Nginx网关指南：利用Syslog将网关日志实时推送到中心库-Nginx-PHP中文网

使用Syslog可让Nginx日志自动可靠接入ELK/Loki/Splunk：需确认启用--with-http-syslog-module，配置access_log和error_log指向syslog服务端，服务端用rsyslog按facility/tag分流或转发至中心系统。

nginx网关指南：利用syslog将网关日志实时推送到中心库

想让 Nginx 网关的日志自动、可靠地进入你的中心日志系统（比如 ELK、Loki 或 Splunk）？用 Syslog 是最轻量又兼容性最强的方式之一，无需额外代理，Nginx 原生支持。

不是所有 Nginx 二进制包都默认开启 syslog 模块。运行以下命令检查：

nginx -V 2>&1 | grep -o with-http-syslog-module

若无输出，说明未启用。你需要重新编译 Nginx，添加 --with-http-syslog-module 参数；或者改用官方预编译的 mainline 版本（通常已内置），或使用 OpenResty（默认支持）。

在 http 或 server 块中，替换原有文件日志为 syslog 地址：

access_log syslog:server=192.168.10.50:514,facility=local7,tag=nginx_access,severity=info;
error_log syslog:server=192.168.10.50:514,facility=local7,tag=nginx_error,severity=warning;

说明：

server=IP:PORT：指向你的 Syslog 服务端（如 rsyslog、syslog-ng 或 Loki 的 Promtail Syslog listener）
facility：用于分类日志来源，常用 local0–local7，便于服务端路由
tag：在日志消息前添加标识，方便在中心系统中过滤（如 Kibana 中用 nginx_access 筛选）
severity：设定日志级别，注意 Nginx 的 error_log 级别是全局生效的，access_log 不支持 severity

确保 rsyslog 启用 UDP/TCP 接收，并按 facility 和 tag 路由日志到指定路径或转发至中心系统：

编辑 /etc/rsyslog.conf 或新建 /etc/rsyslog.d/20-nginx.conf
启用模块：module(load="imudp") 和 input(type="imudp" port="514")
按 facility 分流：if $syslogfacility-text == 'local7' and $programname == 'nginx_access' then /var/log/nginx/access-syslog.log
或直接转发到 Loki：module(load="omhttp") + 使用 omhttp 模块 POST 到 Loki 的 /loki/api/v1/push 接口（需 JSON 封装）