Linux应用服务器记录访问IP的核心方案是：配置Web服务器（Nginx/Apache）的访问日志模块，默认情况下所有客户端IP都会被自动记录在日志文件中，通过调整日志格式或借助代理转发头，即可精确捕获每个请求的来源地址。
很多朋友第一次接触Linux服务器时，总会好奇：到底谁在访问我的网站？其实答案就藏在服务器自己生成的日志里，今天咱们就围绕linux服务器怎么看访问ip日志这件事，把原理、操作、坑点一次讲透。
访问IP记录在哪个文件里
Linux应用服务器本身不产生”访问记录”，真正干活的是跑在它上面的Web服务软件，目前主流的两大选手Nginx和Apache,都会把访问日志默认写在特定目录下。
Nginx的默认日志位置
Nginx的访问日志通常存储在：
/var/log/nginx/access.log如果你用宝塔面板或OneinStack这类集成环境,路径一般会变成：
/www/wwwlogs/你的域名.logApache的默认日志位置
Apache的访问日志根据发行版略有不同：
- CentOS/RHEL系统：
/var/log/httpd/access_log - Debian/Ubuntu系统：
/var/log/apache2/access.log
这里有个容易混淆的点：access.log记录的是所有HTTP请求（包含IP、时间、请求路径、状态码），而error.log只记录出错信息，想看访问来源,认准access文件就对了。
如何查看日志里的访问IP
光知道文件位置还不够,你得学会怎么从密密麻麻的日志里快速揪出IP。
直接查看最新访问
tail -f /var/log/nginx/access.log
这条命令会实时滚动显示新进来的请求,每行日志的第一段就是访问者的IP地址，
0.113.5 - - [21/Jul/2026:14:23:11 +0800] "GET / HTTP/1.1" 200 612其中0.113.5就是访客的真实IP。
统计访问量最高的IP
当你想知道哪些IP最频繁时,用awk加sort组合：
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -10
这条命令会输出类似结果：
152 203.0.113.5
89 198.51.100.23
12 192.0.2.44第一列是请求次数，第二列是IP地址,这个统计对于识别恶意爬虫或CC攻击来源非常管用。
Nginx记录真实IP的配置方法
很多站长部署了CDN或反向代理后，发现日志里清一色全是代理服务器的IP，真实访客IP反而消失了，这种情况属于典型的Nginx记录真实IP配置缺失。
问题根源：代理层覆盖了来源IP
当请求经过CDN或负载均衡器时，Nginx默认拿到的连接来源是上一级代理的地址，而非用户本机，此时需要从HTTP头部的X-Forwarded-For字段中找回真实IP。
解决方案：set_real_ip_from配合real_ip_header
在Nginx配置文件的http块中加入：
set_real_ip_from 103.21.244.0/22; # CDN节点的IP段 set_real_ip_from 103.22.200.0/22; # 如果有多个CDN段，继续添加 real_ip_header X-Forwarded-For; real_ip_recursive on;
配置完成后重载：
nginx -s reload
需要留意的是，set_real_ip_from填写的必须是可信代理的IP段，否则任何人都能伪造X-Forwarded-For头来伪装IP，业内专家指出，只信任自家代理链路的IP段是防止日志污染的关键前提。
Apache对应的处理办法
如果你用的是Apache,在虚拟主机配置里添加：
RemoteIPHeader X-Forwarded-For RemoteIPTrustedProxy 103.21.244.0/22
效果与Nginx方案完全一致。
自定义日志格式记录更多IP信息
有时候默认的日志格式满足不了需求，比如你想记录访客的IP归属地、用户代理类型或者响应耗时,这时候就需要自定义日志格式。
Nginx自定义log_format
在http块中定义：
log_format main '$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"';
然后让具体的server引用它：
access_log /var/log/nginx/access.log main;
$remote_addr就是IP变量，$http_x_forwarded_for记录代理链上的所有IP。多IP服务器如何确认访问来源这个问题,通过对比这两个字段就能清楚地看到哪一段IP是用户真实出口。
Apache自定义LogFormat
Apache的写法类似：
LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined
CustomLog logs/access_log combined
%h对应客户端IP，如果想要代理后的真实IP，可以改成%a（解析RemoteIPHeader后的地址）。
日志轮转与存储策略
访问日志会随着时间无限增长，如果不加控制，一个日PV过万的站点，日志文件几个月就能撑爆磁盘,所以必须建立日志轮转机制。
