O dokumentacji on Moduł PowerShell DNSServer.DebugLogParser

Przegląd

Mon, 01 Jan 0001 00:00:00 +0000

Windows DNS Server może zapisywać debug log. To plik tekstowy, przeznaczony do czytania przez człowieka, który na ruchliwym kontrolerze domeny rośnie o setki megabajtów dziennie. To sprawia, że staje się prawie bezużyteczny, gdy chcesz odpowiedzieć na pytanie typu „który klient pytał o tę domenę 40 000 razy zeszłej nocy?”

DNSServer.DebugLogParser zamienia ten plik tekstowy w tabelę CSV. Jeden wiersz logu staje się jednym wierszem z nazwanymi kolumnami, dzięki czemu możesz otworzyć go w Excelu, załadować do Power BI, masowo wstawić do SQL Server lub wysłać do swojego SIEM.

Formaty wyjściowe

Mon, 01 Jan 0001 00:00:00 +0000

Convert-DNSDebugLogFile generuje do trzech plików na każdy plik dziennika wejściowego:

Plik	Zawiera	Tworzony gdy
`<name>.csv`	Jeden wiersz na wpis w dzienniku	`-OutputType CSV` lub `Both`
`<name>_Statistic.csv`	Dzienne zliczenie rekordów według kontekstu	`-OutputType Statistic` lub `Both`
`<name>_PacketStatistic.csv`	Dzienne zliczenie zapytań według klienta, protokołu, kierunku i typu rekordu	`-OutputType Statistic` lub `Both`

Both jest ustawieniem domyślnym. Wyniki trafiają obok pliku wejściowego, chyba że ustawisz -OutputFile.

Przykładowe pliki podlinkowane na tej stronie to rzeczywiste wyniki konwersji, a nie makiety. Pobierz jeden i otwórz go w Excelu, zanim zdecydujesz się na projekt potoku.

Parametry i opcje

Mon, 01 Jan 0001 00:00:00 +0000

Ta strona wyjaśnia opcje prostym językiem i w kolejności, w jakiej zazwyczaj ich potrzebujesz. To przewodnik, a nie specyfikacja — autorytatywna, zawsze aktualna lista parametrów znajduje się w referencji poleceń oraz w:

Get-Help Convert-DNSDebugLogFile -Full

Krótkie podsumowanie

Convert-DNSDebugLogFile -InputFile "C:\Logs\dns.log"

Ta jedna linia już daje rozsądne zachowanie: pliki danych i statystyk, średnik jako separator, format daty twojej maszyny, włączona walidacja nagłówka, oryginalny plik dziennika nietknięty. Wszystko poniżej to dopracowywanie.

Wydajność

Mon, 01 Jan 0001 00:00:00 +0000

Logi debugowania DNS na ruchliwym kontrolerze domeny są duże. Convert-DNSDebugLogFile został stworzony właśnie na takie przypadki: był testowany na logach o rozmiarze 100 MB i większych, i przetwarza je w ciągu kilku minut na zwykłym sprzęcie serwerowym.

Dlaczego jest szybki

Nie musisz tego wiedzieć, aby korzystać z modułu, ale wyjaśnia to zachowanie, które zaobserwujesz.

Technika	Efekt, który zauważysz
`StreamReader` / `StreamWriter` z buforami 64 KB	Plik jest czytany i zapisywany w kawałkach, zamiast jednym dużym `Get-Content`
Strumieniowe przetwarzanie, pojedynczy przebieg	Zużycie pamięci pozostaje mniej więcej stałe, niezależnie od rozmiaru logu
Operacje na stringach (`.Substring()`, `.IndexOf()`) zamiast wyrażeń regularnych	Znacznie mniej obciążenia CPU na linię, a linii jest miliony
Ręczne zapisywanie CSV zamiast `Export-Csv`	Brak narzutu obiektowego potoku na rekord
Agregacja statystyk oparta na hashtable	Podsumowania kosztują prawie nic dodatkowo podczas tego samego przebiegu

Ważna konsekwencja: cały log nigdy nie jest trzymany w pamięci. Log o rozmiarze 500 MB nie wymaga 500 MB RAM. To różnica między modułem a podejściem „wczytaj plik, podziel, zbuduj obiekty”, które stosuje większość domowych skryptów — to podejście działa dobrze na próbce 5 MB, ale zawodzi na prawdziwym DC.

Integracja z narzędziami analitycznymi

Mon, 01 Jan 0001 00:00:00 +0000

Chodzi o to, co się dzieje po konwersji dziennika debugowania DNS. CSV wybrano, bo wszystko go odczytuje — ale „wszystko odczytuje CSV” ukrywa dwa ustawienia, które decydują, czy import będzie bezproblemowy, czy popołudniem spędzonym na poprawkach.

Dwa ustawienia, które decydują o wszystkim

Separator. Domyślnie ;. Zachowaj go dla Excela w lokalizacjach, które używają przecinka jako separatora dziesiętnego. Przełącz na , dla większości baz danych i narzędzi do analizy danych. Cokolwiek wybierzesz, poinformuj o tym stronę importującą.

Najlepsze praktyki operacyjne

Mon, 01 Jan 0001 00:00:00 +0000

Konwersja dziennika ręcznie jest prosta. Uruchamianie jej co noc na każdym kontrolerze domeny, przez lata, bez nadzoru, to już wymaga pewnego zaprojektowania. Oto punkty, które mają znaczenie w praktyce.

1. Konwertuj dzienniki obrócone, nie aktywne

Włącz obracanie dzienników na serwerze DNS i konwertuj tylko zamknięte pliki. Moduł może czytać dziennik, do którego serwer DNS aktualnie zapisuje, ale ten plik zmienia się w trakcie konwersji: najnowsze wpisy mogą być nieobecne, a ostatni rekord może być obcięty. Dwa uruchomienia dają dwa różne wyniki.

Rozwiązywanie problemów

Mon, 01 Jan 0001 00:00:00 +0000

„Plik nie jest prawidłowym plikiem dziennika debugowania DNS”

Sprawdzenie nagłówka odrzuciło dane wejściowe. Zwykle ścieżka jest po prostu błędna — plik .log w tym samym folderze, który nie jest dziennikiem debugowania DNS, lub plik zawierający tylko obrócony nagłówek.

Przejdź przez to krok po kroku:

Otwórz plik. Dziennik debugowania DNS zaczyna się od linii nagłówka takiej jak Message logging started at … i zawiera wpisy zapytań z oznaczeniem czasu.
Potwierdź, że debugowanie DNS jest faktycznie włączone i zapisuje do oczekiwanej ścieżki: