Problemen met DNS via HTTPS in DNS-server oplossen

Kunnen uw clients geen verbinding maken met uw DNS-server via DoH of mislukken versleutelde DNS-query's zonder duidelijke reden? Dit artikel helpt u bij het identificeren en oplossen van veelvoorkomende PROBLEMEN met DNS via HTTPS (DoH) op Windows DNS Server. Of u nu te maken hebt met certificaatbindingsfouten, poortconflicten of prestatieproblemen, u vindt stapsgewijze instructies om DoH correct te laten werken.

Begin met de controlelijst voor probleemoplossing om snel uw probleem vast te stellen en volg vervolgens de secties met betrekking tot het symptoom voor gedetailleerde oplossingsstappen. Dit artikel is van toepassing op Windows Server 2025 en latere versies waarvoor de DoH-functie is ingeschakeld.

Vereiste voorwaarden

Voordat u DoH-problemen oplost, moet u ervoor zorgen dat u het volgende hebt:

  • Windows Server 2025 met de beveiligingsupdate 2026-06 (KB5094125) of hoger geïnstalleerd.

  • DNS via HTTPS op de DNS Server-service ingeschakeld. Zie DNS via HTTPS inschakelen in DNS-server voor meer informatie.

  • Beheerderstoegang of gelijkwaardige toegang tot de Windows Server die als host fungeert voor de DNS Server-service.

DoH-certificaten moeten voldoen aan de volgende vereisten:

  • Uitgebreid sleutelgebruik extensie: moet serverauthenticatie (1.3.6.1.5.5.7.3.1) object-identificatie bevatten

  • Onderwerp of Onderwerp Alternatieve Naam: een ondertekend certificaat met een Subject Alternative Name (SAN) die overeenkomt met de volledig gekwalificeerde domeinnaam of het IP-adres dat overeenkomt met uw geconfigureerde DoH URI-sjabloon

  • Persoonlijke sleutel: moet aanwezig zijn in het archief van de lokale computer, correct gekoppeld aan het certificaat en mag geen sterke persoonlijke sleutelbeveiliging hebben ingeschakeld

  • Vertrouwensketen: moet worden uitgegeven door een CA die de DNS-clients vertrouwen

Controlelijst voor probleemoplossing

Doorloop deze controlelijst om uw DoH-probleem te identificeren. Elke controle linkt naar gedetailleerde oplossingsstappen.

1. DoH-status controleren

✅ DoH is ingeschakeld: Get-DnsServerEncryptionProtocol weergeeft EnableDoh : True

✅ De DNS-service draait: Get-Service DNS toont Running

✅ Geconfigureerde poort luistert: netstat -an | findstr :<port> toont LISTENING. De standaardpoort is 443.

Zie Symptoom: DoH is niet geconfigureerd of wordt uitgevoerd om problemen met de serviceconfiguratie op te lossen.

2. DoH-initialisatie controleren

✅ Gebeurtenis-id 822 wordt weergegeven in het gebeurtenislogboek van DE DNS-server nadat de service opnieuw is opgestart

✅ Geen fout gebeurtenissen (823, 824, 825, 826) in gebeurtenislogboek

✅ Het certificaat is gebonden aan uw geconfigureerde poort: netsh http show sslcert

Zie Symptoom: DoH kan niet worden geïnitialiseerd om initialisatiefouten op te lossen.

3. Controleer de clientconnectiviteit

✅ Clients kunnen de DNS-server bereiken op de geconfigureerde DoH-poort (testen met behulp van een browser), standaard 443

✅ Firewall staat binnenkomende TCP toe op de geconfigureerde DoH-poort

✅ Clients vertrouwen het servercertificaat (geen certificaatwaarschuwingen)

Zie Symptoom: Clients kunnen geen verbinding maken met DoH om connectiviteitsproblemen op te lossen.

4. Queryverwerking controleren

✅ Gebeurtenis-id 597 (ontvangen query's) wordt weergegeven in het analytische logboek.

✅ Gebeurtenis-id 598 (verzonden antwoorden) wordt weergegeven in het analytische logboek

✅ Geen gebeurtenis-id 599 (antwoordfouten) of gebeurtenis-id 600 (geweigerde query's)

Raadpleeg Symptoom: DoH-queries mislukken of time-outs om problemen met queryverwerking op te lossen.

