Monitorare DNS tramite HTTPS nel server DNS

Questo articolo illustra come monitorare l'attività DNS su HTTPS (DoH) nel server DNS usando log eventi e contatori delle prestazioni.

Quando si abilita DoH nel server DNS, è necessaria visibilità sul traffico DNS crittografato per la pianificazione della capacità, l'analisi delle prestazioni e la consapevolezza operativa. Poiché il traffico DoH è crittografato, gli strumenti di monitoraggio della rete tradizionali non possono esaminare le query DNS. Gli eventi e i contatori delle prestazioni specifici di DoH descritti in questo articolo consentono di tenere traccia delle attività di query crittografate, misurare la velocità effettiva e identificare potenziali problemi con il servizio DoH.

DoH crittografa il traffico DNS incapsulando i messaggi DNS all'interno di HTTPS. Per altre informazioni sul funzionamento di DoH, vedere Crittografia DNS tramite DNS su HTTPS.

Prerequisiti

Prima di iniziare, assicurarsi di avere:

  • Windows Server 2025 con l'aggiornamento della sicurezza 2026-06 (KB5094125) o versione successiva installata.
  • DNS su HTTPS abilitato e configurato nel server DNS (vedere Abilitare DNS su HTTPS nel server DNS).
  • Amministratore o accesso equivalente a Windows Server che ospita il servizio Server DNS.
  • Conoscenza di base del Visualizzatore eventi di Windows e di Monitor prestazioni.

Visualizzare i log del server

Il sistema abilita i log di controllo per impostazione predefinita. Questi log non influiscono significativamente sulle prestazioni del server DNS. Gli eventi di controllo del server DNS abilitano l'avvio, l'arresto e il rilevamento delle modifiche nel server DNS. Per visualizzare i log DoH:

  1. Selezionare il pulsante Start, digitare Visualizzatore eventi e aprire Visualizzatore eventi dall'elenco delle corrispondenze migliori.

  2. In Visualizzatore eventi passare a Applicazioni e servizi > Server DNS.

  3. Per filtrare gli eventi specifici di DoH, fare clic con il pulsante destro del mouse su Server DNS, selezionare Filtra log corrente e nella finestra di dialogo filtro immettere gli ID evento DoH seguenti nel campo Tutti gli ID evento : 597, 598, 599, 600, 601, 602, 603. Selezionare OK per applicare il filtro.

Eventi del server

La tabella seguente riepiloga gli eventi di controllo DoH.

ID evento TIPO Categoria Level Testo evento
822 URL DoH registrato DNS su HTTPS Di carattere informativo Successfully started HTTP server for DNS-over-HTTPS (DoH) server. The DoH server is listening on following URL(s): %1
823 Inizializzazione DoH non riuscita DNS su HTTPS Errore The DNS server could not initialize the HTTP server for DNS-over-HTTPS (DoH) and failed with error code %1.
824 Sessioni DoH non riuscite DNS su HTTPS Errore The DNS server could not create the HTTP server session for DNS-over-HTTPS (DoH) and failed with error code %1.
825 La creazione dell'URL DoH è fallita DNS su HTTPS Errore The DNS server could not register the URL: %1 for the DNS-over-HTTPS (DoH) server and failed with error code %2.
826 DoH Creazione della coda di richiesta non riuscita DNS su HTTPS Errore The DNS server could not create the HTTP request queue for DNS-over-HTTPS (DoH) and failed with error code %1.
827 Configurazione di DoH DNS su HTTPS Di carattere informativo The configuration for DNS-over-HTTPS (DoH) server are: %1
828 DoH chiuso DNS su HTTPS Di carattere informativo The DNS-over-HTTPS (DoH) server has shut down gracefully.
829 Errore di interruzione DoH DNS su HTTPS Errore The DNS-over-HTTPS (DoH) server has shut down due to an error and failed with error code %1.

Visualizzare gli eventi analitici

Gli eventi analitici non sono abilitati per impostazione predefinita, è necessario abilitarli per visualizzare gli eventi analitici specifici di DoH. Gli eventi analitici DoH forniscono informazioni dettagliate sulle attività di query e risposta DNS crittografate, ad esempio nomi di query, tipi, codici di risposta e tempi di elaborazione. È possibile visualizzare eventi specifici di DoH che tengono traccia delle attività di query e risposta crittografate attenendosi alla procedura seguente:

Per abilitare la registrazione diagnostica DNS:

  1. Dal nodo Registri applicazioni e servizi > Microsoft > Windows > DNS-Server selezionare con il tasto destro DNS-Server, selezionare Visualizza e poi selezionare Mostra log analitici e di debug. Viene visualizzato il log analitico.

  2. Fare clic con il pulsante destro del mouse su Analitico e quindi scegliere Proprietà.

  3. Se si desidera eseguire una query e visualizzare i log dal Visualizzatore eventi, scegliere Quando viene raggiunta la dimensione massima del registro eventi, selezionare Non sovrascrivere gli eventi (Cancella i log manualmente), selezionare la casella di controllo Abilita registrazione e quindi selezionare OK quando viene chiesto se si desidera abilitare questo log.

  4. Se si vuole abilitare la registrazione circolare, scegliere Sovrascrivere se necessario (eventi meno recenti prima) e selezionare Abilita registrazione. Dopo aver selezionato OK, viene visualizzato un errore di query . La registrazione avviene anche se viene visualizzato questo errore. L'errore significa solo che non è possibile visualizzare gli eventi attualmente registrati nel Visualizzatore eventi.

  5. Selezionare OK per abilitare il registro eventi di Analisi server DNS.

    Screenshot che mostra la finestra Proprietà log per il log analitico del server DNS con un messaggio di avviso relativo alla potenziale perdita di eventi durante l'abilitazione del log.

