内网DNS解析日志转存SLS

应用场景

出于合规和安全性的考虑，公司通常要求对网络日志进行存储和分析。通过内网DNS日志，可以清晰了解企业内网域名的使用情况，帮助企业对内网用户行为进行审计，及时发现潜在的安全问题。

什么是内网域名解析日志

内网域名解析日志（Privatezone Resolution Log）记录了指定阿里云UID下所有VPC网络内终端产生的DNS域名解析请求和应答（包括请求的地域、请求的VPC ID、源IP地址、目的IP地址（DNS服务地址）、查询的域名、记录类型、应答的结果等），终端请求的这些域名既包含了配置在PrivateZone上的内网权威域名，也包含了外部公网域名。为了满足用户可以快速、简单实现多账号、多地域场景下内网DNS日志的采集、管理、中心化查询分析等需求，DNS与SLS联合开发，在SLS日志审计应用中发布一键开启内网DNS日志的功能。

内网DNS日志记录的是内网终端的域名解析请求和应答记录，请求的域名主要来自于以下四类：

1、内置权威域名

内网DNS解析是基于阿里云专有网络VPC（Virtual Private Cloud）环境的私有DNS服务。该服务允许您在一个或多个VPC中将自定义私有域名映射到IP地址。通过内网DNS解析，您可以方便地使用自定义私有域名来管理VPC中的ECS主机名、SLB、OSS等阿里云资源，而这些私有域名在VPC之外将无法访问。此外，您还可以通过专线或VPN等连接方式，将您的VPC与传统数据中心相连，实现传统数据中心与阿里云VPC之间通过私有域名进行资源互相访问。

2、配置在飞天云平台DNS（云底座DNS）上的云产品实例域名

云底座DNS，是内置于阿里云飞天平台的底层DNS，阿里云的所有云产品提供的实例域名，都是通过云底座DNS进行解析的。

3、转发到外部DNS上的外部域名

外部DNS，通常指的是您数据中心的内网DNS系统，通过转发管理的功能，将来自VPC的域名解析请求，转发到您数据中心的DNS系统进行解析，从而实现阿里云VPC的ECS主机可以访问您数据中心的应用域名。

4、递归到外部公网权威DNS上的公网域名

公网权威DNS，是特定公网域名（例如“example.com”）在域名注册局或者域名注册商处所设置的DNS服务器。公网权威DNS可以为根域名、顶级域名和其他各级域名提供域名权威数据的管理和解析服务。公网权威DNS服务器只对自己所拥有的域名进行域名解析，对于不是自己的域名则拒绝访问。

开通内网域名解析日志转存SLS

内网域名解析日志转存 SLS 仅对白名单账号开放。如需配置转存，请联系您的阿里云商务经理或通过提交工单申请加入白名单。

1. 访问云解析DNS-内网域名解析。

2. 开启右上角的 Private Zone 流量分析开关。若已开启，则点击开关右侧的设置按钮。

3. 完成表单填写并提交。

   表单项	说明
   区域Region列表	选择需要开启流量分析的地域。
   专有网络VPC列表	根据选择的地域，展示地域下可选择的VPC。若该选项为空，则代表默认分析选定地域的所有VPC的流量。
   部署地域	日志分析服务器部署地区，无需用户选择。流量分析开启后，会在部署地分析解析日志数据。
   日志存储与分析	开通内网域名解析日志转存 SLS 可选择： 仅转存阿里云日志服务 SLS：云解析DNS不提供存储和分析服务，直接转存到SLS。 Private Zone 存储并统计分析，同时转存阿里云日志服务 SLS：云解析DNS的内网域名解析服务存储并提供报表分析服务同时转存一份日志到SLS。
   转存配置	为每个需要转存的地域填写 SLS 相关信息： 地域：选择日志存储地域。 日志服务Project：创建Project或选择已有的Project。 日志服务Logstore：创建Logstore或选择已有的Logstore。

4. 单击确定保存配置。保存后流量分析保持开启状态。

查看内网域名解析日志转存明细

1. 登录日志服务控制台。

2. 在 Project 列表中选择 DNS 控制台转存配置中指定的 Project。

3. 在左侧日志库列表，选择转存配置中指定的 Logstore，查看解析日志明细。

内网域名解析日志字段信息

1、请求日志示例

2、全局应答日志示例

3、模块应答日志示例

日志分析最佳实践

下面列举几类常见的内网DNS日志的查询分析场景，用户也可以根据实际需求自定义查询分析语句。此外，用户还可以将SQL语句查询结果添加到仪表盘、或者另存为快速查询、另存为告警等进行后续分析处理。

1、DNS解析结果类

某时间段内，指定VPC下，不同查询域名的DNS请求量分布。

* and vpc_id: vpc-2ze9dducyc3t6p8aeksb3 |select count(*) as total_req, query_name group by query_name

执行上述查询语句后，在统计图表页签下以饼图形式展示各查询域名的请求量占比分布。

2、DNS解析RT类

某时间段内，指定VPC，指定域名，指定queryType的DNS解析RT统计分析。

* and vpc_id: vpc-2ze9dducyc3t6p8aeksb3 and query_name: "metrichub-cn-beijing.aliyun.com." and query_type: A | select stddev(__time__) as RT, dns_msg_id GROUP by dns_msg_id

查询结果为两列数据表格，列名分别为 RT 和 dns_msg_id，其中所有记录的 RT 值均为 0.0，表示按 dns_msg_id 分组后各组时间标准差为 0，共返回 100 条记录。

3、解析异常分析

客户的阿里云ECS服务器查询域名时存在解析异常情况，客户开启了内网域名解析日志并将相关日志转存至SLS，进一步分析解析异常原因。在SLS日志记录内可能会同时存在如下三种日志内容：请求日志、全局应答日志、模块应答日志。

分析过程如下：

1. 可以通过src_port和dns_msg_id参数，识别过滤一次解析请求的全部日志内容。

2. 可以通过如下字段区分3种日志的区别：

   1. rt字段为空的是请求日志

   2. resolve_path为空的是模块应答日志

   3. 不为空的是全局应答日志

3. 异常结果示例

   根据前面的区分规则，第一条为请求日志，第二条为模块应答日志，第三条为全局应答日志。

   三条日志的 dns_msg_id 均为 59241，其中第一条 module_type 为 GLOBAL、dns_msg_flags 为 RD；第二条 module_type 为 RECURSION、dns_msg_flags 为空；第三条 module_type 为 GLOBAL、dns_msg_flags 为 QR RD，dst_addr 为 100.100.2.136。

   1. 客户端发起DNS解析请求，表示期望进行递归查询；

   2. 向递归模块发起请求，递归模块解析失败；

   3. 100.100.2.136 返回客户端结果，解析失败。

4. 正常结果示例

   DNS 内网日志查询结果表格中，关键字段及其正常值包括：_source_ 为 log_dispatch，_topic_ 为 dns_intranet_log，module_type 为 GLOBAL 或 CACHE，query_type 为 A，dst_addr 为 100.100.2.136，dst_port 为 53，transport 为 UDP，answer_rset 包含 CNAME 解析记录，node_id 为 cn-shanghai。

   1. 客户端发起DNS解析请求，表示期望进行递归查询；

   2. 向递归模块发起请求，递归模块解析成功；

   3. 100.100.2.136返回客户端解析结果。