› ›

DNS 过滤器插件

编辑

DNS 过滤器插件

编辑

插件版本：v3.2.0
发布于：2023-01-26
更新日志

有关其他版本，请参阅版本化的插件文档。

获取帮助

编辑

有关插件的问题，请在Discuss论坛中打开一个主题。有关错误或功能请求，请在Github中打开一个问题。有关 Elastic 支持的插件列表，请参阅Elastic 支持矩阵。

描述

编辑

DNS 过滤器在 reverse 数组或 resolve 数组下指定的记录上执行查找（A 记录/CNAME 记录查找或 PTR 记录的反向查找）。

配置应如下所示

    filter {
      dns {
        reverse => [ "source_host", "field_with_address" ]
        resolve => [ "field_with_fqdn" ]
        action => "replace"
      }
    }

此过滤器与所有过滤器一样，一次只处理一个事件，因此如果您的网络延迟较高，则使用此插件可能会显著降低管道的吞吐量。例如，如果每次 DNS 查找需要 2 毫秒，则使用单个过滤器工作进程可以实现的最大吞吐量为每秒 500 个事件（1000 毫秒 / 2 毫秒）。

DNS 过滤器配置选项

编辑

此插件支持以下配置选项以及稍后描述的通用选项。

设置	输入类型	必需
`action`	字符串，可以是 `["append", "replace"]` 中的一个	否
`failed_cache_size`	数字	否
`failed_cache_ttl`	数字	否
`hit_cache_size`	数字	否
`hit_cache_ttl`	数字	否
`hostsfile`	数组	否
`max_retries`	数字	否
`nameserver`	哈希	否
`resolve`	数组	否
`reverse`	数组	否
`tag_on_timeout`	数组	否
`timeout`	数字	否

另请参阅通用选项，以获取所有过滤器插件支持的选项列表。

`action`

编辑

值可以是以下任意一个：append、replace
默认值为 "append"

确定要执行的操作：追加或替换在 reverse 和 resolve 下指定的字段中的值。

`failed_cache_size`

编辑

值类型为数字
默认值为 0（禁用缓存）

失败请求的缓存大小

`failed_cache_ttl`

编辑

值类型为数字
默认值为 5

缓存失败请求的时长（以秒为单位）

`hit_cache_size`

编辑

值类型为数字
默认值为 0（禁用缓存）

设置成功请求的缓存大小

`hit_cache_ttl`

编辑

值类型为数字
默认值为 60

缓存成功请求的时长（以秒为单位）

`hostsfile`

编辑

值类型为数组
此设置没有默认值。

使用自定义主机文件。例如：["/var/db/my_custom_hosts"]

`max_retries`

编辑

值类型为数字
默认值为 2

重试失败的 resolve/reverse 的次数

`nameserver`

编辑

值类型为哈希，由以下内容组成
- 必需的 address 键，其值可以是字符串或数组，表示一个或多个名称服务器 IP 地址
- 可选的 search 键，其值可以是字符串或数组，表示一个到六个搜索域（例如，使用搜索域 com，对 example 的查询将匹配 example.com 的 DNS 条目）
- 与 search 结合使用的可选 ndots 键，其值是数字，表示正在解析的域名中点的最小数量，该最小数量将阻止使用搜索域（默认值 1；此选项很少需要）
为了向后兼容，也接受字符串和数组的值，表示一个或多个名称服务器 IP 地址，没有搜索域。
此设置没有默认值。

使用自定义名称服务器。例如

    filter {
      dns {
        nameserver => {
          address => ["8.8.8.8", "8.8.4.4"]
          search  => ["internal.net"]
        }
      }
    }

如果未指定 nameserver，则将读取 /etc/resolv.conf 以使用 /etc/resolv.conf 中的 nameserver、domain、search 和 ndots 指令配置解析器。

