DNS 监控是对 DNS 服务进行实时监控和告警的技术，确保 DNS 服务的可用性、性能和安全性。有效的 DNS 监控可以快速发现和解决问题，保障业务连续性。
DNS 监控的重要性
DNS 故障的影响
DNS 故障 ↓ 用户无法访问网站 ↓ 邮件无法发送/接收 ↓ API 调用失败 ↓ 业务中断，损失巨大
监控的价值
| 价值 | 说明 |
|---|---|
| 快速发现 | 及时发现问题，减少故障时间 |
| 性能优化 | 识别瓶颈，优化 DNS 性能 |
| 安全防护 | 检测异常，防止攻击 |
| 容量规划 | 了解负载，合理扩容 |
DNS 监控指标
1. 可用性指标
| 指标 | 说明 | 目标值 |
|---|---|---|
| DNS 服务可用率 | DNS 服务正常运行时间比例 | > 99.9% |
| 查询成功率 | 成功响应的查询比例 | > 99.5% |
| 响应时间 | DNS 查询的平均响应时间 | < 100ms |
2. 性能指标
| 指标 | 说明 | 目标值 |
|---|---|---|
| 查询延迟 | 从发起到收到响应的时间 | < 50ms |
| TTL 命中率 | 缓存命中的比例 | > 80% |
| 并发连接数 | 同时处理的连接数 | 监控趋势 |
3. 安全指标
| 指标 | 说明 | 告警阈值 |
|---|---|---|
| 异常查询量 | 超出正常范围的查询量 | > 200% |
| 失败查询率 | 失败查询的比例 | > 1% |
| DNSSEC 验证失败 | DNSSEC 验证失败次数 | > 0 |
DNS 监控工具
1. BIND 内置监控
rndc 工具
# 查看 DNS 统计 rndc stats # 查看服务器状态 rndc status # 查看查询统计 rndc querylog
BIND 统计信息
# 启用统计 options { statistics-channels { "default" { file "/var/log/named.stats"; version 3; }; }; };
2. Prometheus + Grafana
BIND Exporter
# prometheus.yml scrape_configs: - job_name: 'bind' static_configs: - targets: ['localhost:9119']
Grafana 仪表板
{ "dashboard": { "title": "DNS Monitoring", "panels": [ { "title": "Query Rate", "targets": ["bind_queries_total"], "type": "graph" }, { "title": "Response Time", "targets": ["bind_query_duration_seconds"], "type": "graph" } ] } }
3. Nagios/Icinga
DNS 检查脚本
#!/bin/bash # check_dns.sh DNS_SERVER="8.8.8.8" DOMAIN="example.com" WARNING_TIME=50 CRITICAL_TIME=100 # 查询 DNS START_TIME=$(date +%s%N) dig @$DNS_SERVER $DOMAIN +short > /dev/null 2>&1 END_TIME=$(date +%s%N) QUERY_TIME=$((END_TIME - START_TIME)) # 判断状态 if [ $QUERY_TIME -lt $WARNING_TIME ]; then echo "OK - DNS response time: ${QUERY_TIME}ms" exit 0 elif [ $QUERY_TIME -lt $CRITICAL_TIME ]; then echo "WARNING - DNS response time: ${QUERY_TIME}ms" exit 1 else echo "CRITICAL - DNS response time: ${QUERY_TIME}ms" exit 2 fi
4. Zabbix
Zabbix Agent 配置
# zabbix_agentd.conf UserParameter=dns.query.time[*],dig -p 5 +time @$1 $2 +short | grep "Query time" | awk '{print $4}' UserParameter=dns.query.success[*],dig @$1 $2 +short > /dev/null 2>&1 && echo 1 || echo 0
Zabbix 模板
<template> <name>DNS Monitoring</name> <items> <item> <name>DNS Query Time</name> <key>dns.query.time[8.8.8.8,example.com]</key> <type>0</type> <units>ms</units> </item> <item> <name>DNS Query Success</name> <key>dns.query.success[8.8.8.8,example.com]</key> <type>0</type> <value_type>3</value_type> </item> </items> <triggers> <trigger> <expression>{DNS Monitoring:dns.query.time[8.8.8.8,example.com].last()}>100</expression> <name>DNS response time too high</name> <priority>4</priority> </trigger> </triggers> </template>
5. Datadog
Datadog Agent 配置
# datadog.yaml init_config: instances: - name: bind host: localhost port: 53
自定义指标