Aanbeveling

Als gebeurtenis-id 597 niet wordt weergegeven, moet u eerst problemen met clientconnectiviteit oplossen. Zie Symptoom: Clients kunnen geen verbinding maken met DoH.

5. Prestaties controleren

✅ DoH-aanvragen verwijderd per seconde = 0

✅ DoH-antwoorden verzonden per seconde ≈ Ontvangen DoH-aanvragen per seconde

✅ Querylatentie is acceptabel

Zie Symptoom: Prestatieproblemen van DoH om prestatieproblemen op te lossen.

Symptoom: DoH niet geconfigureerd of actief

U probeert DoH te gebruiken, maar clients blijven niet-versleutelde DNS gebruiken of u kunt niet controleren of DoH is ingeschakeld op de server.

Veelvoorkomende oorzaken:

  • DoH is niet ingeschakeld op de server

  • DNS-service gestopt

  • Configuratiefout in DoH-instellingen

Diagnoses uitvoeren:

Voer de volgende opdracht uit om de DoH-configuratie te controleren:

Get-DnsServerEncryptionProtocol

Als DoH juist is geconfigureerd, ziet u het volgende:

EnableDoh   : True
UriTemplate : https://dns.contoso.com:443/dns-query

Voer de volgende opdracht uit om de STATUS van de DNS-service te controleren:

Get-Service DNS

De uitvoer moet Status: Running weergeven.

Voer de volgende opdracht uit om te controleren of de geconfigureerde poort luistert. Vervang 443 door de geconfigureerde poort als deze anders is:

netstat -an | findstr :443

Als het goed is, ziet u TCP-vermeldingen in de status van LISTENING.

Zie DNS bewaken via HTTPS voor gedetailleerde bewakingsprocedures.

Hoe op te lossen:

Als EnableDohFalse is, voert u de volgende opdracht uit om DoH in te schakelen:

Set-DnsServerEncryptionProtocol -EnableDoh $true -UriTemplate "https://dns.contoso.com:443/dns-query"

Vervang dns.contoso.com door de FQDN van uw DNS-server die overeenkomt met uw certificaat-SAN.

Voer de volgende opdracht uit om de DNS Server-service opnieuw op te starten:

Restart-Service -Name DNS

Als DoH nog niet eerder is geconfigureerd, raadpleegt u DNS via HTTPS inschakelen op Windows DNS Server voor volledige installatie-instructies, inclusief certificaatvereisten.

Symptoom: DoH kan niet initialiseren

U schakelt DoH in, maar de service initialiseert niet goed. Clients kunnen geen verbinding maken via DoH.

Veelvoorkomende oorzaken:

  • Problemen met certificaatbinding (gebeurtenis-id 823).

  • Poortconflicten (gebeurtenis-id 825, 826).

  • Ongeldige configuratie van URI-sjabloon.

Diagnoses uitvoeren:

Controleer Windows Gebeurtenisviewer op DNS-servergebeurtenissen. Ga naar Toepassingen en services>DNS-server.

Zie DNS bewaken via HTTPS - Servergebeurtenissen voor volledige gebeurtenisdetails.

Controleer op deze specifieke gebeurtenissen:

  • Gebeurtenis-id 823 (DNS_EVENT_HTTP_SERVER_INIT_FAILED): initialisatie van HTTP-server is mislukt, meestal vanwege problemen met certificaatbindingen of poortconflicten.

  • Gebeurtenis-id 824 (DNS_EVENT_HTTP_SERVER_SESSION_FAILED): het maken van een HTTP-serversessie is mislukt, meestal vanwege resourcebeperkingen.

  • Gebeurtenis-id 825 (DNS_EVENT_HTTP_CREATE_URL_FAILED): URL-registratie is mislukt vanwege ongeldige URI-indeling of poortconflicten.

Zoek naar gebeurtenis-id 822 (DNS_EVENT_HTTP_URL_REGISTERED), wat aangeeft dat de initialisatie is geslaagd. Als deze gebeurtenis ontbreekt nadat de service opnieuw is opgestart, is initialisatie mislukt.

