Question

NetScaler 提供了 nswl 工具，用于从 NetScaler 服务器上抓取访问日志。

NetScaler 官方网站提供了下载地址。但需要注意，nswl 的版本必须和 NetScaler 的 firmware 版本相同。可以使用如下命令确认 NetScaler 的 firmware 版本：

> show ns info
      NetScaler NS9.2: Build 48.6.nc, Date: Sep 23 2010, 10:04:46  

在 Linux 服务器上执行以下命令即可安装：

rpm -ivh nswl_linux-9.2-48.6.rpm

安装路径位于/usr/local/netscaler。配置文件位于/usr/local/netscaler/etc/log.conf。

配置文件内容如下：

Filter default

begin default
     logFormat          W3C
     logInterval          None
     LogFileSizeLimit     10240 
     LogFormat           custom %h %l %u [%t] "%r" %s %B "%{referer}i" "%{user-agent}i" "%{Cookie}i" %M
     logFilenameFormat     /data/nswl/%v/access.log
     logExclude            .gif .jpg .png .bmp .js .css .ico
     logtime           LOCAL
end default

NSIP     x.y.z.134     username nsroot　password passwordEncrypted

NSIP     x.y.z.135     username nsroot　password passwordEncrypted

重要参数如下。

- LogFormat 定义了日志中需要保留的字段。

- %h　客户端 IP。

- %l　远程 log 名称。

- %u　远程用户（来自 auth 字段）。

- %t　请求时间，标准的英语格式。

- %r　请求的第一行。

- %s　对于内部重定向的请求，第一次请求的状态码。

- %B　响应大小。

- %{referer}i Referer 字段。

- %{user-agent}i User-Agent 字段。

- %{Cookie}i Cookie 字段。

- %M　处理请求的时间。

如下，是一个实际的 Log 条目。

114.84.237.236 - - [30/Aug/2014:22:54:04 +0800] "POST /connect/app/exploration/fairyhistory?cyt=1 HTTP/1.1" 200 4592 "-" "Million/103 (GT-I9100; GT-I9100; 2.3.4) samsung/GT-I9100/GT-I9100:2.3.4/GRJ22/eng.build.20120314.185218:eng/release-keys" "S=4dhmlkgqb2fqqc6h1cacjgt7c5" 291318