# dns_check.py import subprocess import time def check_dns(server, domain): start = time.time() try: subprocess.run(['dig', f'@{server}', domain, '+short'], capture_output=True, timeout=5) duration = (time.time() - start) * 1000 print(f"dns.response.time:{duration}|ms") print(f"dns.response.success:1|g") except: print(f"dns.response.success:0|g") check_dns('8.8.8.8', 'example.com')
DNS 监控最佳实践
1. 多维度监控
# 从多个位置监控 LOCATIONS=("beijing" "shanghai" "guangzhou" "us-west") for location in "${LOCATIONS[@]}"; do echo "Checking DNS from $location..." dig @$location.dns.monitor.com example.com +short done
2. 分层监控
┌─────────────────────────────┐ │ 用户层监控（ping、curl） │ └────────────┬────────────────┘ ↓ ┌─────────────────────────────┐ │ DNS 层监控（dig、nslookup） │ └────────────┬────────────────┘ ↓ ┌─────────────────────────────┐ │ 服务器层监控（CPU、内存） │ └─────────────────────────────┘
3. 设置合理阈值
# 告警规则 alerts: - name: DNS High Latency expr: dns_response_time > 100 for: 5m labels: severity: warning - name: DNS Service Down expr: dns_service_up == 0 for: 1m labels: severity: critical
4. 监控 DNSSEC
# 检查 DNSSEC 状态 dig +dnssec example.com # 监控 DNSSEC 验证失败 dig +dnssec +adflag example.com
DNS 监控告警
告警渠道
| 渠道 | 适用场景 | 响应时间 |
|---|---|---|
| 邮件 | 一般告警 | 分钟级 |
| 短信 | 紧急告警 | 秒级 |
| Slack/钉钉 | 团队协作 | 秒级 |
| PagerDuty | 轮值告警 | 秒级 |
告警分级
# 告警级别 critical: - DNS 服务宕机 - DNSSEC 验证失败 - 响应时间 > 500ms warning: - 响应时间 > 100ms - 查询成功率 < 99% - 缓存命中率 < 70% info: - 查询量异常增长 - 新域名解析失败
DNS 监控可视化
Grafana 仪表板
{ "dashboard": { "title": "DNS Dashboard", "panels": [ { "title": "Query Rate", "targets": ["rate(bind_queries_total[5m])"], "type": "graph" }, { "title": "Response Time Percentiles", "targets": [ "histogram_quantile(bind_query_duration_seconds, 0.5)", "histogram_quantile(bind_query_duration_seconds, 0.95)", "histogram_quantile(bind_query_duration_seconds, 0.99)" ], "type": "graph" }, { "title": "Cache Hit Rate", "targets": [ "rate(bind_cache_hits[5m]) / rate(bind_queries_total[5m]) * 100" ], "type": "stat" } ] } }
面试常见问题
Q: DNS 监控应该监控哪些指标？
A:
- 可用性：服务可用率、查询成功率
- 性能：响应时间、查询延迟
- 安全：异常查询量、DNSSEC 验证
- 容量：并发连接数、查询量趋势
Q: 如何监控 DNS 服务的性能？
A:
- 响应时间：使用 dig +time 测量查询时间
- 查询量：监控 DNS 服务器的查询速率
- 缓存命中率：监控缓存命中的比例
- 并发连接：监控同时处理的连接数
Q: DNS 监控的最佳实践是什么？
A:
- 多维度监控：从多个位置、多个层级监控
- 合理阈值：根据业务需求设置告警阈值
- 及时告警：设置多渠道告警，确保及时通知
- 可视化分析：使用 Grafana 等工具可视化监控数据
Q: 如何监控 DNSSEC 状态？
A:
- 验证 DNSSEC：使用 dig +dnssec 检查签名
- 监控验证失败：记录 DNSSEC 验证失败的次数
- 监控密钥过期：监控 DNSKEY 记录的过期时间
- 告警机制：设置 DNSSEC 相关的告警
总结
| 方面 | 说明 |
|---|---|
| 核心作用 | 确保 DNS 服务的可用性、性能和安全性 |
| 监控指标 | 可用性、性能、安全、容量 |
| 常用工具 | BIND、Prometheus、Nagios、Zabbix、Datadog |
| 最佳实践 | 多维度监控、合理阈值、及时告警、可视化分析 |
| 告警渠道 | 邮件、短信、Slack、PagerDuty |
| 监控目标 | 快速发现、及时告警、快速恢复 |