Hoe op te lossen:

Problemen met certificaatbinding

Als u gebeurtenis-id 823 ziet, voert u de volgende opdracht uit om de certificaatbinding te verifiëren:

netsh http show sslcert

Zoek naar een vermelding die overeenkomt met uw IP-adres en poort (bijvoorbeeld 0.0.0.0:443). Controleer of de vingerafdruk van het certificaat van uw DNS-server wordt weergegeven.

Als het certificaat niet is gebonden of een onjuiste vingerafdruk weergeeft, raadpleegt u Bind het certificaat voor stappen om het juiste certificaat te binden.

Zorg ervoor dat het certificaat aan deze vereisten voldoet:

  • Geldig SSL/TLS-certificaat in de LocalMachine\My store

  • Alternatieve onderwerpnaam (SAN) stemt overeen met de FQDN in uw DoH-URI

  • Persoonlijke sleutel is geïnstalleerd

  • Niet verlopen

Zie DNS via HTTPS inschakelen op Windows DNS Server voor gedetailleerde configuratie van certificaten.

Poortconflicten

Als u gebeurtenis-id 825 of 826 ziet, gebruikt een andere service mogelijk poort 443. Voer de volgende opdracht uit om te controleren wat de poort gebruikt:

netstat -ano | findstr :443

Als in een ander proces poort 443 wordt gebruikt, kunt u het volgende doen:

  • Stop de conflicterende dienst of
  • Voer de volgende opdracht uit om DoH te configureren voor het gebruik van een andere poort:
Set-DnsServerEncryptionProtocol -EnableDoh $true -UriTemplate "https://dns.contoso.com:8443/dns-query"

Bind vervolgens uw certificaat aan de nieuwe poort en werk de firewallregels dienovereenkomstig bij.

Configuratiefouten

Controleer of uw URI-sjabloon juist is opgemaakt:

  • Begint met https://

  • Bevat de FQDN die overeenkomt met uw certificaat-SAN

  • Bevat het pad /dns-query

  • Voorbeeld: https://dns.contoso.com:443/dns-query

Voer de volgende opdracht uit om de huidige configuratie van de URI-sjabloon te controleren:

Get-DnsServerEncryptionProtocol | Select-Object UriTemplate

Als de URI-sjabloon onjuist is of ontbreekt, voert u de volgende opdracht uit om deze opnieuw te configureren:

Set-DnsServerEncryptionProtocol -EnableDoh $true -UriTemplate "https://dns.contoso.com:443/dns-query"

Vervang door dns.contoso.com de FQDN van uw DNS-server. Zorg ervoor dat de FQDN exact overeenkomt met de alternatieve naam voor onderwerp (SAN) in uw certificaat.

Nadat u problemen hebt opgelost, voert u de volgende opdracht uit om de DNS-service opnieuw op te starten. Controleer op gebeurtenis-id 822 om te bevestigen dat de initialisatie is geslaagd.

Restart-Service -Name DNS

Symptoom: Clients kunnen geen verbinding maken met DoH

U configureert en start DoH op de server, maar clients kunnen geen verbinding maken of certificaatfouten krijgen.

Veelvoorkomende oorzaken:

  • Netwerk of firewall blokkeert de geconfigureerde DoH-poort, die standaard 443 is.

  • Problemen met certificaatvertrouwen.

  • Client die een verkeerde URI of configuratie gebruikt.

Diagnoses uitvoeren:

Test de connectiviteit vanaf een clientcomputer door een webbrowser te openen en naar uw DoH-URI te gaan (bijvoorbeeld https://dns.contoso.com/dns-query). Je ziet een van de volgende resultaten:

  • Een lege pagina of minimaal antwoord geeft aan dat de server luistert en dat de netwerkverbinding werkt.

  • Een certificaatfout duidt op problemen met certificaatvertrouwen, maar bevestigt dat de netwerkverbinding en firewallregels juist zijn.

  • Een verbindingstime-out geeft netwerk- of firewallproblemen aan die toegang tot de DNS-server voorkomen met behulp van DoH.

