› ›

DNS 反向查找

编辑

DNS 反向查找

编辑

dns 处理器执行 IP 地址的反向 DNS 查找。它根据响应中包含的生存时间 (TTL) 值缓存收到的响应。它还会缓存查找过程中发生的错误。此处理器的每个实例都维护其自己的独立缓存。

该处理器使用其自身的 DNS 解析器向名称服务器发送请求，而不使用操作系统的解析器。它不读取/etc/hosts中包含的任何值。

如果您的网络延迟很高或上游名称服务器速度很慢，此处理器可能会显着降低管道的吞吐量。缓存将有助于提高性能，但是如果要解析的地址基数很高，则由于未命中率很高，缓存的好处会降低。

例如，如果每个 DNS 查找需要 2 毫秒，则可以达到的最大吞吐量为每秒 500 个事件（1000 毫秒 / 2 毫秒）。如果您的缓存命中率很高，则您的吞吐量可能会更高。

示例

编辑

这是一个最小配置示例，它解析两个字段中包含的 IP 地址。

  - dns:
      type: reverse
      fields:
        source.ip: source.hostname
        destination.ip: destination.hostname

此示例显示所有配置选项。

  - dns:
    type: reverse
    action: append
    transport: tls
    fields:
      server.ip: server.hostname
      client.ip: client.hostname
    success_cache:
      capacity.initial: 1000
      capacity.max: 10000
      min_ttl: 1m
    failure_cache:
      capacity.initial: 1000
      capacity.max: 10000
      ttl: 1m
    nameservers: ['192.0.2.1', '203.0.113.1']
    timeout: 500ms
    tag_on_failure: [_dns_reverse_lookup_failed]

配置设置

编辑

Elastic Agent 处理器在摄取管道之前执行，这意味着您的处理器配置不能引用由摄取管道或 Logstash 创建的字段。有关更多限制，请参阅使用处理器的某些限制是什么？

名称	必需	默认值	描述
`type`	是		要执行的 DNS 查找类型。唯一支持的类型是`reverse`，它查询 PTR 记录。
`action`	否	`append`	定义当目标字段已存在于事件中时处理器的行为。选项包括`append`和`replace`。
`fields`	是		源字段名称到目标字段名称的映射。源字段的值用于 DNS 查询，结果写入目标字段。
`success_cache.capacity.initial`	否	`1000`	成功缓存分配以容纳的初始项目数。初始化时，处理器将为此数量的项目分配内存。
`success_cache.capacity.max`	否	`10000`	成功缓存可以容纳的最大项目数。达到最大容量时，将逐出随机项目。
`success_cache.min_ttl`	是	`1m`	成功 DNS 响应的最小替代缓存 TTL 的持续时间。确保可以缓存`TTL=0`成功的反向 DNS 响应。有效的时间单位是“ns”、“us”（或“µs”）、“ms”、“s”、“m”、“h”。
`failure_cache.capacity.initial`	否	`1000`	失败缓存分配以容纳的初始项目数。初始化时，处理器将为此数量的项目分配内存。
`failure_cache.capacity.max`	否	`10000`	失败缓存可以容纳的最大项目数。达到最大容量时，将逐出随机项目。
`failure_cache.ttl`	否	`1m`	缓存失败的持续时间。有效的时间单位是“ns”、“us”（或“µs”）、“ms”、“s”、“m”、“h”。
`nameservers`	是（在 Windows 上）		要查询的名称服务器列表。如果有多个服务器，解析器将按列出的顺序查询它们。如果未指定任何服务器，它将在初始化时读取`/etc/resolv.conf`中列出的名称服务器。在 Windows 上，您必须始终至少提供一个名称服务器。
`timeout`	否	`500ms`	DNS 查询超时后的持续时间。这是每个 DNS 请求的超时时间，因此如果您有两个名称服务器，则总超时时间将是此值的 2 倍。有效的时间单位是“ns”、“us”（或“µs”）、“ms”、“s”、“m”、“h”。
`tag_on_failure`	否	`false`	在任何查找失败时添加到事件的标签列表。即使多个查找失败，标签也只添加一次。默认情况下，失败时不添加任何标签。
`transport`	否	`udp`	应使用的传输连接类型：`tls`（DNS over TLS）或`udp`。

« 解剖字符串丢弃事件 »