About this documentation on PowerShell Modul DNSServer.DebugLogParser

Übersicht

Mon, 01 Jan 0001 00:00:00 +0000

DNSServer.DebugLogParser ist ein PowerShell-Modul, das Windows DNS-Server-Debugprotokolldateien in strukturierte, analysierbare CSV-Daten für Sicherheitsanalysen, Leistungsüberwachung, Fehlerbehebung und Compliance-Berichte umwandelt.

Was ist ein DNS-Debugprotokoll?

DNS-Debug-Logging ist eine Funktion des Windows DNS-Servers, die detaillierte Informationen über DNS-Vorgänge aufzeichnet. Wenn aktiviert, schreibt der DNS-Server Protokolleinträge in eine Textdatei (typischerweise dns.log) im Verzeichnis des DNS-Servers.

Jeder Protokolleintrag enthält bis zu 16 Felder, darunter:

Datum und Uhrzeit der Abfrage
Verwendetes Protokoll (UDP oder TCP)
Richtung (Senden oder Empfangen)
Client-IP-Adresse
Abfragetyp (A, AAAA, MX, PTR usw.)
Abgefragter Domainname
Antwortcode (NOERROR, NXDOMAIN usw.)
Abfrageflags und Optionen
IP-Adresse in der Antwort (bei erfolgreichen Abfragen)
Portnummern und weitere technische Details

Warum DNS-Debugprotokolle parsen?

DNS-Protokolle sind entscheidend für:

Ausgabeformate

Mon, 01 Jan 0001 00:00:00 +0000

DNSServer.DebugLogParser kann zwei Arten von Ausgaben erzeugen:

Eine CSV-Datendatei mit allen geparsten Einträgen
Optionale Statistikdateien für die tägliche Aggregation

Um reale Beispiele für jeden Ausgabetyp zu sehen, schau dir das Beispiel in diesem Artikel an.

CSV-Datendatei

Beispiel-Ausgabedateien:

en-US (ohne Details): WithComputerName, NoComputerName
de-DE (ohne Details): WithComputerName, NoComputerName
de-DE (mit Details / Details JSON gefüllt für Paket-Detailblöcke): WithComputerName, NoComputerName

Die CSV-Datendatei enthält alle geparsten Logeinträge mit den folgenden Spalten:

DateTime: Datum und Uhrzeit der DNS-Anfrage/-Antwort
ThreadId: Interne DNS-Server-Thread-ID
Context: Betriebskontext (z. B. Packet, Event, Note, DSPoll, Init, Lookup, Recurse, Remote, Tombstone)
PacketId: DNS-Paket-ID
Protocol: UDP oder TCP
Direction: Rcv (empfangen/Anfrage) oder Snd (gesendet/Antwort)
ClientIP: Client-IP-Adresse
Xid: Transaktions-ID (Hex)
Type: Anfrage oder Antwort
Opcode: Standard, Notify, Update oder Unknown
FlagsHex: Anfrage-/Antwortflags (Hex)
FlagsChar: Flags dekodiert (Authoritative, Truncated, RecursionDesired, RecursionAvailable)
ResponseCode: NOERROR, NXDOMAIN, SERVFAIL, etc.
QuestionType: DNS-Datensatztyp (A, AAAA, MX, PTR, etc.)
QuestionName: Abgefragter Domainname
Information: Zusätzliche Informationen (für Event/Note/etc.; für Paket-Detailblöcke enthält es die TCP/UDP-Detail-Headerzeile)
Details: JSON-Daten für Paket-Einträge mit Detailblöcken (ansonsten leer)
ComputerName: Quellservername (immer vorhanden; leer, wenn nicht angegeben)

Hinweis: Die Spalte ComputerName ist immer am Ende jedes Eintrags enthalten, um eine konsistente Ausgabestruktur sicherzustellen. Das erleichtert Szenarien zur Konsolidierung von Logs mehrerer Server.

Operative Best Practices

Mon, 01 Jan 0001 00:00:00 +0000

Bei der Verwendung von DNSServer.DebugLogParser in der Produktion:

Regelmäßige Verarbeitung planen
- Nutze den Taskplaner, um neue Protokolldateien täglich oder wöchentlich automatisch zu konvertieren.
Protokolle angemessen rotieren
- DNS-Debug-Protokolle können schnell wachsen; konfiguriere die Rotation bei einer handhabbaren Größe (z. B. 100 MB).
Ausgabe validieren
- Überprüfe die ersten konvertierten Dateien, bevor du die Automatisierung vollständig einsetzt.
Speicherbedarf planen
- Selbst mit Kompression solltest du den Speicherbedarf basierend auf DNS-Volumen und Aufbewahrungszeit planen.
Sensible Daten sichern

Fehlerbehebung

Mon, 01 Jan 0001 00:00:00 +0000

Häufige Probleme und Lösungen

„Die Datei ist keine gültige DNS-Debug-Logdatei“

Stelle sicher, dass du eine tatsächliche Debug-Logdatei des DNS-Servers konvertierst.
Die Datei sollte mit Message logging started at beginnen oder DNS-Abfrageeinträge enthalten.
Wenn du sicher bist, dass die Datei gültig ist, der Header aber abweicht, verwende -SkipHeaderValidation.

Ausgabedatei ist leer oder unvollständig

Überprüfe, ob die Eingabedatei gültige Logeinträge enthält.
Manche Logs enthalten nur Header-Informationen, wenn keine Abfragen stattgefunden haben.
Vergewissere dich, dass die Logdatei nicht beschädigt ist und tatsächliche Abfragedaten enthält.

Verarbeitung ist sehr langsam

Stelle sicher, dass genügend Arbeitsspeicher vorhanden ist und die Festplatte nicht stark ausgelastet ist.
Ziehe in Betracht, kleinere Logdateien zu verarbeiten.
Nutze -CompressOutput mit geplanter Verarbeitung, um kleinere Chargen zu verarbeiten.

„Zugriff verweigert“-Fehler

Starte PowerShell mit den erforderlichen Berechtigungen, um die Quell-Logdateien zu lesen und in das Zielverzeichnis zu schreiben.
DNS-Logdateien erfordern möglicherweise Administratorrechte.

Komprimierte Ausgabe ist größer als erwartet

Logs mit vielen einzigartigen Werten komprimieren sich weniger effizient; das kann normal sein.
ZIP-Kompression erzielt dennoch meist eine deutliche Reduzierung.

Statistikdatei entspricht nicht den Erwartungen

Überprüfe, ob du -OutputType Both oder -OutputType Statistic verwendest.
Statistiken sind aggregierte Zählwerte (tägliche Gruppierungen), daher stellen die Werte Gesamtsummen dar.

Probleme melden

Wenn du auf Probleme stößt, die hier nicht behandelt werden: