Nginx 解决error.log和access.log日志的改善总结（nginx日志大量502）

1. 介绍自从了解了error和access日志的重要性，并且学会阅读相关log文档之后通过调整nginx配置，解决error中的大量报错提示通过过滤js等静态资源减少大量的access日志记录内容同时，经过使用阿里云安全组封禁大量国外ip地址的访问。

我的access.log文件和error.log的尺寸得到了有效压缩管理access.log 从原先的12m左右的的文件，变成了现在的400KB记录的访问数据也清晰了很多error.log也从原先的8M左右的文件，变成了现在的1KB，或者300Bytes的文件。

+ k! l; Q5 c$ G3 _

甚至有时候还是0 Bytes日志文件的减少，也降低了服务器的IO读取的性能开支可以将更多的内存资源用于处理正常的请求可以说是一个双赢的结局本篇作为一个回顾总结内容具体的error文件内容配置可以参考：https://zinyan.com/?p=450 ，https://zinyan.com/?p=453。

access.log的文件配置可以参考：https://zinyan.com/?p=445，https://zinyan.com/?p=444，以及爬虫屏蔽过滤返回444：https://zinyan.com/?p=454。

0 c( g$ m0 e, N- Z& L' o

2. 总结现在error文件中，剩下的记录主要就是SSL: error:141CF06C:SSL routines:tls_parse_ctos_key_share:bad key share异常了处理这个异常，可以通过封禁ip地址的访问，也可以不用在意。

剩下的就是access.log文件了当我们配置UserAgent请求中带有爬虫关键字的请求直接返回444之后，例如：Status:444,Bytes:0,IP:185.117.225.171,Time:[

* |; Y2 N1 C% Z. k9 k

2022-11-24T04:18:36+08:00],Host:"zinyan.com",Request:"GET /robots.txt HTTP/1.1",Referer:"-",UserAgent

o' J' t5 K/ u k

:"python-requests/2.28.1"Status:444,Bytes:0,IP:51.77.247.119,Time:[2022-11-24T04:57:39+08:00],Host:"47.101.47.241"

,Request:"POST /phpinfo HTTP/1.1",Referer:"-",UserAgent:"curl/7.64.0"对比不同日期的access.log 可以发现，爬虫请的数量在不断变少。

: \2 d* P. D' a; M! D

因为当爬虫多次请求得到结果是444后，会渐渐降低我们网站的爬取级别，最终犹豫得不到数据而放弃爬取但是，也会有一些新增加的爬虫需要我们注意，并添加到过滤条件中而且也有一些过滤无法生效的情况，需要我们随时进行一些配置的修改例如：。

Status:404,Bytes:177,IP:18.195.96.149,Time:[2022-11-24T04:58:10+08:00],Host:"zinyan.com",Request:"GET /s/.git/HEAD HTTP/1.1"

,Referer:"-",UserAgent:"RepoLookoutBot/1.0.0 (abuse reports to abuse@repo-lookout.org)"Status:404,Bytes

:186,IP:18.195.96.149,Time:[2022-11-24T04:58:42+08:00],Host:"zinyan.com",Request:"GET /categories/.git/HEAD HTTP/1.1"

. q3 V5 ~, f6 C' B( a+ T

,Referer:"-",UserAgent:"RepoLookoutBot/1.0.0 (abuse reports to abuse@repo-lookout.org)"我们需要新增：RepoLookoutBot 爬虫工具的过滤。

7 Q! y) X5 H! ?7 Q6 i# b/ s; P: P

还有通过CensysInspect 工具：Status:400,Bytes:248,IP:167.248.133.62,Time:[2022-11-24T07:17:24+08:00],Host:"47.101.47.241:443"

,Request:"GET / HTTP/1.1",Referer:"-",UserAgent:"Mozilla/5.0 (compatible; CensysInspect/1.1; +https://about.censys.io/)"

( t+ I* ?, o5 V4 x, }& I

同时在屏蔽过程中出现了有些能够屏蔽而有些无法屏蔽的问题：Status:444,Bytes:0,IP:167.248.133.62,Time:[2022-11-24T07:17:20+08:00],Host

:"47.101.47.241:443",Request:"GET / HTTP/1.1",Referer:"-",UserAgent:"-"Status:400,Bytes:248,IP:167.248

5 i, ]* e( S q% w: T+ {- o

.133.62,Time:[2022-11-24T07:17:23+08:00],Host:"47.101.47.241:443",Request:"GET / HTTP/1.1",Referer:"-"

,UserAgent:"-"两种访问从access.log中看到，可以说完全一样但是却一个返回444，一个返回400 返回444说明我的nginx过滤规则生效了而400说明没有生效同时，还需要添加上Host为空的访问，将它们进行过滤，例如：。

: C# F" d' o M4 N0 c1 H& L) W9 s

Status:400,Bytes:150,IP:167.248.133.62,Time:[2022-11-24T07:17:24+08:00],Host:"-",Request:"PRI * HTTP/2.0"

