Перейти к содержимому
Калькуляторы

Каким путем логировать ответы типа NXDOMAIN?

Сабж

 

В качестве рекурсора BIND.

 

Есть идеи как аккуратнее накостылить?

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Анализ бигдейта :-)

 

Tcpdump с передачей по конвейеру на dnscap возможно но ресурсоемко и геморно както имхо.

В логах бинд не пишет тк это не ошибка по сути а нормальный ответ.

Изменено пользователем reeder

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Насколько я помню, все bigdata-проекты для участия хотят чистый дамп трафика, так что, похоже, это верный путь.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

В логах бинд не пишет тк это не ошибка по сути а нормальный ответ.

 

 

Ну как вариант включить логирование всех запросов. Главное чтоб bind не помер от такого

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Сделать зеркало порта и на другой машине снять тем же netmap enabled tcpdump :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Если интересует только количество, то можно счетчиком iptables с совпадением по содержимому.

Если хочется подробностей, то наверное, проще собрать bind, включив какой-нибудь дебагоный какой-нибудь принт в обработке NXDOMAIN. Затем можно через правильный syslog-демон хоть в mysql залогировать (это чтобы напрямую bind'у такие костыли не приделывать)

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

' timestamp='1462352439' post='1278707']

Если интересует только количество, то можно счетчиком iptables с совпадением по содержимому.

Ну примерно так для bind. Скомандовать ему про rndc status или dumpdb, а затем погрепать named.stats на пример nxdomain - там цифры есть.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Итого:

tshark -i eth0 "port 53" -T fields -e dns.qry.name -R "dns.flags.response eq 1 and dns.flags.rcode == 3" | awk -F"." 'NF ==2'

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

В логах бинд не пишет тк это не ошибка по сути а нормальный ответ.

 

Почитайте внимательно мануал к bind'y. Там много чего, есть, например:

delegation-only Logs queries that have returned NXDOMAIN as the result of a delegation-only zone or a delegation-only statement in a hint or stub zone declaration.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Гость
Ответить в тему...

×   Вставлено в виде отформатированного текста.   Вставить в виде обычного текста

  Разрешено не более 75 смайлов.

×   Ваша ссылка была автоматически встроена.   Отобразить как ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставить изображения напрямую. Загрузите или вставьте изображения по ссылке.