Voer de volgende opdracht uit om firewallregels op de DNS-server te controleren:

Get-NetFirewallRule | Where-Object {$_.DisplayName -like "*DNS*" -or $_.DisplayName -like "*443*"} | Format-Table DisplayName, Enabled, Direction, Action

Controleer de vertrouwensrelatie van het clientcertificaat door de certificaatdetails in de browser te controleren. Controleer of de certificaatketen geldig en vertrouwd is.

Hoe op te lossen:

Netwerkverbinding

Controleer eerst de netwerkverbinding van de client naar de DNS-server via HTTPS. Voer de volgende opdracht uit en vervang de poort als u een niet-standaardpoort hebt geconfigureerd:

Test-NetConnection -ComputerName dns.contoso.com -Port 443

Als TcpTestSucceededFalse retourneert, controleert u de netwerkroutering en firewallregels tussen de client en de server.

Als u een nieuwe Windows Firewall-regel op de server wilt maken om binnenkomende verbindingen toe te staan, voert u de volgende opdracht uit. Vervang 443 door de geconfigureerde poort als deze anders is:

New-NetFirewallRule -DisplayName "DNS over HTTPS" -Direction Inbound -Protocol TCP -LocalPort 443 -Action Allow

Als u een hardwarefirewall of netwerkbeveiligingsgroep gebruikt, moet u ervoor zorgen dat binnenkomend TCP-verkeer op de geconfigureerde DoH-poort naar de DNS-server is toegestaan.

Certificaatvertrouwen

Als u een persoonlijke certificeringsinstantie (CA) gebruikt:

  1. Zorg ervoor dat uw DNS-clients die CA vertrouwen.

  2. Installeer het basis-CA-certificaat op clientcomputers.

  3. Controleer of de certificaatketen is voltooid op de server.

U kunt ook een certificaat gebruiken dat is ondertekend door een openbaar vertrouwde CA die clients al vertrouwen.

Voer de volgende opdracht uit om de netwerkverbinding met de DoH-poort van de DNS-server vanaf een client te testen. Vervang 443 door de geconfigureerde poort als deze anders is:

Test-NetConnection -ComputerName dns.contoso.com -Port 443

Als u wilt controleren of het certificaat wordt vertrouwd door de client, opent u een webbrowser en gaat u naar https://dns.contoso.com/dns-query. Als in de browser een certificaatwaarschuwing wordt weergegeven, vertrouwt de client de certificaatketen niet.

Zie DNS via HTTPS inschakelen op Windows DNS Server voor richtlijnen voor certificaatimplementatie.

Clientconfiguratie

Controleer of de DoH-configuratie van de client exact overeenkomt met de URI van uw server:

  • Windows 11: Instellingen > netwerk en internet > [verbinding] > DNS-instellingen

  • De DoH-sjabloon moet overeenkomen met: https://dns.contoso.com:443/dns-query

  • Als u een niet-standaardpoort gebruikt, moet u ervoor zorgen dat clients deze opgeven.

Als u clients configureert, maar ze nog steeds niet-versleutelde DNS gebruiken, controleert u of het IP-adres van de DNS-server in clientnetwerkinstellingen overeenkomt met uw DNS-server waarvoor DoH is ingeschakeld.

Probleem: DoH-queries mislukken of lopen vast op time-out

Clients maken verbinding met de DNS-server, maar query's mislukken of ontvangen geen antwoorden.

Veelvoorkomende oorzaken:

  • Problemen met upstream-DNS-omzetting (gebeurtenis-id 599)

  • Incompatibiliteit van clientprotocol (gebeurtenis-id 600)

  • Problemen met client-DoH-configuratie

  • Configuratieproblemen met DNS-server

Diagnoses uitvoeren:

Schakel analytische logboekregistratie in om gedetailleerde gebeurtenissen per query vast te leggen:

  1. Open Evenementenviewer en ga naar Toepassingen en Services-logboeken>Microsoft>Windows>DNS-Server.

  2. Klik met de rechtermuisknop op Analytisch en selecteer Logboek inschakelen.

Zie DNS bewaken via HTTPS - Analytische gebeurtenissen voor gedetailleerde analytische logboekregistratie.

