Informazioni su questa documentazione on Modulo PowerShell DNSServer.DebugLogParser

Panoramica

Mon, 01 Jan 0001 00:00:00 +0000

Windows DNS Server può scrivere un log di debug. È un file di testo semplice, pensato per essere letto da un umano, e cresce di centinaia di megabyte al giorno su un controller di dominio molto attivo. Questa combinazione lo rende quasi inutile nel momento in cui vuoi rispondere a una domanda come “quale client ha richiesto questo dominio 40.000 volte la scorsa notte?”

DNSServer.DebugLogParser trasforma quel file di testo in una tabella CSV. Una riga di log diventa una riga con colonne nominate, così puoi aprirla in Excel, caricarla in Power BI, inserirla in blocco in SQL Server o inviarla al tuo SIEM.

Formati di Output

Mon, 01 Jan 0001 00:00:00 +0000

Convert-DNSDebugLogFile produce fino a tre file per ogni log di input:

File	Contenuto	Creato quando
`<name>.csv`	Una riga per ogni voce di log analizzata	`-OutputType CSV` o `Both`
`<name>_Statistic.csv`	Conteggio giornaliero dei record per contesto	`-OutputType Statistic` o `Both`
`<name>_PacketStatistic.csv`	Conteggio giornaliero delle query per client, protocollo, direzione e tipo di record	`-OutputType Statistic` o `Both`

Both è il valore predefinito. L’output viene salvato accanto al file di input a meno che non imposti -OutputFile.

Parametri e Opzioni

Mon, 01 Jan 0001 00:00:00 +0000

Questa pagina spiega le opzioni in modo semplice e nell’ordine in cui tipicamente ti serviranno. È una guida, non una specifica — la lista autorevole e sempre aggiornata dei parametri si trova nel riferimento comandi e in:

Get-Help Convert-DNSDebugLogFile -Full

La versione breve

Convert-DNSDebugLogFile -InputFile "C:\Logs\dns.log"

Questa singola riga ti dà già un comportamento sensato: sia i file dati che quelli statistici, delimitatore punto e virgola, formato data della tua macchina, validazione dell’intestazione attiva, log sorgente intatto. Tutto il resto è fine-tuning.

Prestazioni

Mon, 01 Jan 0001 00:00:00 +0000

I log di debug DNS su un controller di dominio molto trafficato sono grandi. Convert-DNSDebugLogFile è stato progettato proprio per questo caso: è stato testato con log da 100 MB e oltre, e li elabora in pochi minuti su hardware server ordinario.

Perché è veloce

Non devi sapere nulla di tutto questo per usare il modulo, ma spiega il comportamento che osserverai.

Tecnica	Effetto che noterai
`StreamReader` / `StreamWriter` con buffer da 64 KB	Il file viene letto e scritto a blocchi invece che con un unico grande `Get-Content`
Streaming, singolo passaggio	L’uso di memoria resta più o meno costante indipendentemente dalla dimensione del log
Operazioni su stringhe (`.Substring()`, `.IndexOf()`) invece di espressioni regolari	Molto meno CPU per riga, e ci sono milioni di righe
CSV scritto a mano invece di `Export-Csv`	Nessun overhead di pipeline oggetti per ogni record
Aggregazione basata su Hashtable per le statistiche	I riepiloghi costano quasi nulla durante lo stesso passaggio

La conseguenza importante: l’intero log non viene mai caricato in memoria. Un log da 500 MB non richiede 500 MB di RAM. Questa è la differenza tra il modulo e l’approccio “leggi il file, dividilo, crea oggetti” che la maggior parte degli script fatti in casa usa — quell’approccio funziona bene su un campione da 5 MB ma fallisce su un DC reale.

Integrazione con Strumenti di Analisi

Mon, 01 Jan 0001 00:00:00 +0000

Il senso di convertire un log di debug DNS è ciò che succede dopo. CSV è stato scelto perché tutti lo leggono — ma “tutti leggono CSV” nasconde due impostazioni che decidono se l’importazione è indolore o un pomeriggio di tentativi.

Due impostazioni che decidono tutto

Delimitatore. Il valore predefinito è ;. Lascialo così per Excel nelle località che usano la virgola come separatore decimale. Passa a , per la maggior parte dei database e degli strumenti di data science. Qualunque cosa tu scelga, comunica la stessa cosa al lato importazione.

Pratiche Operative Consigliate

Mon, 01 Jan 0001 00:00:00 +0000

Convertire un log manualmente è facile. Farlo ogni notte su ogni controller di dominio, per anni, senza che nessuno lo controlli, è la parte che richiede un po’ di progettazione. Questi sono i punti che contano nella pratica.

1. Converti i log ruotati, non quello attivo

Abilita il rollover dei log sul server DNS e converti solo i file chiusi. Il modulo può leggere il log su cui il DNS Server sta attualmente scrivendo, ma quel file cambia durante la conversione: le voci più recenti potrebbero mancare e l’ultima riga potrebbe essere troncata. Due esecuzioni producono due risultati diversi.

Risoluzione dei problemi

Mon, 01 Jan 0001 00:00:00 +0000

“Il file non è un file di log di debug DNS valido”

Il controllo dell’intestazione ha rifiutato l’input. Di solito il percorso è semplicemente errato — un file .log nella stessa cartella che non è il log di debug DNS, o un file che contiene solo un’intestazione ruotata.

Segui questi passaggi:

Apri il file. Un log di debug DNS inizia con una riga di intestazione come Message logging started at … e continua con voci di query con timestamp.