多级代理中各层Nginx应分责记录error_log：边缘层记连接/SSL错误，中间层记upstream问题，应用层记文件/权限错误；通过map、access_log补全上下文，统一时间基准并按角色分离日志文件。
在多级代理环境中（比如 Client → CDN → Nginx LB → Nginx App Server），error_log 本身不传递请求上下文，但可通过日志内容增强可追溯性——关键不是“让 error_log 自动转发”，而是让每层 Nginx 的 error_log 主动记录与本层相关的代理行为和失败点。
明确各层 error_log 的职责边界
多级代理中，每台 Nginx 应只负责记录自己视角下的错误，避免混淆责任归属：
-
边缘层（如 CDN 或前端 LB）：关注连接中断、SSL 握手失败、客户端超时、HTTP/2 协议错误。error_log 级别建议设为 warn，重点捕获
upstream timed out、client closed connection、ssl handshake failed -
中间层（如反向代理网关）：聚焦 upstream 连接问题，如后端不可达、健康检查失败、proxy_pass 路由异常。可单独为该 server 块配置
error_log /var/log/nginx/gateway-error.log warn; -
应用层（后端服务 Nginx）：记录文件未找到、权限拒绝、rewrite 循环、PHP-FPM 拒绝连接等。配合
log_not_found off关闭静态资源 404 日志，减少干扰
用变量和自定义日志格式补全链路信息
虽然 error_log 不支持直接写入 $http_x_forwarded_for 或 $upstream_addr，但可在错误发生时通过 access_log + map + if 记录关联线索，再结合时间戳对齐排查：
- 在每层 Nginx 的
http块中定义可信来源头：map $http_x_forwarded_for $real_ip {<br> ~^(\d+\.\d+\.\d+\.\d+) $1;<br> default $remote_addr;<br>} - 为关键 server 添加带上下文的 access_log：
access_log /var/log/nginx/proxy-access.log upstream_with_client combined if=$is_upstream_error;
配合：map $status $is_upstream_error { ~^[5] 1; default 0; } - 这样当 error_log 出现
upstream refused connection时，可快速查同一秒附近的 access_log 行，拿到真实客户端 IP、请求路径、后端地址（$upstream_addr）和响应耗时
统一时间基准与错误标记
多级环境最怕时间不同步或错误无标识，导致无法串连日志：
- 所有节点必须启用 NTP 同步（
systemctl enable --now chronyd），确保 error_log 时间戳误差 ≤ 100ms - 在每层 Nginx 的 error_log 路径中加入角色标识，例如：
error_log /var/log/nginx/cdn-error.log warn;error_log /var/log/nginx/lb-error.log warn;error_log /var/log/nginx/app-error.log error; - 对关键错误添加人工标记：在 location 中用
add_header X-Proxy-Stage "app-v2";，并在 access_log 格式中包含该 header，便于在 ELK 或 grep 中过滤整条链路
避免常见误区
多级代理下容易误操作，反而掩盖问题：
-
不要在 http 块全局开启 debug：会淹没真实错误，且需编译支持；仅在定位某一层特定问题时，临时在对应 server 块启用
error_log ... debug -
不要依赖 error_log 记录请求体或 headers：它不提供 $http_* 变量写入能力；如需调试，改用
log_subrequest on+ access_log 配合echo_read_request_body（需 echo 模块） - 不要把所有层 error_log 指向同一个文件：Nginx 多进程写入同一文件虽能追加，但跨主机合并毫无意义；应按节点+角色分离存储，再由日志收集器（如 Filebeat）打标后上传
