его обработки.

Что значат сообщения в журнале ошибок

Если вашего сообщения нет в таблице, найдите его в списке Все ошибки nginx.

Уровни журнала ошибок

Каждая строка журнала ошибок отмечена уровнем. Уровни от самого подробного к самому серьёзному:

Уровень пишут в строке error_log после имени файла. nginx записывает сообщения этого уровня и более серьёзные. В Ubuntu уровень не указан — значит, error: в журнал попадают error, crit, alert и emerg, а предупреждения warn и заметки notice — нет. Чтобы видеть и предупреждения, в файле /etc/nginx/nginx.conf допишите уровень:

error_log /var/log/nginx/error.log warn;

Затем проверьте настройки и примените их: sudo nginx -t, потом sudo systemctl reload nginx.

Журналы отдельного сайта

Чтобы запросы и ошибки одного сайта шли в свои файлы, задайте их в блоке server:

1. Откройте файл сайта: sudo nano /etc/nginx/sites-available/example.com. Вместо example.com — имя файла вашего сайта: список покажет ls /etc/nginx/sites-enabled/. Если система спросит пароль, введите пароль своего пользователя на сервере. Символы при вводе не видны — наберите пароль и нажмите Enter.
2. В блоке server, после строки server_name, добавьте две строки — как в примере ниже.
3. Сохраните файл — Ctrl+O, Enter, затем Ctrl+X — и проверьте настройки: sudo nginx -t. В ответе должны быть слова syntax is ok и test is successful. Тогда примените их: sudo systemctl reload nginx. Если команда ничего не ответила, настройки применены.
4. Откройте сайт в браузере и проверьте, что запрос появился в новом журнале: sudo tail -n 5 /var/log/nginx/example.com.access.log.

server {
    server_name example.com;
    access_log /var/log/nginx/example.com.access.log;
    error_log /var/log/nginx/example.com.error.log;

    # остальные строки блока — без изменений
}

Строки в блоке server заменяют общие из nginx.conf: запросы к этому сайту и ошибки при их обработке будут записываться в его файлы. Файлы nginx создаст сам, а папку — нет, поэтому пишите путь в папку, которая уже есть, — /var/log/nginx/. Имя файла заканчивайте на .log: тогда Ubuntu будет чистить и этот журнал — как.

Как отключить журнал

Строка access_log off; отключает журнал запросов в блоке, где она стоит. Например, чтобы не записывать запросы к значку сайта, добавьте в блок server:

location = /favicon.ico {
    access_log off;
    log_not_found off;
}

log_not_found off отключает записи в журнал ошибок о том, что файла нет: если значка на сайте нет, журнал не будет заполняться строками о нём.

Журнал ошибок так не отключается: в строке error_log off; nginx примет off за имя файла и будет писать ошибки в файл с именем off. Чтобы записей стало меньше, поднимите уровень: error_log /var/log/nginx/error.log crit;. Отключать журнал ошибок совсем не стоит — по нему находят причину 502, 403 и других ошибок.

Как Ubuntu чистит старые журналы

Журналы nginx в Ubuntu обслуживает программа logrotate, её настройки для nginx — в файле /etc/logrotate.d/nginx. Раз в сутки она переименовывает журнал в .1, а вчерашний файл .1 сжимает в .2.gz. Хранятся 14 старых файлов, более старые удаляются. Пустой журнал не переименовывается. После переименования nginx начинает писать в новый файл.

Сжатый журнал читают командой zcat, искать в нём — командой zgrep:

sudo zcat /var/log/nginx/access.log.2.gz | tail -n 20
sudo zgrep '" 404 ' /var/log/nginx/access.log.2.gz

В настройках logrotate стоит шаблон /var/log/nginx/*.log — все файлы с окончанием .log в этой папке. Поэтому свои журналы сайтов кладите туда же и называйте с .log на конце. Если журналы всё же заняли диск — No space left on device.

Ошибки и как их исправить