`resolve`

编辑

值类型为数组
此设置没有默认值。

正向解析一个或多个字段。

`reverse`

编辑

值类型为数组
此设置没有默认值。

反向解析一个或多个字段。

`timeout`

编辑

值类型为数字
默认值为 0.5

resolv 调用将包装在超时实例中

`tag_on_timeout`

编辑

值类型为数组
默认为 ["_dnstimeout"]。

在 DNS 查找超时时添加标记。

通用选项

编辑

所有过滤器插件都支持这些配置选项

设置	输入类型	必需
`add_field`	哈希	否
`add_tag`	数组	否
`enable_metric`	布尔值	否
`id`	字符串	否
`periodic_flush`	布尔值	否
`remove_field`	数组	否
`remove_tag`	数组	否

`add_field`

编辑

值类型为哈希
默认值为 {}

如果此过滤器成功，则向此事件添加任意字段。字段名称可以是动态的，并且可以使用 %{field} 包含事件的部分内容。

示例

    filter {
      dns {
        add_field => { "foo_%{somefield}" => "Hello world, from %{host}" }
      }
    }

    # You can also add multiple fields at once:
    filter {
      dns {
        add_field => {
          "foo_%{somefield}" => "Hello world, from %{host}"
          "new_field" => "new_static_value"
        }
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时，如果存在，将添加字段 foo_hello，其值为上述值，并且 %{host} 部分被事件中的值替换。第二个示例还会添加一个硬编码的字段。

`add_tag`

编辑

值类型为数组
默认值为 []

如果此过滤器成功，则向事件添加任意标记。标记可以是动态的，并且可以使用 %{field} 语法包含事件的部分内容。

示例

    filter {
      dns {
        add_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also add multiple tags at once:
    filter {
      dns {
        add_tag => [ "foo_%{somefield}", "taggedy_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时将添加标记 foo_hello（第二个示例当然会添加 taggedy_tag 标记）。

`enable_metric`

编辑

值类型为布尔值
默认值为 true

禁用或启用此特定插件实例的指标日志记录。默认情况下，我们会记录所有可以记录的指标，但您可以禁用特定插件的指标收集。

`id`

编辑

值类型为字符串
此设置没有默认值。

向插件配置添加唯一的 ID。如果未指定 ID，Logstash 将生成一个。强烈建议在配置中设置此 ID。当您有两个或多个相同类型的插件时，此 ID 特别有用，例如，如果您有 2 个 DNS 过滤器。在这种情况下添加命名 ID 将有助于在使用监控 API 时监控 Logstash。

    filter {
      dns {
        id => "ABC"
      }
    }

id 字段中的变量替换仅支持环境变量，并且不支持使用来自机密存储的值。

`periodic_flush`

编辑

值类型为布尔值
默认值为 false

定期调用过滤器刷新方法。可选。

`remove_field`

编辑

值类型为数组
默认值为 []

如果此过滤器成功，则从此事件中删除任意字段。字段名称可以是动态的，并且可以使用 %{field} 包含事件的部分内容。示例

    filter {
      dns {
        remove_field => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple fields at once:
    filter {
      dns {
        remove_field => [ "foo_%{somefield}", "my_extraneous_field" ]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时，如果存在，将删除名称为 foo_hello 的字段。第二个示例将删除一个额外的非动态字段。

`remove_tag`

编辑

值类型为数组
默认值为 []

如果此过滤器成功，则从此事件中删除任意标记。标记可以是动态的，并且可以使用 %{field} 语法包含事件的部分内容。

示例

    filter {
      dns {
        remove_tag => [ "foo_%{somefield}" ]
      }
    }

    # You can also remove multiple tags at once:
    filter {
      dns {
        remove_tag => [ "foo_%{somefield}", "sad_unwanted_tag"]
      }
    }

如果事件具有字段 "somefield" == "hello"，则此过滤器在成功时，如果存在，将删除标记 foo_hello。第二个示例还将删除一个令人不快的、不需要的标记。

« Dissect 过滤器插件 Drop 过滤器插件 »