如何为 Apache 配置 SSL 虚拟主机的日志记录（SSL 日志）

Apache SSL虚拟主机日志需在<VirtualHost *:443>块内配置LogFormat和CustomLog，使用%{SSL_PROTOCOL}x、%{SSL_CIPHER}x、%{SSL_CIPHER_USEKEYSIZE}x记录协议、套件及密钥位数，并为各站点单独设置ErrorLog路径以隔离错误。

为 Apache 配置 SSL 虚拟主机的日志记录，核心是让访问日志能体现 TLS 协商结果（如协议版本、加密套件、密钥位数），同时确保错误日志按站点隔离、可追溯。这需要两部分配合：一是启用并正确使用 mod_ssl 提供的会话变量，二是把日志指令明确写在 HTTPS 虚拟主机块内。

确认 mod_ssl 已启用且 HTTPS 主机配置完整

SSL 日志变量（如 %{SSL_PROTOCOL}x）只有在 TLS 握手成功后才可用。若未加载模块或虚拟主机未启用 SSL，这些字段会为空或显示短横线（-）。

• 运行 httpd -M | grep ssl（RHEL/CentOS）或 a2enmod ssl && systemctl restart apache2（Debian/Ubuntu），确保 ssl_module 已加载
• 检查 HTTPS 虚拟主机中是否包含：
  SSLEngine on
SSLCertificateFile /path/to/cert.pem
SSLCertificateKeyFile /path/to/key.pem
• 日志相关指令（LogFormat、CustomLog）必须放在 <VirtualHost *:443> 块内，或全局定义后在该块中调用

添加 SSL 相关字段到访问日志格式

Apache 通过 %{}x 语法读取 OpenSSL 会话信息。常用字段包括：

• %{SSL_PROTOCOL}x → 实际协商的协议，例如 TLSv1.2 或 TLSv1.3
• %{SSL_CIPHER}x → 完整密码套件名，例如 ECDHE-ECDSA-AES128-GCM-SHA256
• %{SSL_CIPHER_USEKEYSIZE}x → 对称加密实际使用的密钥位数，例如 128 或 256
• %{SSL_SECURE_RENEG}x → 是否启用安全重协商（secure 或 unsafe）

示例配置（写入虚拟主机配置中）：

LogFormat "%h %l %u %t "%r" %>s %b "%{Referer}i" "%{User-Agent}i" %{SSL_PROTOCOL}x %{SSL_CIPHER}x %{SSL_CIPHER_USEKEYSIZE}x" ssl_combined
CustomLog /var/log/apache2/ssl-access.log ssl_combined

为每个 SSL 虚拟主机配置独立错误日志

ErrorLog 不记录 HTTP 状态码，但会捕获 SSL 层关键问题：证书过期、SNI 不匹配、协议不支持、私钥读取失败等。为避免混杂，应为每个 HTTPS 站点单独指定路径：

• 在 <VirtualHost *:443> 块内添加：
  ErrorLog /var/log/apache2/example-com-error.log
• 提前创建目录并赋权：
  sudo mkdir -p /var/log/apache2
sudo chown www-data:www-data /var/log/apache2（Debian/Ubuntu）
  或 sudo chown apache:apache /var/log/apache2（RHEL/CentOS）
• 建议增强可读性，在 ErrorLogFormat 中加入 %v（虚拟主机名）和 %{UNIQUE_ID}e，便于关联请求与错误上下文

验证与排查常见空值问题

如果日志末尾出现 - - - 或字段全为空，通常不是配置语法错误，而是握手未到达日志阶段：

• 该请求走的是 HTTP（*:80），而非 HTTPS；检查是否漏配重定向或客户端直连了非加密端口
• TLS 握手失败（如客户端只支持 TLS 1.0，而服务器已禁用），此时请求根本不会进入 Apache 请求处理流程，%{}x 变量不可用
• 日志格式定义在 HTTP 虚拟主机里，或未被 HTTPS 块引用；确保 CustomLog 明确出现在 <VirtualHost *:443> 内
• 排查握手失败原因，请查看对应 ErrorLog 并临时设置：
  LogLevel ssl:debug（仅调试时启用，生产环境建议 ssl:warn）