› ›

Dns 过滤器插件

编辑

Dns 过滤器插件

编辑

插件版本: v3.2.0
发布日期: 2023-01-26
变更日志

对于其他版本，请参阅版本化插件文档。

获取帮助

编辑

如有关于插件的问题，请在 Discuss 论坛中发起主题讨论。如需报告错误或提出功能请求，请在 Github 中提交问题。有关 Elastic 支持的插件列表，请查阅 Elastic 支持矩阵。

描述

编辑

DNS 过滤器对在 reverse 数组下或分别在 resolve 数组下指定的记录执行查找（A 记录/CNAME 记录查找或 PTR 记录的反向查找）。

配置应如下所示

    filter {
      dns {
        reverse => [ "source_host", "field_with_address" ]
        resolve => [ "field_with_fqdn" ]
        action => "replace"
      }
    }

此过滤器与所有过滤器一样，一次只处理一个事件，因此，如果您的网络延迟较高，则使用此插件可能会显着降低管道吞吐量。例如，如果每个 DNS 查找需要 2 毫秒，则使用单个过滤器工作线程可以达到的最大吞吐量为每秒 500 个事件（1000 毫秒 / 2 毫秒）。

Dns 过滤器配置选项

编辑

此插件支持以下配置选项以及稍后描述的常用选项。

设置	输入类型	必填
`action`	字符串，其中之一为 `["append", "replace"]`	否
`failed_cache_size`	数字	否
`failed_cache_ttl`	数字	否
`hit_cache_size`	数字	否
`hit_cache_ttl`	数字	否
`hostsfile`	数组	否
`max_retries`	数字	否
`nameserver`	哈希	否
`resolve`	数组	否
`reverse`	数组	否
`tag_on_timeout`	数组	否
`timeout`	数字	否

另请参阅常用选项，以获取所有过滤器插件支持的选项列表。

`action`

编辑

值可以是以下任何一项：append、replace
默认值为 "append"

确定要执行的操作：追加或替换在 reverse 和 resolve 下指定的字段中的值。

`failed_cache_size`

编辑

值类型为数字
默认值为 0（缓存禁用）

失败请求的缓存大小

`failed_cache_ttl`

编辑

值类型为数字
默认值为 5

缓存失败请求的时间长度（以秒为单位）

`hit_cache_size`

编辑

值类型为数字
默认值为 0（缓存禁用）

设置成功请求的缓存大小

`hit_cache_ttl`

编辑

值类型为数字
默认值为 60

缓存成功请求的时间长度（以秒为单位）

`hostsfile`

编辑

值类型为数组
此设置没有默认值。

使用自定义 hosts 文件。例如：["/var/db/my_custom_hosts"]

`max_retries`

编辑

值类型为数字
默认值为 2

重试失败解析/反向解析的次数

`nameserver`

编辑

值类型为哈希，并由以下组成
- 一个必填的 address 键，其值为字符串或数组，表示一个或多个名称服务器 IP 地址
- 一个可选的 search 键，其值为字符串或数组，表示一到六个搜索域（例如，使用搜索域 com，对 example 的查询将匹配 example.com 的 DNS 条目）
- 一个可选的 ndots 键，与 search 结合使用，其值为数字，表示正在解析的域名中的最少点数量，这将阻止使用搜索域（默认值为 1；此选项很少需要）
为了向后兼容，也接受字符串和数组的值，表示一个或多个名称服务器 IP 地址不带搜索域。
此设置没有默认值。

使用自定义名称服务器。例如

    filter {
      dns {
        nameserver => {
          address => ["8.8.8.8", "8.8.4.4"]
          search  => ["internal.net"]
        }
      }
    }

如果未指定 nameserver，则将读取 /etc/resolv.conf 以使用 /etc/resolv.conf 中的 nameserver、domain、search 和 ndots 指令配置解析器。

`resolve`

编辑

值类型为数组
此设置没有默认值。

正向解析一个或多个字段。

`reverse`

编辑

值类型为数组
此设置没有默认值。

反向解析一个或多个字段。

`timeout`

编辑

值类型为数字
默认值为 0.5

resolv 调用将包含在一个超时实例中

`tag_on_timeout`

编辑

值类型为数组
默认为 ["_dnstimeout"]。

在 DNS 查找超时时添加标签。

常用选项

编辑

所有过滤器插件都支持这些配置选项

设置	输入类型	必填
`add_field`	哈希	否
`add_tag`	数组	否
`enable_metric`	布尔值	否
`id`	字符串	否
`periodic_flush`	布尔值	否
`remove_field`	数组	否
`remove_tag`	数组	否

`add_field`

编辑

值类型为哈希
默认值为 {}

如果此过滤器成功，则将任意字段添加到此事件。字段名称可以是动态的，并包含使用 %{field} 的事件部分。

示例

    filter {
      dns {
        add_field => { "foo_%{somefield}" => "Hello world, from %{host}" }
      }
    }

    # You can also add multiple fields at once:
    filter {
      dns {
        add_field => {
          "foo_%{somefield}" => "Hello world, from %{host}"
          "new_field" => "new_static_value"
        }
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将添加字段 foo_hello（如果存在），其值为上述值，并且 %{host} 部分替换为事件中的该值。第二个示例还将添加一个硬编码字段。

`add_tag`

编辑

值类型为数组
默认值为 []

如果此过滤器成功，则将任意标签添加到事件。标签可以是动态的，并包含使用 %{field} 语法的事件部分。

示例

    filter {
      dns {
        add_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also add multiple tags at once:
    filter {
      dns {
        add_tag => [ "foo_%{somefield}", "taggedy_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将添加标签 foo_hello（第二个示例当然会添加 taggedy_tag 标签）。

`enable_metric`

编辑

值类型为布尔值
默认值为 true

禁用或启用此特定插件实例的指标日志记录。默认情况下，我们会记录所有可能的指标，但您可以禁用特定插件的指标收集。

`id`

编辑

值类型为字符串
此设置没有默认值。

向插件配置添加唯一的 ID。如果未指定 ID，Logstash 将生成一个 ID。强烈建议在配置中设置此 ID。当您有两个或更多相同类型的插件时，这尤其有用，例如，如果您有两个 dns 过滤器。在这种情况下，添加命名 ID 将有助于在使用监控 API 时监控 Logstash。

    filter {
      dns {
        id => "ABC"
      }
    }

id 字段中的变量替换仅支持环境变量，不支持使用密钥存储中的值。

`periodic_flush`

编辑

值类型为布尔值
默认值为 false

定期调用过滤器刷新方法。可选。

`remove_field`

编辑

值类型为数组
默认值为 []

如果此过滤器成功，则从此事件中删除任意字段。字段名称可以是动态的，并包含使用 %{field} 的事件部分示例

    filter {
      dns {
        remove_field => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple fields at once:
    filter {
      dns {
        remove_field => [ "foo_%{somefield}", "my_extraneous_field" ]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将删除名称为 foo_hello 的字段（如果存在）。第二个示例将删除另一个非动态字段。

`remove_tag`

编辑

值类型为数组
默认值为 []

如果此过滤器成功，则从事件中删除任意标签。标签可以是动态的，并包含使用 %{field} 语法的事件部分。

示例

    filter {
      dns {
        remove_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple tags at once:
    filter {
      dns {
        remove_tag => [ "foo_%{somefield}", "sad_unwanted_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将删除标签 foo_hello（如果存在）。第二个示例也将删除一个令人不快的、不需要的标签。

« Dissect 过滤器插件 Drop 过滤器插件 »