Per impostazione predefinita, i log analitici vengono scritti nel file %SystemRoot%\System32\Winevt\Logs\Microsoft-Windows-DNSServer%4Analytical.etl. La sezione successiva illustra gli eventi DoH visualizzati nei registri eventi analitici e di controllo del server DNS.

Eventi analitici di DNS su HTTPS

Gli eventi analitici DoH sono simili agli eventi analitici DNS standard, ma tengono traccia solo di query e risposte crittografate. Per altre informazioni sui log disponibili per il servizio server DNS, vedere Abilitare la registrazione DNS e la diagnostica.

La tabella seguente descrive gli eventi analitici DoH:

ID evento TIPO Categoria Testo evento
597 Query crittografata ricevuta Ricerca QUERY_RECEIVED: Channel=%1; %2; InterfaceIP=%3; Source=%4; RD=%5; QNAME=%6; QTYPE=%7; XID=%8; Port=%9; Flags=%10; PacketData=%12; AdditionalInfo = VirtualizationInstanceOptionValue: %13; GUID=%14; %15
598 Risposta crittografata inviata Ricerca RESPONSE_SUCCESS: Channel=%1; %2; InterfaceIP=%3; Destination=%4; AA=%5; AD=%6; QNAME=%7; QTYPE=%8; XID=%9; DNSSEC=%10; RCODE=%11; Port=%12; Flags=%13; Scope=%14; Zone=%15; PolicyName=%16; PacketData=%18; AdditionalInfo= %19; DataTag=%20; ElapsedTime=%21; GUID=%22; %23; %24;
599 Errore di risposta crittografata Ricerca RESPONSE_FAILURE: Channel=%1; %2; InterfaceIP=%3; Reason=%4; Destination=%5; QNAME=%6; QTYPE=%7; XID=%8; RCODE=%9; Port=%10; Flags=%11; Zone=%12; PolicyName=%13; PacketData=%15; AdditionalInfo = VirtualizationInstance: %14; ElapsedTime=%17; GUID=%18; %19
600 Query crittografata rifiutata Ricerca IGNORED_QUERY: Channel=%1; %2; InterfaceIP=%3; Source=%4; Reason=%5
601 Errore del canale di risposta crittografato Ricerca IGNORED_QUERY: Channel=%1; %2; InterfaceIP=%3; Source=%4; Reason=%5
602 Richiesta di aggiornamento DDNS crittografata ricevuta Aggiornamento dinamico DYN_UPDATE_RECV: Channel=%1; %2; InterfaceIP=%3; Source=%4; QNAME=%5; XID=%6; Port=%7; Flags=%8; SECURE=%9; PacketData=%11
603 Risposta di aggiornamento DDNS crittografata inviata Aggiornamento dinamico DYN_UPDATE_RESPONSE: Channel=%1; %2; InterfaceIP=%3; Destination=%4; QNAME=%5; XID=%6; ZoneScope=%7; Zone=%8; RCODE=%9; PolicyName=%10; PacketData=%12

Il campo TCP non è applicabile a DoH. Il Channel campo (%1) lo sostituisce e porta il valore 2 per il traffico DoH. Le informazioni complementari (%2) relative alla richiesta o alla risposta seguono il Channel campo . Ogni evento include informazioni dettagliate, ad esempio versione HTTP, ID richiesta e codici di stato. Per gli eventi di query, le informazioni complementari seguono questo formato:

HTTP=Version:HTTP/2; Verb:POST; RequestID:{4987238521587782}

Per gli eventi di risposta, il formato include lo stato HTTP:

HTTP=Version:HTTP/2; Verb:POST; RequestID:{4987238521587782}; Status:200

Monitorare le prestazioni

La tabella seguente descrive i contatori delle prestazioni DoH disponibili:

Nome del contatore Categoria Description
Richieste DoH ricevute/sec DNS-over-HTTPS (DNS su HTTPS) Misura il numero di pacchetti di query DoH ricevuti dal server ogni secondo
Risposte DoH inviate/sec DNS-over-HTTPS (DNS su HTTPS) Misura il numero di pacchetti di risposta DoH inviati correttamente dal server ogni secondo, incluse risposte da dati autorevoli, dati memorizzati nella cache, risposte inoltrate, risultati della ricorsione e risposte con codici di errore HTTP o DNS
Richieste DoH scartate/sec DNS-over-HTTPS (DNS su HTTPS) Misura il numero di query DoH in ingresso eliminate dal server ogni secondo prima della normale elaborazione, a causa dei limiti delle risorse del server, degli errori di analisi dei pacchetti, della limitazione della frequenza, della congestione della rete o dei criteri di sicurezza

Annotazioni

I contatori delle prestazioni vengono reimpostati al riavvio del servizio server DNS.

I contatori delle prestazioni DoH misurano l'attività di query DNS crittografata separatamente dal traffico DNS tradizionale. Per monitorare le prestazioni di DoH, selezionare il metodo preferito nella sezione seguente.

Per monitorare i contatori delle prestazioni DoH usando Monitor prestazioni, seguire questa procedura:

  1. Selezionare Start, digitare Monitor prestazioni e quindi selezionare Monitor prestazioni nei risultati.

  2. In Monitor prestazioni selezionare il pulsante Aggiungi (segno più verde) per aggiungere contatori.

  3. Nell'elenco Contatori disponibili, espandi DNS su HTTPS.

  4. Selezionare i contatori DoH da monitorare:

    • Richieste ricevute DoH/sec
    • Risposte DoH inviate/sec
    • Richieste DoH scartate/sec

  5. Selezionare Aggiungi per aggiungere i contatori selezionati al grafico di monitoraggio.

  6. Selezionare OK per avviare il monitoraggio dei contatori.

Contenuti correlati

  • Last updated on