Nginx作为高性能的Web服务器与反向代理，每天会产生大量的访问日志和错误日志。当业务部署在多台主机时，逐台登录查看文本日志既低效又容易遗漏线索。Graylog是一款开源的日志管理工具，具备收集、索引、搜索和告警能力，将Nginx日志集中到Graylog中，可以实现统一存储与实时分析。
为什么需要将Nginx日志集中到Graylog
在单机环境下，使用tail或grep查看Nginx的access.log或许还能应付，但集群规模扩大后，日志分散在数十个节点，运维人员很难拼出完整的请求链路。集中管理首先解决的是日志孤岛问题，所有节点的数据汇聚到同一平台，方便横向对比和全局检索。
另一个现实原因是排障效率。比如某接口突然出现大量500错误，如果日志分散，需要依次登录每台机器过滤关键字；而在Graylog中，只需一条查询语句就能跨节点定位异常源IP、URL和响应时间。同时Graylog的仪表盘可以把慢请求、爬虫流量、带宽消耗做成可视化图表，为容量规划提供依据。
Nginx端的日志格式准备
默认Nginx的日志格式是combined，虽然包含基础字段，但不便于机器解析。建议在nginx.conf中自定义json格式，这样后续转发到Graylog时无需复杂正则提取。示例如下：
log_format json_log escape=json '{ "time":"$time_iso8601", "remote_addr":"$remote_addr", "request":"$request", "status":$status, "body_bytes":$body_bytes_sent, "upstream_time":$upstream_response_time }';
定义好后，在server或http块中指定access_log使用此格式并输出到本地文件，例如access_log /var/log/nginx/access.log json_log。错误日志保持error级别即可。采用结构化日志不仅降低Graylog解析压力，也避免字段错位导致统计偏差。
需要注意，如果Nginx以容器方式运行，应将日志目录挂载到宿主机，或直接将日志输出到标准输出再由采集器读取。无论哪种方式，核心是保证日志内容稳定且字段命名清晰，方便平台端建立映射。
将Nginx日志发送到Graylog的常用方式
最轻量的方案是利用syslog。Graylog支持通过UDP或TCP接收syslog消息，Nginx本身不直接支持syslog转发，但可借助rsyslog或syslog-ng监听日志文件并转发。在rsyslog配置中加入规则，把nginx的access.log以模板格式推送至Graylog的syslog input端口。
更现代的做法是使用Filebeat。Filebeat部署在每台Nginx服务器上，监控日志文件变化，并将增量内容发送到Graylog的Beats input。相比syslog，Filebeat具备背压机制和断点续传，网络抖动时不会丢数据。配置中指定paths为nginx日志路径，output指向Graylog服务器地址与端口即可。
| 方式 | 部署复杂度 | 可靠性 | 适用场景 |
|---|---|---|---|
| rsyslog转发 | 低 | 中 | 节点少、快速验证 |
| Filebeat | 中 | 高 | 生产集群、长期运行 |
| 直接写Kafka再由Graylog消费 | 高 | 高 | 超大规模日志总线 |
Graylog端的配置与解析
在Graylog中首先要创建对应的Input，例如Beats类型，监听特定端口。当日志到达后，若已是JSON格式，可在Input设置中开启“收件人解析为JSON”，平台会自动把字段提取为可搜索属性。若是文本格式，则需编写Grok模式提取remote_addr、status等。
字段提取完成后，建议建立Stream将Nginx日志单独分流，避免与系统日志混杂。接着添加仪表盘，放入热门URL排行、状态码分布、平均响应时间等部件。日常运维中，通过设置告警条件，如5xx比例超过阈值就邮件通知，可实现主动发现问题。
日常分析中的实用技巧
集中管理的最大价值在于关联分析。例如发现某时间段带宽突增，可在Graylog中按remote_addr聚合，迅速看出是否是单一爬虫或恶意扫描。结合upstream_time字段，还能判断慢响应来自后端还是Nginx自身转发。
此外，利用Graylog的搜索语法，如status:500 AND path:/api/*，能精准过滤出故障接口。定期导出报表给开发团队，也有助于推动代码层优化。只要Nginx日志字段设计合理，Graylog几乎可以覆盖绝大部分Web层可观测性需求。
Nginx日志Graylog集中管理日志收集修改时间：2026-08-11 03:30:26