IIS 的日志文件在哪里可以找到？
IIS 站点日志默认在 %SystemDrive%\inetpub\logs\LogFiles，HTTP.SYS 错误日志在 %SystemDrive%\Windows\System32\LogFiles\HTTPERR，也可在 IIS 管理器中查看实际路径。
默认位置：IIS 站点日志在 %SystemDrive%\inetpub\logs\LogFiles（通常是 C:\inetpub\logs\LogFiles），每个站点一个子目录（W3SVC1、W3SVC2……）；如果那里没有，看 %SystemDrive%\Windows\System32\LogFiles\HTTPERR——这是 HTTP.SYS 内核层的错误日志，只记录请求到达 IIS 之前就被拒绝的错误。
两层日志要分清
| 日志 | 路径 | 记录内容 |
|---|---|---|
| 站点日志（W3C 格式） | C:\inetpub\logs\LogFiles\W3SVC<n>\ |
每个请求的详细记录（时间、URL、状态码、耗时等） |
| HTTPERR 日志 | C:\Windows\System32\LogFiles\HTTPERR\ |
内核层错误：连接超时、请求非法、应用池挂掉等 |
站点日志里 200/404/500 都有；HTTPERR 只有"根本没进到 IIS 管道"的失败，排查"站点无响应、日志却空白"的问题时一定要看它。
在 IIS 管理器中确认实际路径
- 打开 IIS Manager，左侧选中服务器或具体站点
- 中间窗格 IIS 区域双击 Logging（日志）
- 页面上显示当前生效的日志目录与格式
站点级设置可以覆盖服务器级默认，所以"默认路径没文件"时以这里显示的为准。
快速定位站点编号
日志目录名 W3SVC 后面的数字是站点 ID：IIS 管理器里点 Sites，列表中每个站点都有 ID 列，对应即可。
观测云对照
Windows 上的 IIS 日志也能集中采集。 在 Windows 主机部署 DataKit，配置日志采集指向 W3SVC 目录，Pipeline 里用内置的 IIS 模式或 grok 提取状态码、耗时、URL 字段，配合监控器对 5xx 比例告警。
常见问题（FAQ）
Q：日志目录存在但是空的？
A：确认该站点的日志功能没被禁用（Logging 页看是否 Enabled），且请求确实打到了这台服务器（负载均衡场景可能打到了别的节点）。
Q：日志时间为什么和本地时间差 8 小时？
A：W3C 日志默认用 UTC 时间戳，分析时记得换算，或在分析工具里配置时区。
Q：HTTPERR 里的 Timer_ConnectionIdle 是什么意思？
A：连接空闲超时后被内核回收，常见于 keep-alive 连接正常关闭，一般不是故障。
