Dashboard

Onde fica: primeiro item do menu · rota / Permissão: nenhuma — livre para qualquer usuário autenticado, inclusive o perfil Visualizador

Responde de relance: está tudo bem? No topo, os selos Auth, Recursor e DNSdist indicam a saúde da pilha; ao lado, o seletor Visualização e os botões Zerar Métricas e Atualizar.

Esta página descreve cada cartão e cada gráfico, um por um. Se você quer só a ordem de leitura do dia a dia, pule para a rotina de leitura no fim.

Percurso da tela

Antes dos cartões: três coisas que valem para a tela inteira

0. Zero e "não consegui carregar" são coisas diferentes

Desde a versão 0.36.0, quando um cartão não consegue buscar o dado, ele diz isso, com um botão de tentar de novo. Antes ele mostrava o número zero, ou ficava em "Carregando..." para sempre.

A diferença importa na madrugada de um incidente: zero consultas e não consegui ler o contador levam a decisões opostas. Se um cartão mostra zero, o zero é real.

Isso vale para quatorze telas do produto, não só para o Dashboard.

1. Existem duas camadas, e quase todo mal-entendido vem daí

Por isso a entrada é muito maior que a resolução. No print da Visão Geral: 555,1 mil na entrada, contra 4,5 mil respostas OK e 3,3 mil domínios inexistentes vindos do resolvedor. Não é inconsistência — são camadas diferentes.

Sempre que um cartão traz dois números, o grande é a entrada e o subtítulo é a resolução.

2. A janela de tempo do gráfico manda nos cartões

O seletor 30m · 1h · 6h · 24h · 7d · 30d · 90d do gráfico também define o período dos cartões acumulados. O padrão é 24h.

Duas coisas ficam sempre em tempo real, seja qual for a janela: consultas por segundo e o número de clientes "agora".

Se o servidor subiu há pouco, a linha do topo troca para um aviso de dados parciais dizendo quantos minutos foram realmente coletados. Sem ele, um "24h" com 20 minutos de dados pareceria uma queda brutal de tráfego.

3. A atualização automática pausa

A cada 60 segundos, com uma particularidade: ela para quando a aba do navegador fica em segundo plano e retoma quando você volta. É por isso que "os números pararam de andar" ao deixar a tela aberta em outra janela — não é travamento.

---

Aba 1 — Visão Geral

1. Total de Consultas — o volume que chegou na entrada, na janela escolhida.

2. Taxa de acerto do cache — alto é o esperado num ISP.

3. Latência Média — o tempo que o cliente sente, não o da resolução.

4. Respostas OK — a linha de base contra a qual se leem as duas falhas.

5. Domínio inexistente — proporção alta é indício de máquina infectada.

6. Recusado (REFUSED) — o contador anti-resolvedor-aberto.

7. Consultas ao longo do tempo — a janela escolhida aqui manda nos cartões.

Faixa 1 — volume e qualidade

Fora do normal — Total de Consultas: queda de volume sem queda de assinantes costuma ser faixa que parou de chegar (roteamento, anycast, ACL). Confira o gráfico logo abaixo com a janela em 7d para saber se é degrau ou oscilação.

Fora do normal — Bloqueadas: um salto súbito significa lista nova publicada ou infecção em massa na base. Cruze com Top Bloqueados no rodapé e com investigar um cliente suspeito.

Fora do normal — Taxa de acerto do cache: queda repentina merece investigação. Cache baixo na entrada significa que o tráfego está furando a borda e caindo no recursor — o servidor passa a trabalhar muito mais para o mesmo volume. Costuma ser tempo de vida (TTL) muito curto nas respostas, cache dimensionado pequeno em Ajuste fino, ou uma enxurrada de nomes únicos (típico de máquina infectada gerando domínios aleatórios).

Fora do normal — Latência Média: o que interessa é a tendência. Subindo ao longo dos dias diz mais do que um pico isolado. Para separar "é meu" de "é da internet", vá para os dois histogramas da aba Performance e siga o servidor está lento.