Controleer deze belangrijke gebeurtenissen:

  • Gebeurtenis-id 597: DoH-query ontvangen - bevestigt dat versleutelde DNS-query's de server bereiken

  • Gebeurtenis-id 598: DoH-antwoord verzonden - bevestigt geslaagde antwoorden

  • Gebeurtenis-id 599: DoH-antwoordfout - geeft aan dat de server heeft geprobeerd te beantwoorden, maar niet (waarschijnlijk probleem met upstream-oplossing)

  • Gebeurtenis-id 600: DoH-query geweigerd - server laat bepaalde DoH-aanvragen actief vallen

  • Gebeurtenis-id 601: DoH-kanaalfout - kan in sommige foutgevallen gepaard gaan met 600 of 599

Zoek naar patronen:

  • Meerdere gebeurtenis-id 597 vermeldingen, maar geen gebeurtenis-id 598 vermeldingen suggereert dat de server geen query's kan oplossen.

  • Gebeurtenis-id 600-vermeldingen kunnen duiden op incompatibiliteit van HTTP-versie of onjuiste aanvragen.

  • Gebeurtenis-id 599 met SERVFAIL RCODE suggereert problemen met de upstream-forwarder.

Hoe op te lossen:

Upstream DNS-problemen (gebeurtenis-id 599)

Als u gebeurtenis-id 599 met SERVFAIL of vergelijkbare fouten ziet, controleert u de upstream-DNS-configuratie op de DNS-server. Voer de volgende opdracht uit:

Get-DnsServerForwarder

Voer de volgende opdracht uit om de connectiviteit met doorstuurservers te testen:

Test-NetConnection -ComputerName <forwarder-ip> -Port 53

Als doorstuurservers niet bereikbaar of onjuist zijn geconfigureerd, kunt u alternatieve doorstuurservers proberen met de volgende opdracht:

Set-DnsServerForwarder -IPAddress <new-forwarder-ip>

Voer de volgende opdracht uit om de oplossing handmatig te testen:

Resolve-DnsName -Name microsoft.com -Server localhost

Zie Problemen met DNS-servers oplossen voor traditionele DNS-problemen.

Afwijzing van query (gebeurtenis-ID 600)

Gebeurtenis-id 600 geeft geweigerde query's aan. Veelvoorkomende oorzaken zijn onder andere:

  • Http-aanvraag incompatibiliteit: de DNS-server weigert de aanvraag vanwege niet-ondersteunde of ongeldige HTTP-aanvraagkenmerken.

  • Ongeldige aanvragen: de query voldoet niet aan RFC 8484.

  • DNS-beleidsbeperkingen: een DNS-beleid kan query's verwijderen.

  • Aan de aanvraagvereisten aan de serverzijde wordt niet voldaan: DoH is niet ingeschakeld op de ontvangende interface of er is een URI-sjabloon die niet overeenkomt of validatie, configuratie of beleidscontroles aan de serverzijde.

Controleer de gebeurtenisdetails voor de reden van afwijzing. Als clients incompatibele HTTP-versies gebruiken, werkt u de clientsoftware bij of gebruikt u verschillende DoH-clienttoepassingen.

Voer de volgende opdracht uit om te controleren of er geen DNS-beleidsregels interfereren:

Get-DnsServerQueryResolutionPolicy

Client DoH-configuratie

Als query's mislukken van bepaalde clients maar van anderen werken, controleer de DoH-configuratie van de client. Veelvoorkomende problemen zijn:

  • Onjuiste DoH-URI-sjabloon
  • IP-adres van DNS-server komt niet overeen met de DNS-server die wordt gebruikt voor DoH
  • Client is niet geconfigureerd voor het gebruik van DoH

Zie Secure DNS Client via HTTPS (DoH) voor richtlijnen voor clientconfiguratie.

Serverconfiguratie

Als query's om andere redenen mislukken dan de query's die eerder in dit artikel zijn vermeld, controleert u de algemene DNS-serverconfiguratie:

  • Controleer of de basishints juist zijn geconfigureerd.

  • Controleer de laadstatus van gezaghebbende zones.

  • Controleer de recursie-instellingen als de server recursieve resolutie moet uitvoeren.

Zie Problemen met DNS-servers oplossen voor uitgebreide DNS-problemen.

Als u overmatige gebeurtenisgeneratie wilt voorkomen, schakelt u het analytische logboek uit wanneer het oplossen van problemen is voltooid.

