Сопоставление IP -> имя при подсчёте стистистики по трафику

[AnrDaemon]

Возникла тут у нас проблема, не знаю, как решить без утыкания в сквид и подобные "прозрачные" решения. (Ибо непрозрачно совершенно)

Есть система подсчёта трафика по сенсору fprobe, работает и считает, к самому подсчёту у меня претензий нет.

Но для разбора полётов хотелось бы знать, каким доменам соответствуют попадающие в статистику адреса.
Пинать локальный ресолвер на предмет PTR записей, сами понимаете, дело дохлое. Выдаст что-нибудь типа ipNNN.damn.com, понимай как хочешь.

Вот и вопрос - как бы это ограничение системы обойти или нарастить?
Я не знаю, например сохранить запросы к DNS серверу в логе для привязки - возможно?

[Karl500]

Что-то типа такого устроит?

Код: [Выделить]

14-May-2011 22:55:03.507 client 10.0.0.33#56138: query: profile.ak.fbcdn.net IN A + (10.0.2.1)
14-May-2011 22:55:04.386 client 10.0.0.33#64541: query: www.google-analytics.com IN A + (10.0.2.1)
14-May-2011 22:55:04.454 client 10.0.0.33#51042: query: mc.yandex.ru IN A + (10.0.2.1)
14-May-2011 22:55:06.089 client 10.0.0.33#53294: query: ad.adriver.ru IN A + (10.0.2.1)
14-May-2011 22:55:06.330 client 127.0.0.1#57594: query: 254.2.1.10.in-addr.arpa IN PTR + (127.0.0.1)
14-May-2011 22:55:06.399 client 10.0.0.33#52550: query: edp1.adriver.ru IN A + (10.0.2.1)
14-May-2011 22:55:07.398 client 10.0.0.33#52550: query: edp1.adriver.ru IN A + (10.0.2.1)
14-May-2011 22:55:17.095 client 10.0.0.33#49592: query: masterh5.adriver.ru IN A + (10.0.2.1)
14-May-2011 22:55:17.195 client 10.0.0.33#64542: query: eltel2.adriver.ru IN A + (10.0.2.1)
14-May-2011 22:55:18.094 client 10.0.0.33#49592: query: masterh5.adriver.ru IN A + (10.0.2.1)
14-May-2011 22:55:21.666 client 64.233.168.83#43426: query: codec.ru IN TXT -ED (10.0.2.1)
14-May-2011 22:55:21.681 client 10.0.0.33#58212: query: pro.mail.ru IN A + (10.0.2.1)
14-May-2011 22:55:23.808 client 10.0.0.33#56982: query: masterh6.adriver.ru IN A + (10.0.2.1)
Это делается секцией в named.conf

Код: [Выделить]

logging {
category lame-servers { null; };
 channel "querylog" {
   file "/var/log/query.log" versions 2 size 500m;
   print-time yes;
 };
category queries { querylog; };
};


[AnrDaemon]

ДААААААААААААА!!!!!!!!!!!!
Объяснишь, как работает?

Э... а результаты разрешения имён можно туда же?

[Karl500]

Мнээээ... Вопроса "как работает" не понял, честно говоря. Я ж написал и кусок конфига, и результат, к которому он приводит.
По поводу результата разрешения - честно говоря, не пробовал, но вот полный (если я не ошибаюсь) перечень того, что там может быть вообще: http://www.zytrax.com/books/dns/ch7/logging.html

[AnrDaemon]

Ладно, я уже понял, что ступил. Буду разбираться. Сейчас, честно говоря, голова другим занята.
Пользователь решил продолжить мысль 15 Мая 2011, 23:38:23:Хнык... похоже, нету возможности запихнуть туда результаты... придётся по следам бегать...
Ладно, всё лучше, чем ничего.

[Karl500]

А вот это (по ссылке) не то?


resolver   Name resolution including recursive lookups performed on behalf of clients by a caching name server.

UPD: Попробовал... Похоже, не то.

[AnrDaemon]

Я тоже думал, что вот оно счастье... ан, нет... хрен без смазки.
Он вообще ничего в лог не пишет (у меня).
При повышении до debug, начинает заваливать лог запросами типа
15-May-2011 22:52:45.015 debug 1: createfetch: ns1.dyndns.org A
15-May-2011 22:54:00.526 debug 1: createfetch: zloygremlin.dyndns.org A
15-May-2011 22:54:00.526 debug 1: createfetch: ns1.dyndns.org A
15-May-2011 22:55:15.955 debug 1: createfetch: zloygremlin.dyndns.org A
15-May-2011 22:55:15.955 debug 1: createfetch: ns1.dyndns.org A
15-May-2011 22:55:50.467 debug 1: createfetch: 25.0.192.10.in-addr.arpa PTR

...
В общем, queries + cron.hourly на сопоставление накопленных имён в табличку в БД с экспайром в сутки. Или ещё как... там видно будет.