使用logrotate按天切割
Linux自带的logrotate工具是首选方案，新建配置文件/etc/logrotate.d/nginx：
/var/log/nginx/.log {
daily
missingok
rotate 30
compress
delaycompress
notifempty
create 640 nginx adm
sharedscripts
postrotate
[ -f /var/run/nginx.pid ] && kill -USR1 `cat /var/run/nginx.pid`
endscript
}
这段配置的含义是：
- daily：每天切割一次
- rotate 30：保留30份，相当于一个月
- compress：对旧日志进行gzip压缩
保留策略的取舍
行业共识认为，普通业务站点保留30-90天的访问日志足够满足安全审计与故障回溯需求，如果服务器磁盘紧张，只保留7天也行，但访问服务器IP会留下记录吗这个问题，答案是肯定的只要日志没被清空,每一天的记录都在那儿摆着。
常见问题排查思路
日志配置本身不难，真正棘手的是遇到”日志里没IP”或者”IP不对”的情况。
日志文件为空
先确认Web服务是否在运行：
systemctl status nginx
再检查access_log指令是否被注释掉了，有些精简配置模板默认只开了error_log,忘记开access_log。
日志里出现127.0.0.1
这种情况多半是本机程序回环请求所致，比如本机运行的Cron脚本或者监控服务在访问自己的端口，不是故障，但如果高频出现,查看一下对应进程就行。
所有IP一模一样
如前文所说，检查是否走了CDN或SLB而没有配置real_ip_header，使用Docker映射端口时，需要在nginx容器内将--network=host或正确配置set_real_ip_from 172.0.0.0/8,否则看到的永远是docker网关地址。
分析IP日志的实用工具
当你的站点访问量较大时，用命令行一条条看日志会有些吃力,此时可以引入现成的日志分析工具。
| 工具名称 | 安装方式 | 核心亮点 |
|---|---|---|
| GoAccess | apt install goaccess |
终端实时可视化，支持地理IP解析 |
| Webalizer | yum install webalizer |
生成HTML报表，老牌稳定 |
| ELK Stack | 手动部署 | 分布式日志检索，适合多服务器场景 |
以GoAccess为例,一条命令就能生成交互式报告：
goaccess /var/log/nginx/access.log --log-format=COMBINED
它会自动归拢所有IP的访问次数、地理位置、访问时间线,比盯着awk输出直观得多。
Linux应用服务器记录IP的边界场景
聊完Web层,还有些边界场景值得提一嘴。
- SSH登录记录：查看
/var/log/secure（CentOS）或/var/log/auth.log（Debian）,记录着所有SSH登录尝试的IP地址。 - 防火墙日志：iptables或firewalld开启日志后，
/var/log/messages里会记录被拦截的数据包来源IP。 - 应用自带日志：Java应用（Spring Boot）默认不出IP，但可通过
logback配置RequestContextFilter来捕获。django应用服务器如何记录访客IP则相对方便，中间件里直接读REMOTE_ADDR即可。
小结
记录访问IP是Linux服务器运维的基础功，核心要点无非三件事：确认日志存在、理解默认格式、处理好代理场景，当你遇到疑似攻击或异常流量时，第一步永远是打开access.log，用tail或awk定位异常IP，只要日志链路没断,任何访问行为都无所遁形。
常见问题解答
Q1：linux服务器怎么看访问ip日志最快捷？
直接进入日志目录执行tail -n 100 access.log，就能看到最近100条请求的IP清单，想要实时刷新就加-f参数，如果你连文件路径都不确定，用find / -name "access.log" 2>/dev/null全盘搜索即可。
Q2：Nginx和Apache记录IP的方式有什么区别？
两者默认都会记录IP，但字段位置不同，Nginx的$remote_addr是第一个字段，Apache的%h同样也是首个字段，差异集中在代理场景下的真实IP还原：Nginx用real_ip_header指令，Apache用RemoteIPHeader指令,功能等价。
Q3：为什么我用CDN后日志里全是同一个IP段？
因为CDN节点代替访客向源站发起了请求，源站看到的连接来源就是CDN边缘节点的出口IP，解决办法是配置set_real_ip_from加上real_ip_header X-Forwarded-For，把自己使用的CDN IP段声明为可信来源，Nginx就会自动读取HTTP头中携带的用户真实IP，配置完记得用nginx -t测试语法再重载。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/792406.html