4 B( U% E) B! ^) K# q# ]/ T1 ^) I

,Referer:"-",UserAgent:"-"同时，我们也可以检查静态资源是否全部都过滤的情况，例如我的资源用到了jfif，webp文件我就需要添加到过滤规则中去PS：可能存在部分的过滤失败，但是整体上来说。

% [6 v8 q( i8 W) K0 M% n; A

提高了网站的安全性，降低了大量的非法请求在收获上来说，这一些配置的付出是值得的3. 改进 nginx过滤规则基于发现的问题，再次改进access的过滤规则以及非法请求返回444的判断逻辑3.1 修改access_log 记录。

' Z! n0 X1 u9 z8 e H5 |

在/etc/nginx/nginx.conf文件中修改如下： http { . c# n5 }, ?4 c8 w ... log_format main Statusstatus,Bytesbody_bytes_sent,IPremote_addr,Time:[$time_iso8601],Host:"$http_host",Request:"$request",Referer:"$http_referer",UserAgent:"$http_user_agent"

$ X& j! Q$ w& c; K- a

; 7 {( ?8 P4 W: b2 | I map $uri $zinyanloggable { + ?5 Q7 H3 Z, E* [0 q default 1; ~^(.*\.(ico|gif|jpg|jpeg|png|bmp|swf|js|

css|svg|woff|ttf|jfif|webp)$) 0; / U1 H9 E! B$ C, u( g } \- u# v0 _5 }% V$ i; } access_log /var/log/nginx/access.log main if=$zinyanloggable; 1 F! f) q2 U* j- Q0 o4 m& s9 F ... }

7 T8 ~( G3 T1 m2 R3 U0 \: g8 [$ E

这样，access文件中就不会添加ico|gif|jpg|jpeg|png|bmp|swf|js|css|svg|woff|ttf|jfif|webp 作为后缀结尾的日志内容了3.2 map实现爬虫屏蔽。

老版本写法为： server{ 2 \7 A! F* v" t& i" y ... if ($http_user_agent ~ ^$){ return444; # Z/ W8 C6 o' b* i } if ($http_user_agent ~*

! x$ a" T$ Q( h+ W0 p

"scrapy|python|curl|java|wget|httpclient|okhttp|MJ12bot|Expanse|ahrefsbot|seznambot|serpstatbot|sindresorhus|zgrab"

, X/ {+ v! J. m8 q1 n$ @) ]; O4 m

){ return444; 3 S& d$ Q$ w0 e } ... 7 ^8 _5 X8 Y7 w }效率比较低，如果是多个server那么得写多遍所以修改为map的规则进行但是如果改为map的话，需要在http{}之中先创建map规则，然后再到server中使用就可以了。

示例如下： http { % @2 @. U2 z2 h: E9 Y ... ) p2 f1 k$ U/ `7 r1 k/ E # 创建一个屏蔽规则zinyanUA，而它的取值从$http_user_agent 中获取 + l' U) z$ q% R4 s" o4 s9 C4 M map $http_user_agent $zinyanUA { default 。

: b4 l) F' b/ t" t

0; ~*(scrapy|python|curl|java|wget|httpclient|okhttp|MJ12bot|Expanse|ahrefsbot|seznambot|serpstatbot|

sindresorhus|zgrab|censys|RepoLookoutBot) 1; # @& }3 B( R1 j) o ~ ^$ 1; , I X) d. ^7 G } * p* B3 T. ]) P ... # q, }7 U% j( \0 y+ b5 h& ? }语法解释：~ 表示正则表达式对大小写敏感~* 表示正则表达式对大小写不敏感。

; s8 N4 I% e+ h# Q3 i

后面跟着的内容就是正则表达式了在正则表达式中^代表开头，$代表结尾，^$就代表开头和结尾中间没有字符也就是字符串为空的配置完毕后，在需要的server{}段中添加：server{ ... 。

% p0 a& r* G9 c3 Q

if ($zinyanUA){ - N8 J. S, _ P. P return 444; } $ j' l5 y- c6 } ... 8 ]9 _. B2 c/ v' ?3 N }因为在nginx 的if判断中，参数值0或者为空字符串，会判断为false，其他判断为true。

# D! N4 [8 ]8 {+ n! {% u; X& S- _

而我在上面创建的map对象中，规范了，如果匹配就返回1，不匹配返回0所以if ($zinyanUA)为true的就是需要返回444的请求了nginx: [emerg] unknown directive "if($http_host)" in /etc/nginx/conf.d/zinyan.conf:49 nginx: configuration file /etc/nginx/nginx.conf test failed。

如果你出现了这个if命名错误的提示，并不是所谓的缺乏if命名的依赖库，而是Nginx中的if命名和括号中间需要有空格nginx -t 检测通过后，通过service nginx reload刷新配置就可以生效了。

PS：如果实在过滤不了的，建议直接封IP地址，特别是国外的访问。国内也有不少的攻击

0 ?& \7 e% _6 H. G/ J0 k

内容很干货，没有多余的废话，值得反复看

这个分享太实用了，刚好能用到，感谢楼主！