Apache的mod_log_config无法记录TCP连接建立耗时，因其工作在应用层，仅在accept()后才接管连接，而TCP三次握手发生在内核传输层；%D等变量均从HTTP请求解析开始计时，与TCP握手无关。
Apache 的 mod_log_config 无法直接记录 TCP 连接建立耗时（即三次握手耗时）。这是由 Apache 架构决定的——它工作在应用层（HTTP），而 TCP 连接建立发生在传输层，早于 HTTP 请求解析，Apache 日志模块根本接触不到这个阶段的时间点。
你看到的 %D、%T、%{X-Process-Time}o 等，全部是连接已建立后，从接收第一个 HTTP 字节（或响应头发出）开始计时的，和 TCP 握手本身无关。
为什么不能用 mod_log_config 记录 TCP 建立耗时？
- TCP 连接在内核协议栈完成，Apache 进程只在
accept()系统调用返回后才获得该连接； -
mod_log_config的所有时间变量（如%D）都基于 Apache 内部事件钩子，最早只能从request_rec创建时开始计时； - 没有内置格式符（如
%{tcp_handshake_time}x或类似）可访问内核级 TCP 连接建立时间戳。
替代方案：真正能获取 TCP 连接耗时的方法
✅ 方案一：客户端主动测量（最常用、最实用）
让发起请求的客户端（如 curl、浏览器、App、监控探针）记录「发起 connect 到收到第一个字节」的总耗时，其中主要成分就是 TCP 握手 + TLS 握手（HTTPS）+ 网络往返延迟。
# curl 显示详细时间，包括 TCP 连接阶段 curl -w "@curl-format.txt" -o /dev/null -s http://example.com/
curl-format.txt 示例：
time_namelookup: %{time_namelookup}\n
time_connect: %{time_connect}\n ← 这就是 TCP 连接建立耗时（含 DNS，但可减去 namelookup 得纯 connect）
time_appconnect: %{time_appconnect}\n ← HTTPS 下包含 TLS 握手
time_pretransfer: %{time_pretransfer}\n
time_starttransfer: %{time_starttransfer}\n
time_connect是业界通用指标，被 Prometheus Blackbox Exporter、Zabbix、Datadog 等广泛采用。
✅ 方案二：服务端用 eBPF 或内核工具捕获（需运维权限）
在服务器侧，绕过 Apache，直接从内核抓取 TCP 连接事件：
-
使用
tcpconnect（bpftrace 或 bcc 工具）：
Apache Superset Dashboard and SQL Exploration Skill下载Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
# 实时打印每个新连接的 PID、目标 IP、耗时（微秒） sudo /usr/share/bcc/tools/tcpconnect -t
-
使用
tcpdump+ Wireshark 分析：sudo tcpdump -i any -nn -s 0 'tcp[tcpflags] & (tcp-syn|tcp-ack) != 0' -w handshake.pcap
在 Wireshark 中过滤
tcp.flags.syn == 1 && tcp.flags.ack == 0（SYN），再看对应连接的 SYN→SYN-ACK 时间差。
注意：这类方法不绑定 Apache，也不写入 access_log，适合专项排查或离线审计，不适合常规日志归档。
✅ 方案三：通过代理层或负载均衡器间接获取（如 Nginx、Envoy、ALB）
部分反向代理支持暴露连接建立指标：
- Nginx 的
$upstream_connect_time（仅限 upstream 场景）； - AWS ALB/ELB 的
TargetConnectionEstablishedTimeCloudWatch 指标； - Envoy 的
upstream_cx_connect_ms统计。
但这些仍不是 Apache 自身能力，且依赖架构中存在该中间层。
❌ 常见误解澄清
-
%D不是 TCP 耗时 → 它是 Apache 接收请求头到发出响应头的微秒数，前提是连接早已建好； -
%{ssl_protocol}x不反映握手过程 → 只表示 TLS 成功协商后的结果，失败握手不会进日志； - 启用
mod_ssl或mod_logio对 TCP 连接计时无帮助 → 它们处理的是更高层数据。
不复杂但容易忽略：TCP 连接耗时必须在连接发起端或网络协议栈层面测量，Web 服务器日志模块天然不具备该能力。
