DNS 反向查找
编辑DNS 反向查找编辑
dns 处理器执行 DNS 查询。它会根据响应中包含的生存时间 (TTL) 值缓存收到的响应。它还会缓存查找过程中发生的故障。此处理器的每个实例都维护自己的独立缓存。
该处理器使用自己的 DNS 解析器向域名服务器发送请求，而不使用操作系统的解析器。它不会读取 /etc/hosts 中包含的任何值。
如果您的网络延迟较高或上游域名服务器速度较慢，此处理器可能会显著降低管道的吞吐量。缓存将有助于提高性能，但如果要解析的地址具有较高的基数，则由于缓存命中率低，缓存的好处将会减少。
举例来说，如果每次 DNS 查找需要 2 毫秒，则可以实现的最大吞吐量为每秒 500 个事件（1000 毫秒 / 2 毫秒）。如果您的缓存命中率较高，则吞吐量可能会更高。
处理器可以发送以下查询类型
-
A- IPv4 地址 -
AAAA- IPv6 地址 -
TXT- 任意人类可读的文本数据 -
PTR- 反向 IP 地址查找
对于除 PTR 之外的所有查询类型，输出值都是一个字符串列表。对于 PTR 查询，输出值是一个字符串。
这是一个最小的配置示例，用于解析两个字段中包含的 IP 地址。
processors:
- dns:
type: reverse
fields:
source.ip: source.domain
destination.ip: destination.domain
下面是一个显示所有选项的配置示例。
processors:
- dns:
type: reverse
action: append
transport: tls
fields:
server.ip: server.domain
client.ip: client.domain
success_cache:
capacity.initial: 1000
capacity.max: 10000
min_ttl: 1m
failure_cache:
capacity.initial: 1000
capacity.max: 10000
ttl: 1m
nameservers: ['192.0.2.1', '203.0.113.1']
timeout: 500ms
tag_on_failure: [_dns_reverse_lookup_failed]
dns 处理器具有以下配置设置
-
类型 - 要执行的 DNS 查询类型。支持的类型有
A、AAAA、PTR（或reverse）和TXT。 -
操作 - 这定义了当目标字段已存在于事件中时处理器的行为。选项包括
append（默认）和replace。 -
字段 - 这是源字段名称到目标字段名称的映射。源字段的值将用于 DNS 查询，结果将写入目标字段。
-
success_cache.capacity.initial - 成功缓存将分配用于保存的初始项目数。初始化时，处理器将为该数量的项目分配内存。默认值为
1000。 -
success_cache.capacity.max - 成功缓存可以保存的最大项目数。当达到最大容量时，将随机驱逐一个项目。默认值为
10000。 -
success_cache.min_ttl - 成功的 DNS 响应的最小替代缓存 TTL 的持续时间。确保可以缓存
TTL=0的成功反向 DNS 响应。有效的时间单位为“ns”、“us”（或“µs”）、“ms”、“s”、“m”、“h”。默认值为1m。 -
failure_cache.capacity.initial - 故障缓存将分配用于保存的初始项目数。初始化时，处理器将为该数量的项目分配内存。默认值为
1000。 -
failure_cache.capacity.max - 故障缓存可以保存的最大项目数。当达到最大容量时，将随机驱逐一个项目。默认值为
10000。 -
failure_cache.ttl - 缓存故障的持续时间。有效的时间单位为“ns”、“us”（或“µs”）、“ms”、“s”、“m”、“h”。默认值为
1m。 -
域名服务器 - 要查询的域名服务器列表。如果有多台服务器，解析器将按列出的顺序查询它们。如果没有指定，它将在初始化时读取
/etc/resolv.conf中列出的域名服务器。在 Windows 上，您必须始终至少提供一个域名服务器。 -
超时 - DNS 查询超时后的持续时间。这是每个 DNS 请求的超时时间，因此如果您有 2 个域名服务器，则总超时时间将为此值的 2 倍。有效的时间单位为“ns”、“us”（或“µs”）、“ms”、“s”、“m”、“h”。默认值为
500ms。 -
tag_on_failure - 在任何查找失败时添加到事件的标记列表。即使多个查找失败，标记也只添加一次。默认情况下，失败时不会添加任何标记。
-
传输 - 应使用的传输连接类型可以是
tls（DNS over TLS）或udp。默认为udp。