Monitoraggio dei Log di Nginx: Comandi Chiave per Analizzare Traffico Web ed Errori

Il monitoraggio dei log di Nginx è spesso il modo più rapido per rispondere alla domanda che le persone si pongono durante un incidente: "Cosa sta realmente accadendo in questo momento?" Le metriche possono dirti che gli errori 5xx sono aumentati. I log possono mostrare il percorso, l'upstream, il codice di stato, l'IP del client e i dettagli temporali per le richieste che hanno fallito.

I comandi qui utilizzano strumenti Linux ordinari: tail, grep, awk, sort, uniq, less e le loro varianti per log compressi. Non sostituiscono una vera piattaforma di log, ma sono esattamente ciò di cui hai bisogno quando hai accesso SSH a un server e necessiti di una risposta rapida e difendibile.

Comprendere i Tipi di Log di Nginx

Nginx genera tipicamente due tipi principali di log, configurati all'interno di nginx.conf o dei file di configurazione associati:

Log di Accesso (access.log): Registra ogni richiesta elaborata dal server. Questo log è fondamentale per comprendere il comportamento degli utenti, il volume del traffico, la distribuzione geografica e i tempi di risposta. Per impostazione predefinita, i campi spesso includono indirizzo IP, metodo di richiesta, URI, codice di stato HTTP, dimensione della richiesta e user agent.
Log di Errore (error.log): Registra informazioni diagnostiche, avvisi ed errori critici incontrati da Nginx stesso (ad esempio, problemi di configurazione, timeout upstream, esaurimento delle risorse). Questo log è il primo punto di riferimento per la risoluzione dei problemi lato server.

Posizioni Standard dei Log

Sebbene le posizioni possano essere personalizzate, i log di Nginx si trovano tipicamente nelle seguenti directory sulla maggior parte delle distribuzioni:

Tipo di Distribuzione	Percorso Predefinito dei Log
Debian/Ubuntu	`/var/log/nginx/`
RHEL/CentOS	`/var/log/nginx/`
Installazione Personalizzata (Sorgente)	Varia, controlla `nginx.conf`

Utilizzeremo /var/log/nginx/access.log e /var/log/nginx/error.log come esempi principali.

1. Monitoraggio in Tempo Reale con `tail`

Il comando tail è essenziale per osservare l'attività corrente del server mentre accade. Il flag -f (follow) mantiene l'output che scorre in tempo reale.

Monitoraggio del Traffico di Accesso in Diretta

Per visualizzare le nuove richieste in arrivo al server, usa tail -f sul log di accesso:

tail -f /var/log/nginx/access.log

Monitoraggio degli Errori Simultaneamente

Spesso è utile monitorare gli errori mentre si testano modifiche alla configurazione o distribuzioni. Puoi farlo eseguendo due sessioni terminali separate o usando uno strumento come multitail (se installato):

tail -f /var/log/nginx/error.log

Suggerimento: Se hai bisogno di vedere le ultime 100 righe prima di seguire le nuove voci, usa tail -n 100 -f /var/log/nginx/access.log.

2. Ricerca e Filtraggio con `grep`

grep (Global Regular Expression Print) è il cavallo di battaglia per trovare righe specifiche all'interno dei file di log. Ti permette di filtrare rapidamente i log in base a codici di stato, indirizzi IP, metodi e altro.

Trovare Codici di Stato HTTP Specifici

Durante la risoluzione dei problemi, identificare rapidamente tutte le richieste che hanno provocato un errore specifico è fondamentale. Usiamo spazi attorno al codice di stato per prevenire falsi positivi da numeri simili (ad esempio, evitare di abbinare 200 in 2000).

Trova tutti gli errori 404 (Non Trovato):

grep " 404 " /var/log/nginx/access.log

Trova tutti gli errori 5xx del Server:

grep -E " 50[0-9] " /var/log/nginx/access.log

Filtraggio per Percorso della Richiesta o Indirizzo IP

Per vedere tutte le richieste effettuate da uno specifico indirizzo IP client o tutti i tentativi di accesso a un percorso specifico (ad esempio, /admin):

# Filtra per indirizzo IP client
grep "192.168.1.10" /var/log/nginx/access.log

# Filtra per tentativi di accesso a un URL specifico
grep "/wp-login.php" /var/log/nginx/access.log

Filtraggio in Tempo Reale

Puoi reindirizzare l'output di tail -f in grep per monitorare solo eventi specifici mentre si verificano:

# Feed in diretta solo degli errori 5xx
tail -f /var/log/nginx/access.log | grep -E " 50[0-9] "

3. Gestione di Log Grandi e Ruotati

I file di log possono diventare enormi rapidamente. Nginx utilizza tipicamente utilità di rotazione dei log (logrotate) per comprimere i log vecchi usando gzip.

Revisione di File Grandi con `less`

Invece di caricare l'intero file in memoria (che potrebbe far crashare una sessione terminale), usa less per sfogliarlo. less permette anche la navigazione all'indietro e una ricerca efficiente.

less /var/log/nginx/access.log
# All'interno di less, premi 'G' per andare alla fine, 'g' per andare all'inizio e '/' per cercare.

Ricerca in Log Compressi con `zgrep`

Per cercare nei log ruotati (file .gz) senza decomprimerli manualmente, usa le varianti z dei comandi comuni (zcat, zgrep).