Faixa 2 — resultado das respostas

Fora do normal — Falha de resolução: taxa relevante contra Respostas OK aponta para o lado de fora: servidores autoritativos que não respondem, ou saída de rede com problema. A lista Domínios com falha de resolução na aba Segurança diz quais domínios. Se for generalizado, olhe Timeouts Externos na aba Saúde.

Fora do normal — Domínio inexistente: taxa alta não é erro de digitação em massa. É o padrão clássico de máquina infectada consultando domínios gerados por algoritmo — centenas de nomes aleatórios por minuto, quase todos inexistentes. Identifique a origem em Registro de Consultas e siga investigar um cliente suspeito.

Faixa 3 — os cinco contadores de transporte

São contadores pequenos, todos da entrada.

O gráfico — Consultas ao longo do tempo

Seis séries, cada uma num chip clicável que liga e desliga a linha:

Dois botões acrescentam camadas: Protocolos + ACL (TCP, IPv6, DoH, DoT, DoQ e não autorizados, em linha tracejada) e Clientes (clientes únicos). Na base do gráfico há um controle deslizante para dar zoom num trecho do período.

Como ler o desenho: platôs retangulares como os do print são carga sintética ou janela de tráfego bem definida. Uma rampa suave é adoção real crescendo. Um degrau para baixo que não volta é faixa que parou de chegar — vá para a aba Saúde e para os selos de serviço no topo.

As quatro caixas do rodapé

As três listas mostram Sem dados quando os contadores ainda não registraram nada nessa dimensão — inclusive logo depois de um Zerar Métricas.

---

Aba 2 — Performance

1. Latência Média — o número grande é o cliente; o subtítulo é a resolução.

2. Em processamento — mede saturação, não volume. Perto de zero é saudável.

3. Cache do recursor — naturalmente baixo, e isso está certo.

4. Acerto do cache de pacotes — é este que realmente segura a carga.

5. Latência na entrada — a massa em <1ms; acima de 10 ms é problema seu.

6. Latência de resolução — 10–100ms é normal; acima de 1 s é a internet.

Os quatro medidores

Fora do normal — Em processamento: centenas ou milhares indicam fila (contrapressão). Ou os servidores externos estão lentos, ou o recursor está sem folga. Confirme na aba Saúde (Descartes por capacidade) e na aba Servidor (CPU por thread).

Fora do normal — Acerto do cache de pacotes: queda sustentada é o mesmo alerta da Visão Geral. Comece por o servidor está lento.

Os dois histogramas — mesmas faixas, alvos diferentes

Este é o ponto que mais gera diagnóstico errado. Os dois usam as mesmas cinco faixas — <1ms, 1–10ms, 10–100ms, 100ms–1s, >1s — e a tela colore cada um pela régua daquela camada:

No print, a entrada está com 100% em <1ms — o cenário ideal. Já a resolução mostra "Aguardando intervalo de coleta…": é o que aparece quando não houve tráfego nessa dimensão no intervalo, ou seja, nada precisou sair para a internet. Não é falha de coleta nem defeito — só ausência de amostra. Assim que uma consulta furar o cache, o histograma aparece.

Latência por protocolo

Seis blocos — Geral, DoT, DoH, DoH3, DoQ, TCP — com a latência média das últimas 1000 consultas de cada transporte.

Um traço (—) significa sem tráfego naquele protocolo, e não latência zero. No print, só Geral (0,01 ms) e DoH (0,02 ms) têm valor.

Como ler: um transporte com latência muito acima dos outros aponta custo de handshake — típico de DoT/DoH com certificado ou sessão mal reaproveitada.

Latência ao longo do tempo

Duas áreas sobrepostas em milissegundos: cliente (entrada) em verde e resolução (recursor) em azul. É aqui que a tendência aparece.