Symptoom: Prestatieproblemen met DNS over HTTPS (DoH)

DoH werkt, maar u ziet hoge latentie, verwijderde query's of slechte prestaties vergeleken met niet-versleutelde DNS.

Veelvoorkomende oorzaken:

  • Servercapaciteitslimieten

  • Overhead voor TLS-handshake

  • Netwerkcongestie of hoog CPU-gebruik

Diagnoses uitvoeren:

Schakel controle in voor de volgende tellers met behulp van DNS over HTTPS bewaken - Prestaties bewaken:

  • DoH-aanvragen ontvangen per seconde
  • Verzonden DoH-antwoorden per seconde
  • DoH-aanvragen verwijderd per seconde

Belangrijke indicatoren van prestatieproblemen:

  • DoH-aanvragen verwijderd per seconde > 0: De server negeert query's.

  • Ontvangen aanvragen per seconde veel hoger dan antwoorden verzonden per seconde: veel query's krijgen geen antwoorden.

  • Hoog CPU-gebruik of pieken tijdens het verwerken van DoH-query's.

Bewaak ook systeembronnen:

  • CPU-gebruik

  • Geheugengebruik

  • Netwerkdoorvoer

Als alleen bepaalde query's traag zijn, is het probleem mogelijk extern voor DoH. Bijvoorbeeld trage recursie naar upstream-servers voor specifieke domeinen. Als u DoH-overhead wilt isoleren van algemene DNS-vertragingen, vergelijkt u DoH en niet-versleutelde DNS-prestaties voor dezelfde query's. Als beide traag zijn, is het probleem waarschijnlijk upstream-oplossing in plaats van DoH-specifiek.

Hoe op te lossen:

Vervallen query's

Als DoH Requests Dropped/sec deze groter is dan 0, voert u de volgende stappen uit:

  1. Correleren met gebeurtenis-id 600 in DNS Server-logboeken om de oorzaak van dalingen te identificeren.

  2. Controleer of de server resourcebeperking heeft.

    Get-Counter '\Processor(_Total)\% Processor Time'
Get-Counter '\Memory\Available MBytes'

  3. Als cpu of geheugen consistent hoog is, kunt u het volgende overwegen:

    • Uitbreiden van de server met meer CPU- of RAM-resources.
    • Extra DNS-servers toevoegen om de belasting te verdelen.
    • DNS-taakverdeling implementeren.

Hoge latentie

TLS-handshake-overhead kan de querylatentie verhogen ten opzichte van niet-versleutelde DNS. Latentieproblemen diagnosticeren:

  • Vergelijk DoH-querytijden met niet-versleutelde DNS-basislijnen voor dezelfde query's.

  • Gebruik hulpprogramma's aan de clientzijde om end-to-end DoH-querytijd te meten.

  • Als zowel DoH als niet-versleutelde DNS traag zijn voor dezelfde query's, is het probleem upstream-resolutie in plaats van DoH-specifiek.

Om DoH-specifieke latentie te verminderen:

  1. Controleer de CPU-capaciteit van de server: TLS-bewerkingen zijn CPU-intensief. Voer de volgende opdracht uit om te controleren of CPU een knelpunt is tijdens DoH-verkeer:

    Get-Counter '\Processor(_Total)\% Processor Time' -SampleInterval 1 -MaxSamples 30

    Indien de CPU consistent boven de 70-80% tijdens DoH-verkeer is, kunt u overwegen om de serverbronnen te upgraden of de belasting te verdelen.

  2. Controleer de lengte van de certificaatketen: kortere certificaatketens valideren sneller. Zorg ervoor dat tussenliggende certificaten correct zijn geconfigureerd om extra zoekacties te voorkomen.

  3. Controleer de netwerkpaden: hoge netwerklatentie tussen clients en de DNS-server heeft rechtstreeks invloed op de querytijd. Gebruik Test-NetConnection of traceroute zoek netwerkknelpunten.

Resourcebeperkingen

Als de server onvoldoende middelen heeft toegewezen gekregen:

  1. Bewaak het hulpbronnengebruik tijdens normale bewerkingen.

  2. Identificeer piekgebruikstijden en correleert deze met queryvolume.

  3. Overweeg het volgende:

    • Het verticaal schalen (grotere VM of fysieke server).
    • Horizontaal schalen (meerdere DNS-servers achter een load balancer).
    • Dns-zoneconfiguraties optimaliseren om de overhead voor zoneoverdracht te verminderen.

Voer de volgende opdracht uit om trends op lange termijn te bewaken en capaciteit te plannen:

Get-Counter '\DNS-over-HTTPS\DoH Requests Received/sec' -Continuous

Zie DNS over HTTPS monitoren - Prestaties monitoren voor richtlijnen voor capaciteitsplanning.

Geavanceerde diagnostische gegevens

Als basisoplossingen het probleem niet verhelpen, gebruikt u deze geavanceerde technieken om gedetailleerde diagnostische informatie te verzamelen.

Analytische logboekregistratie inschakelen

In het analytische DNS-serverlogboek worden gedetailleerde gebeurtenissen per query vastgelegd, waaronder DoH-specifieke bewerkingen. Wanneer u het logboek inschakelt, worden gebeurtenis-id's 597-600 vastgelegd voor elke DoH-query, -reactie, -fout en -afwijzing.

Zie DNS bewaken via HTTPS - Analytische gebeurtenissen voor stapsgewijze instructies voor het inschakelen en gebruiken van analytische logboekregistratie.

Belangrijk

Schakel analytische logboekregistratie uit wanneer u klaar bent, omdat er een groot aantal gebeurtenissen op drukke servers wordt gegenereerd.

Gedetailleerde gebeurtenisanalyse

Wanneer u DoH-gebeurtenissen bekijkt, bekijkt u deze gebeurtenisvelden voor diagnostische aanwijzingen:

  • QNAME: de domeinnaam die is opgevraagd. Dit veld helpt u te bepalen of problemen domeinspecifiek zijn.

  • QTYPE: het DNS-recordtype, zoals A, AAAA, MX en andere.

  • RCODE: De antwoordcode, zoals NOERROR, SERVFAIL, NXDOMAIN en andere.

  • Reden: Voor gebeurtenis-id 600 geeft dit veld de reden voor afwijzing aan.

  • CLIENT-IP: de bron van de query. Dit veld helpt u bij het identificeren van problematische clients.

Gebeurtenissen in de loop van de tijd correleren:

  • Zoek naar patronen. Treden er op specifieke momenten fouten op?

  • Controleer of meerdere clients hetzelfde probleem ondervinden.

  • Vaststellen of fouten correleren met perioden met hoge belasting.

Kruisverwijzing met andere logboeken:

  • Systeemlogboek voor Schannel TLS-fouten.

  • Operationeel logboek van de DNS-server voor problemen met zones en forwarders.

  • Toepassingslogboek voor fouten op serviceniveau.

Prestatieanalyse

Voor uitgebreide prestatieanalyse:

  1. Stel metrische basislijngegevens vast tijdens normale bewerkingen.

  2. Vergelijk de huidige prestaties met de basislijn.

  3. Identificeer afwijkingen en correleren met gebeurtenissen of configuratiewijzigingen.

Belangrijke prestatiemeteritems die in de loop van de tijd moeten worden bewaakt:

Get-Counter -Counter @(
    '\DNS-over-HTTPS\DoH Requests Received/sec',
    '\DNS-over-HTTPS\DoH Responses Sent/sec',
    '\DNS-over-HTTPS\DoH Requests Dropped/sec',
    '\Processor(_Total)\% Processor Time',
    '\Memory\Available MBytes'
) -SampleInterval 5 -MaxSamples 60

Met dit commando worden elke 5 seconden gedurende 5 minuten tellers bemonsterd, waardoor trendinggegevens worden verstrekt.

Trends analyseren:

  • Verslechtert de prestaties na verloop van tijd?

  • Geven specifieke tijdstippen van de dag problemen weer?

  • Correleren de prestaties met het queryvolume?

Gebruik deze gegevens om het volgende te doen:

  • Capaciteitsupgrades plannen.

  • Identificeer knelpunten in de configuratie.

  • Dns-serverinstellingen optimaliseren.

Zie DNS bewaken via HTTPS voor uitgebreide richtlijnen voor prestatiebewaking.

Verwante inhoud

  • Last updated on