Apache 접근 로그 · 오류 로그 칸별 풀이

common 과 combined

mod_log_config 문서에 나오는 형식 문자열입니다. 셋째 줄은 combined 끝에 요청 처리 시간(마이크로초) %D 를 붙인 것입니다.

LogFormat "%h %l %u %t \"%r\" %>s %b" common
LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-agent}i\"" combined
LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-agent}i\" %D" combined_time
CustomLog logs/access_log combined_time

combined_time 으로 남긴 접근 로그 한 줄입니다.

198.51.100.7 - - [18/Oct/2026:10:02:31 +0000] "GET /report.php?id=8 HTTP/1.1" 500 612 "-" "Mozilla/5.0" 30001544

응답 시간: %D · %T · %{UNIT}T

시간은 User-Agent 뒤, 형식 맨 끝에 두십시오. combined 칸이 모두 제자리에 있고 $NF 가 늘 처리 시간이 됩니다. 보드는 끝의 숫자를 알아보고 %D 또는 %T 로 읽습니다.

이 값은 요청을 처리하는 데 걸린 시간이므로, 프록시나 FastCGI 로 넘긴 요청이면 백엔드가 쓴 시간까지 들어갑니다. PHP 나 프록시 경로에서 %D 가 크면 같은 초의 오류 로그를 다음으로 보십시오.

2.4 오류 로그

오류 로그 모양은 ErrorLogFormat 이 정합니다. 기본값이면 한 줄이 다음과 같습니다.

[Sun Oct 18 10:04:30.654321 2026] [core:error] [pid 4123:tid 140230300] [client 198.51.100.7:41900] AH00124: Request exceeded the limit of 10 internal redirects due to probable configuration error.

모듈:수준 별, AH 코드별로 세는 것이 무엇이 달라졌는지 보는 가장 빠른 길입니다. 새 AH 코드 하나가 수천 번 찍혔다면 대개 그것이 장애입니다.

Apache 2.2 오류 로그에는 모듈 · pid 부분이 없습니다([시각] [error] [client …] 메시지). 보드는 둘 다 읽습니다.

Apache 로그에서 보드가 보여 주는 것

• 상태 코드, 오류가 나는 곳, 상위 경로, 상위 클라이언트 IP, 누가 부르나, 경로별 전송량.
• %D 나 %T 가 있으면 지연 분포와 느린 경로.
• 끌어서 고르는 분 단위 시간축 — 모든 카드와 원문 줄이 선택을 따릅니다.
• 스캐너 탐침 — wp-login.php · .env · .git/ 같은 경로를 찾는 요청.
• 오류 로그: 모듈:수준별 줄 수, AH 코드, 클라이언트 주소, 시간축.

Apache 로그용 한 줄 명령

%D 를 덧붙인 combined 표본과 2.4 오류 로그로 실행해 확인했습니다. 파일 이름은 RHEL 계열 기본값(access_log · error_log)이며, Debian · Ubuntu 는 access.log · error.log 입니다.

• 상태 코드 분포

  awk '{print $9}' access_log | sort | uniq -c | sort -rn

  복사

• 요청이 가장 많은 클라이언트

  cut -d' ' -f1 access_log | sort | uniq -c | sort -rn | head

  복사

• 4xx 를 받는 경로와 코드

  awk '$9 ~ /^4/ {print $9, $7}' access_log | sort | uniq -c | sort -rn | head

  복사

• %D 로 본 가장 느린 요청 5개(밀리초)

  awk '{printf "%.1f ms %s\n", $NF/1000, $7}' access_log | sort -rn | head -5

  복사

• %D 의 p95(최근접 순위)

  awk '{print $NF}' access_log | sort -n | awk '{a[NR]=$1} END {i=int(NR*0.95); if (i<NR*0.95) i++; printf "%.1f ms\n", a[i]/1000}'

  복사

• 경로별 평균 시간과 요청 수

  awk '{s[$7]+=$NF; n[$7]++} END {for (p in s) printf "%.1f ms %d %s\n", s[p]/n[p]/1000, n[p], p}' access_log | sort -rn

  복사

• 분당 요청 수

  cut -d[ -f2 access_log | cut -d: -f1-3 | uniq -c

  복사

• 응답 바이트 합계(%b 는 0 대신 대시를 남기므로 건너뜀)

  awk '$10 != "-" {s+=$10} END {printf "%.1f KiB\n", s/1024}' access_log

  복사

• 오류 로그: 모듈:수준별 줄 수

  grep -oE '^\[[^]]+\] \[[a-z_0-9]+:[a-z0-9]+\]' error_log | awk '{print $NF}' | sort | uniq -c | sort -rn

  복사

• 오류 로그: 자주 나온 AH 코드

  grep -oE 'AH[0-9]{5}' error_log | sort | uniq -c | sort -rn | head

  복사

• 오류 로그: 오류를 일으킨 클라이언트 주소

  grep -oE '\[client [0-9a-f.:]+' error_log | awk '{print $2}' | sed -E 's/:[0-9]+$//' | sort | uniq -c | sort -rn | head

  복사