nginx通过syslog驱动推送结构化json日志至elk是轻量低侵入方案，需配置syslog目标、定义json_log格式、下游用logstash等解析json并校准时间戳。

直接用 Nginx 的 syslog 驱动推送日志到远程 ELK 或中心化平台，是轻量、低侵入的方案，但需注意：Nginx 本身不解析或转换日志格式，它只负责“原样转发”，所以关键在日志结构是否可被下游（如 Logstash、Filebeat 或 Syslog 服务器）准确识别和解析。

一、启用 Nginx 的 syslog 日志驱动

Nginx 1.7.1+ 原生支持 syslog 作为 access_log 目标。你无需改写日志逻辑，只需在 nginx.conf 中替换 access_log 指令：

• 在 http、server 或 location 块中，禁用文件日志，改用 syslog：

access_log syslog:server=192.168.10.50:514,facility=local7,tag=nginx_access,severity=info json_log;

• server=IP:PORT：指向你的 syslog 收集器（如 rsyslog、syslog-ng 或 Logstash 的 syslog input）；
• facility 和 severity 用于分类和过滤，建议统一用 local7.info 避免与系统日志冲突；
• tag 是自定义标识，便于后续路由（如 Logstash 中用 if [syslog_program] == "nginx_access" 匹配）；
• json_log 是你提前定义的 JSON 格式（见下一点），必须存在且启用。

二、配合使用结构化 JSON 日志格式

单纯 syslog 转发纯文本（如默认 combined 格式）会导致下游解析困难。强烈建议搭配自定义 JSON 格式：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

• 在 http 块中定义：

log_format json_log '{"@timestamp":"$time_iso8601","clientip":"$remote_addr","method":"$request_method","url":"$request_uri","status":$status,"size":$body_bytes_sent,"responsetime":$request_time,"agent":"$http_user_agent","referer":"$http_referer"}';

• 确保字段名小写、无空格、类型明确（如 status 不加引号，数值型字段不套字符串）；
• $time_iso8601 是标准 ISO 时间，Logstash / Filebeat 可直接用 date filter 解析；
• 避免使用 $upstream_response_time 等可能为空或含逗号的变量，否则 JSON 不合法。

三、下游接收端配置要点

syslog 报文到达后，需由中间服务做协议解包、JSON 提取、时间标准化和路由分发。常见组合及配置重点：

• Logstash（推荐）：用 syslog input 插件 + json filter：

input { syslog { port => 514 } }
filter { if [syslog_program] == "nginx_access" { json { source => "message" } date { match => ["@timestamp", "ISO8601"] } } }
output { elasticsearch { hosts => ["es-server:9200"] index => "nginx-%{+YYYY.MM.dd}" } }

• rsyslog + imfile + mmjsonparse（轻量替代）：适合资源受限环境，将 syslog 写入本地文件再由 Filebeat 采集；
• Filebeat（v8+）：不直接支持 syslog input，但可通过 udp 或 tcp input 接收原始 syslog 报文，再用 decode_json 处理 —— 需自行处理 PRI 值、header 剥离等细节。

四、验证与排错关键点

常见失败不是“收不到”，而是“收到但解析失败”或“时间/索引错乱”：

• 先在接收端抓包确认 UDP/TCP 是否通：tcpdump -i any port 514；
• 检查 Nginx error.log 是否报 syslog server unreachable 或 invalid json；
• 用 logger -n 192.168.10.50 -P 514 -t nginx_access '{"test":1}' 手动测试连通性与 JSON 接收；
• 若日志中出现 \u0000 或乱码，通常是 Nginx 编码与 syslog 服务端字符集不一致，统一设为 UTF-8 并禁用 BOM；
• ES 中 @timestamp 显示为接收时间而非请求时间？说明 date filter 未生效或匹配失败 —— 检查字段名是否拼错、时区是否缺失。