# Cerca un errore 403 in un file di log compresso
zgrep " 403 " /var/log/nginx/access.log.1.gz

4. Analisi Strutturata con `awk`, `cut` e `sort`

I log di Nginx, specialmente quelli che usano il formato combinato standard, sono strutturati da spazi. Questa struttura permette a strumenti come awk e cut di estrarre campi di dati specifici per l'analisi statistica.

Nel formato combinato predefinito, i campi chiave sono tipicamente:

$1: Indirizzo IP Remoto
$7: URI Richiesto
$9: Codice di Stato HTTP
$10: Byte inviati
$12: Referer HTTP
$14: User Agent

Trovare le Pagine Più Richieste

Questa pipeline usa awk per estrarre l'URI ($7), sort per raggruppare voci identiche, uniq -c per contarli e sort -nr per elencarli numericamente in ordine inverso (conteggio più alto primo).

awk '{print $7}' /var/log/nginx/access.log | \
sort | uniq -c | sort -nr | head -10

Conteggio dei Codici di Stato

Per ottenere rapidamente una ripartizione di tutti i codici di stato registrati nel log:

awk '{print $9}' /var/log/nginx/access.log | \
sort | uniq -c | sort -nr

Output di Esempio:

Identificazione delle Richieste ad Alta Latenza (Se Registrate)

Se la tua configurazione di Nginx registra il tempo di risposta upstream ($upstream_response_time), puoi usare awk per trovare richieste lente (ad esempio, più lente di 1 secondo).

Nota: Questo presuppone che il tempo di risposta sia il 12° campo ($12). Controlla la tua configurazione log_format prima di fidarti del numero del campo.

awk '($12 > 1.0) {print $12, $7}' /var/log/nginx/access.log | sort -nr

Best Practice per l'Analisi dei Log

Usa `grep -v` per l'Esclusione

A volte è necessario filtrare il rumore comune, come i controlli di salute o i bot benigni noti. Il flag -v in grep inverte la corrispondenza, mostrando righe che non corrispondono al pattern.

# Visualizza i log di accesso, escludendo tutte le risposte 200 riuscite
grep -v " 200 " /var/log/nginx/access.log

# Visualizza i log, escludendo gli user agent noti di Googlebot
grep -v "Googlebot" /var/log/nginx/access.log

Confronta i Log di Accesso con i Log di Errore

Quando vedi un picco di risposte 502 o 504, controlla il log degli errori per la stessa finestra temporale. I log di accesso mostrano il risultato lato client. I log di errore spesso spiegano il motivo lato proxy:

grep "upstream" /var/log/nginx/error.log | tail -50
grep -E "connect\(\) failed|upstream timed out|no live upstreams" /var/log/nginx/error.log

Ad esempio, un 502 nel log di accesso più connect() failed (111: Connection refused) nel log degli errori punta verso un servizio upstream che non accetta connessioni. Un 504 più upstream timed out punta verso un upstream lento o un'impostazione di timeout troppo bassa per quel percorso di richiesta.

Fai Attenzione ai Numeri dei Campi

Molti esempi assumono il formato di log combinato di Nginx. Le configurazioni di produzione reali spesso aggiungono $request_time, $upstream_response_time, $host, $request_id o campi IP inoltrati. Prima di usare un comando awk '{print $9}' in un'indagine seria, controlla il formato attivo:

nginx -T 2>/dev/null | grep -A3 "log_format"

Se il tuo formato di log racchiude la richiesta tra virgolette, i campi awk separati da spazi funzionano ancora per controlli semplici, ma sono facili da interpretare male per user agent e referrer perché quei valori contengono spazi. Per un'analisi più approfondita, invia i log a un parser o usa un formato come l'escape JSON in un log di accesso dedicato.

Gestione Sicura

I log di accesso di Nginx contengono dati sensibili come indirizzi IP e potenzialmente parametri di richiesta. Assicurati che quando trasferisci i log per l'analisi, utilizzi protocolli sicuri (SCP/SFTP) e limiti l'accesso alla directory dei log al personale autorizzato (tipicamente l'utente root o syslog).

# Controlla i permessi
ls -l /var/log/nginx/

Un Flusso di Lavoro Pratico

Inizia dal sintomo. Se gli utenti segnalano errori, conta i codici di stato e isola i percorsi che falliscono. Se il server sembra lento, cerca i campi di temporizzazione delle richieste o aggiungili al formato del log prima del prossimo incidente. Se un IP è rumoroso, conta i principali indirizzi client:

awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head

Poi passa dal generale al particolare: codice di stato, percorso, errore upstream, finestra temporale, pattern del client. Conserva i comandi esatti che hai usato nelle note dell'incidente. Renderanno la prossima revisione molto più semplice e aiuteranno un altro ingegnere a riprodurre le tue scoperte invece di fare affidamento su un vago ricordo di come i log "sembravano".

I log di Nginx sono testo semplice, il che è un punto di forza quando gli strumenti giusti sono a portata di mano. Conosci il tuo formato di log, evita di fidarti ciecamente dei numeri di campo copiati e abbina i pattern dei log di accesso con i messaggi dei log di errore prima di decidere cosa si è rotto.