New

The executive guide to generative AI

Read more
About usPartnersSupport|Login
« 分割字符串 丢弃事件 »
Elastic 文档 ›Metricbeat 参考 [8.17] ›配置 Metricbeat ›使用处理器过滤和增强数据

DNS 反向查找

编辑

DNS 反向查找

编辑

dns 处理器执行 DNS 查询。它根据响应中包含的生存时间 (TTL) 值缓存接收到的响应。它还会缓存查找期间发生的故障。此处理器的每个实例都维护其自己的独立缓存。

该处理器使用自己的 DNS 解析器向名称服务器发送请求，并且不使用操作系统的解析器。它不会读取 /etc/hosts 中包含的任何值。

如果您的网络延迟较高或上游名称服务器速度较慢，则此处理器会显著降低管道的吞吐量。缓存将有助于提高性能，但如果正在解析的地址具有高基数，则由于高未命中率，缓存的优势将会减弱。

例如，如果每次 DNS 查找耗时 2 毫秒，则可以实现的最大吞吐量为每秒 500 个事件（1000 毫秒/2 毫秒）。如果您的缓存命中率较高，则吞吐量可能会更高。

处理器可以发送以下查询类型

  • A - IPv4 地址
  • AAAA - IPv6 地址
  • TXT - 任意人类可读的文本数据
  • PTR - 反向 IP 地址查找

对于除 PTR 之外的所有查询类型，输出值均为字符串列表。对于 PTR 查询，输出值为字符串。

这是一个简单的配置示例，用于解析两个字段中包含的 IP 地址。

processors:
  - dns:
      type: reverse
      fields:
        source.ip: source.domain
        destination.ip: destination.domain

接下来是一个显示所有选项的配置示例。

processors:
- dns:
    type: reverse
    action: append
    transport: tls
    fields:
      server.ip: server.domain
      client.ip: client.domain
    success_cache:
      capacity.initial: 1000
      capacity.max: 10000
      min_ttl: 1m
    failure_cache:
      capacity.initial: 1000
      capacity.max: 10000
      ttl: 1m
    nameservers: ['192.0.2.1', '203.0.113.1']
    timeout: 500ms
    tag_on_failure: [_dns_reverse_lookup_failed]

dns 处理器具有以下配置设置

type
要执行的 DNS 查询的类型。支持的类型为 A、AAAA、PTR (或 reverse) 和 TXT。
action
这定义了当目标字段已存在于事件中时处理器的行为。选项为 append（默认）和 replace。
fields
这是源字段名称到目标字段名称的映射。源字段的值将用于 DNS 查询，结果将写入目标字段。
success_cache.capacity.initial
将分配给成功缓存以保存的初始项目数。初始化时，处理器将为该数量的项目分配内存。默认值为 1000。
success_cache.capacity.max
成功缓存可以容纳的最大项目数。当达到最大容量时，将逐出随机项。默认值为 10000。
success_cache.min_ttl
成功 DNS 响应的最小替代缓存 TTL 的持续时间。确保可以缓存 TTL=0 的成功反向 DNS 响应。有效的时间单位为 "ns"、"us"（或 "µs"）、"ms"、"s"、"m"、"h"。默认值为 1m。
failure_cache.capacity.initial
将分配给失败缓存以保存的初始项目数。初始化时，处理器将为该数量的项目分配内存。默认值为 1000。
failure_cache.capacity.max
失败缓存可以容纳的最大项目数。当达到最大容量时，将逐出随机项。默认值为 10000。
failure_cache.ttl
缓存失败的持续时间。有效的时间单位为 "ns"、"us"（或 "µs"）、"ms"、"s"、"m"、"h"。默认值为 1m。
nameservers
要查询的名称服务器列表。如果有多个服务器，则解析器会按照列出的顺序查询它们。如果未指定任何服务器，则它将在初始化时读取 /etc/resolv.conf 中列出的名称服务器。在 Windows 上，您必须始终提供至少一个名称服务器。
timeout
DNS 查询超时后的持续时间。这是每个 DNS 请求的超时时间，因此如果您有 2 个名称服务器，则总超时时间将是该值的 2 倍。有效的时间单位为 "ns"、"us"（或 "µs"）、"ms"、"s"、"m"、"h"。默认值为 500ms。
tag_on_failure
当任何查找失败时添加到事件的标记列表。即使多次查找失败，也只会添加一次标记。默认情况下，失败时不会添加任何标记。
transport
应使用的传输连接的类型可以是 tls（基于 TLS 的 DNS）或 udp。默认为 udp。
« 分割字符串 丢弃事件 »
Was this helpful?
Feedback