O tej dokumentacji on Moduł PowerShell DNSServer.DebugLogParser

Przegląd

Mon, 01 Jan 0001 00:00:00 +0000

DNSServer.DebugLogParser to moduł PowerShell, który przekształca pliki dziennika debugowania serwera DNS Windows w ustrukturyzowane, analizowalne dane CSV do analizy bezpieczeństwa, monitorowania wydajności, rozwiązywania problemów oraz raportowania zgodności.

Co to jest dziennik debugowania DNS?

Logowanie debugowania DNS to funkcja serwera DNS Windows, która rejestruje szczegółowe informacje o operacjach DNS. Po włączeniu serwer DNS zapisuje wpisy dziennika do pliku tekstowego (zwykle dns.log) w katalogu serwera DNS.

Każdy wpis dziennika zawiera do 16 pól, w tym:

Formaty wyjściowe

Mon, 01 Jan 0001 00:00:00 +0000

DNSServer.DebugLogParser może generować dwa typy wyjścia:

Plik danych CSV zawierający wszystkie przetworzone wpisy
Opcjonalne pliki statystyk do agregacji dziennej

Aby zobaczyć przykłady każdego typu wyjścia w praktyce, sprawdź przykład w tym artykule.

Plik danych CSV

Przykładowe pliki wyjściowe:

en-US (bez szczegółów): WithComputerName, NoComputerName
de-DE (bez szczegółów): WithComputerName, NoComputerName
de-DE (ze szczegółami / Details JSON wypełniony dla bloków szczegółów pakietu): WithComputerName, NoComputerName

Plik danych CSV zawiera wszystkie przetworzone wpisy dziennika z następującymi kolumnami:

DateTime: Data i czas zapytania/odpowiedzi DNS
ThreadId: Wewnętrzny identyfikator wątku serwera DNS
Context: Kontekst operacji (na przykład Packet, Event, Note, DSPoll, Init, Lookup, Recurse, Remote, Tombstone)
PacketId: Identyfikator pakietu DNS
Protocol: UDP lub TCP
Direction: Rcv (odebrane/zapytanie) lub Snd (wysłane/odpowiedź)
ClientIP: Adres IP klienta
Xid: Identyfikator transakcji (hex)
Type: Zapytanie lub odpowiedź
Opcode: Standard, Notify, Update lub Unknown
FlagsHex: Flagi zapytania/odpowiedzi (hex)
FlagsChar: Zdekodowane flagi (Authoritative, Truncated, RecursionDesired, RecursionAvailable)
ResponseCode: NOERROR, NXDOMAIN, SERVFAIL itd.
QuestionType: Typ rekordu DNS (A, AAAA, MX, PTR itd.)
QuestionName: Nazwa domeny zapytanej
Information: Dodatkowe informacje (dla Event/Note/itp.; dla bloków szczegółów pakietu zawiera linię nagłówka szczegółów TCP/UDP)
Details: Dane JSON dla wpisów Packet zawierających bloki szczegółów (puste w przeciwnym razie)
ComputerName: Nazwa serwera źródłowego (zawsze obecna; pusta jeśli nie określona)

Uwaga: Kolumna ComputerName jest zawsze dołączana na końcu każdego rekordu, aby zapewnić spójną strukturę wyjścia. Ułatwia to scenariusze konsolidacji dzienników z wielu serwerów.

Najlepsze praktyki operacyjne

Mon, 01 Jan 0001 00:00:00 +0000

Podczas korzystania z DNSServer.DebugLogParser w środowisku produkcyjnym:

Zaplanuj regularne przetwarzanie
- Użyj Harmonogramu zadań, aby automatycznie konwertować nowe pliki dziennika codziennie lub co tydzień.
Odpowiednio rotuj dzienniki
- Dzienniki debugowania DNS mogą szybko rosnąć; skonfiguruj rotację przy rozsądnym rozmiarze (na przykład 100MB).
Waliduj wynik
- Zweryfikuj kilka pierwszych przekonwertowanych plików przed pełną automatyzacją.
Zaplanuj wymagania dotyczące przechowywania
- Nawet z kompresją, zaplanuj miejsce na dysku bazując na wolumenie DNS i okresie przechowywania.
Zabezpiecz dane wrażliwe

Rozwiązywanie problemów

Mon, 01 Jan 0001 00:00:00 +0000

Najczęstsze problemy i rozwiązania

„Plik nie jest prawidłowym plikiem dziennika debugowania DNS”

Upewnij się, że konwertujesz rzeczywisty dziennik debugowania serwera DNS.
Plik powinien zaczynać się od Message logging started at lub zawierać wpisy zapytań DNS.
Jeśli jesteś pewien, że plik jest prawidłowy, ale nagłówek się różni, użyj -SkipHeaderValidation.

Plik wyjściowy jest pusty lub niekompletny

Potwierdź, że plik wejściowy zawiera prawidłowe wpisy dziennika.
Niektóre dzienniki mogą zawierać tylko informacje nagłówkowe, jeśli nie wystąpiły zapytania.
Sprawdź, czy plik dziennika nie jest uszkodzony i zawiera rzeczywiste dane zapytań.

Przetwarzanie jest bardzo wolne

Upewnij się, że masz wystarczającą ilość pamięci i dysk nie jest mocno obciążony.
Rozważ przetwarzanie mniejszych plików dziennika.
Rozważ użycie -CompressOutput z zaplanowanym przetwarzaniem, aby obsługiwać mniejsze partie.

Błędy „Access denied”

Uruchom PowerShell z odpowiednimi uprawnieniami do odczytu źródłowych plików dziennika i zapisu do katalogu docelowego.
Pliki dziennika DNS mogą wymagać uprawnień administratora.

Skompresowany plik wyjściowy jest większy niż oczekiwano

Dzienniki z wieloma unikalnymi wartościami kompresują się mniej efektywnie; może to być normalne.
Kompresja ZIP zazwyczaj nadal zapewnia znaczne zmniejszenie rozmiaru.

Plik statystyk nie odpowiada oczekiwaniom

Sprawdź, czy używasz -OutputType Both lub -OutputType Statistic.
Statystyki to zagregowane liczby (grupowanie dzienne), więc wartości reprezentują sumy.

Zgłaszanie problemów

Jeśli napotkasz problemy nieopisane tutaj: