BIND DNS 服務器日誌深度解析：NSTATS、XSTATS 與效能指標全攻略

前言：為什麼要讀懂 DNS 日誌？

BIND（Berkeley Internet Name Domain）是全球最廣泛部署的 DNS 伺服器軟體。其運行期間每小時會產生一組 LOG_INFO 等級的統計日誌，記錄著伺服器的 CPU 佔用、查詢類型分佈、錯誤計數、快取狀態等關鍵指標。熟練解讀這些日誌，能幫助管理員快速判斷服務健康度、發現異常流量、規劃容量擴展。

本文將以實際日誌範例為基礎，逐行拆解各欄位含義，並示範如何計算查詢負載（QPS）。

一、日誌樣本總覽

Dec 26 10:23:52 www named[1033]: Cleaned cache of 26 RRset
Dec 26 10:23:52 www named[1033]: USAGE 977797432 976760631 CPU=6.55u/6.24s CHILD CPU=0u/0s
Dec 26 10:23:52 www named[1033]: NSTATS 977797432 976760631 0=2 A=13192 CNAME=321 PTR=11204 MX=1173 TXT=4 AAAA=32 ANY=4956
Dec 26 10:23:52 www named[1033]: XSTATS 977797432 976760631 RR=7629 RNXD=1368 RFwdR=4836 RDupR=51 RFail=159 RFErr=0 RErr=12 RAXFR=0 RLame=175 ROpts=0 SSysQ=2082 SAns=26234 SFwdQ=4520 SDupQ=1263 SErr=0 RQ=30889 RIQ=4 RFwdQ=0 RDupQ=259 RTCP=2 SFwdR=4836 SFail=6 SFErr=0 SNaAns=21753 SNXD=10276

二、逐行詳細解讀

1. 快取清理行

Cleaned cache of 26 RRset

• 含義： 週期性清理過期或無效的資源記錄集合（RRset），釋放記憶體。
• 26 RRset： 本次清理移除的資源記錄集數量。

2. USAGE 行：CPU 與運行時間統計

USAGE 977797432 976760631 CPU=6.55u/6.24s CHILD CPU=0u/0s

3. NSTATS 行：查詢類型統計（累計值）

NSTATS ... 0=2 A=13192 CNAME=321 PTR=11204 MX=1173 TXT=4 AAAA=32 ANY=4956

• 0=2：未知類型查詢 2 次。
• A=13192：IPv4 位址查詢（最常見）。
• CNAME=321：別名查詢（常見於郵件系統規範化、dig/nslookup 操作）。
• PTR=11204：反向查詢（IP 轉主機名，許多服務用於驗證來源）。
• MX=1173：郵件交換器查詢（郵件發送程式發起）。
• TXT=4：文字記錄查詢（SPF、DKIM、驗證等）。
• AAAA=32：IPv6 位址查詢。
• ANY=4956：請求所有記錄類型（部分 Sendmail 使用）。

補充： 日誌中未出現的類型還包括 NS（授權名稱伺服器）、SOA（區域授權）、HINFO（主機資訊）、AXFR（區域傳送）等。

4. XSTATS 行：擴展統計指標（累計值）

此行包含數十個計數器，以下擷取關鍵指標分類說明：

三、如何評估 DNS 伺服器負載（QPS 計算）

所有統計均為 啟動至今的累計值，非當小時增量。計算平均每秒查詢數（QPS）：

1. 運行總秒數 = 時間戳差值 = 1,036,801 秒
2. 總查詢請求數 = NSTATS 所有類型之和 = 2 + 13192 + 321 + 11204 + 1173 + 4 + 32 + 4956 = 20,884
3. 平均 QPS = 總查詢數 ÷ 運行秒數 = 20,884 ÷ 1,036,801 ≈ 0.02 查詢/秒
4. 每小時查詢數 = 20,884 ÷ 288 ≈ 72.5 次/小時

結論： 本範例伺服器負載極低（< 1 QPS），硬體資源富餘。若 QPS 持續超過 1,000，建議啟用 DNS 快取、部署從屬伺服器或升級硬體。

四、實務監控建議

• 設定告警閾值： 監控 RFail（SERVFAIL）、RLame（授權錯誤）、RTCP（TCP 查詢激增）等異常指標。
• 日誌輪轉： 配置 logrotate 避免日誌佔滿磁碟；生產環境建議將統計日誌導向專用檔案（statistics-file 選項）。
• 趨勢分析： 使用 Prometheus + Grafana 或 ELK Stack 收集 XSTATS 指標，繪製 QPS、錯誤率、快取命中率趨勢圖。
• 版本差異： BIND 9.11+ 版本統計欄位有所擴展，請參考對應版本 ARM 文件。

掌握 BIND 統計日誌的解讀技巧，是 DNS 運維從「被動救火」轉向「主動優化」的關鍵一步。