Como ler: as duas subindo juntas = carga. Só a azul subindo = a internet está lenta para você. Só a verde subindo com a azul parada = a borda está saturando.

---

Aba 3 — Segurança

1. Validações de assinatura (DNSSEC) — é volume validado, não veredito.

2. Assinatura DNS inválida — qualquer valor acima de zero merece olhar.

3. Domínios bloqueados (RPZ) — o subtítulo diz como foram barrados.

4. Recusado na entrada — vindo da internet é a proteção funcionando.

5. Distribuição de assinaturas — inseguro alto é normal; inválido, não.

6. Tipos de bloqueio (RPZ) — o método aplicado, não a quantidade.

Os quatro medidores

Havendo assinatura inválida, a tela abre dois painéis extras: a lista dos domínios afetados com a contagem de ocorrências, e um roteiro de quatro passos — confirmar que o problema é do autoritativo, verificar em uma ferramenta externa de diagnóstico DNSSEC, avaliar exceção caso o domínio seja crítico, e reportar ao operador.

Os dois gráficos

As três listas

Quando Top Origens Bloqueadas está vazia, a mensagem é explícita: "Nenhuma origem bloqueada: ninguém de fora tentou usar este DNS" — como no print.

Fora do normal: encontrar IP de assinante seu em Top Origens Bloqueadas é o sinal mais direto de faixa faltando na ACL. Vá direto para restringir a recursão.

---

Aba 4 — Protocolos

1. Distribuição por Protocolo — o peso de cada transporte na entrada.

2. UDP (plain DNS) — domina em praticamente todo ISP.

3. DoT — cresce quando o assinante liga DNS privado no aparelho.

4. DoH — 0% com número absoluto acima de zero é arredondamento.

5. Tendência DoT / DoH — é aqui que se acompanha a adoção.

Distribuição por Protocolo

Rosca à esquerda com o peso de cada transporte, e o Detalhamento à direita, uma linha por protocolo com percentual, barra e número absoluto:

Tendência DoT / DoH

Gráfico com quatro séries clicáveis — DoH, DoT, DoQ e TCP plain — ao longo do tempo.

Como ler: é aqui que se acompanha se os assinantes estão realmente usando o DNS criptografado depois de você publicá-lo. Sem linha subindo semanas depois de publicar, ou a divulgação não chegou, ou a porta não está alcançável de fora.

---

Aba 5 — Saúde

1. O veredito — calculado sobre a variação recente, não sobre o acumulado.

2. Timeouts Externos — problema de conectividade de saída.

3. Descartes por capacidade — zero é o único valor aceitável.

4. Descartes por tempo excedido — esporádicos tolera-se; crescendo, é fila.

5. Limitado (throttled) — acumulado desde o boot, não estado atual.

6. Detalhes de Saúde — repete cada contador com o que fazer a respeito.

7. Indicadores ao longo do tempo — separa incidente de problema em curso.

O veredito no topo

Faixa colorida com o estado geral e, à direita, o número de consultas ativas naquele instante.

O detalhe que muda tudo: o veredito é calculado sobre a variação recente, não sobre o contador acumulado desde que o servidor subiu. Um servidor com meses de uptime pode ter milhares no contador e ainda assim estar Saudável hoje.

Os cinco contadores

Os quatro primeiros aparecem como medidores no topo e todos os cinco se repetem no painel Detalhes de Saúde, cada um com a explicação impressa na própria tela.

Fora do normal — Timeouts Externos: investigue a saída de rede e os encaminhadores. A lista Top Domínios — Timeout Externo, no fim da aba, diz se é um domínio específico ou geral.

Fora do normal — Descartes por capacidade: aumente a concorrência do recursor em Ajuste fino e confirme na aba Servidor se a saturação é de resolução ou de recepção antes de mexer.

Fora do normal — Limitado (throttled): o número acumulado não diz nada sobre agora. O estado atual está na coluna Servidores externos limitados (ativos agora), no fim desta mesma aba.

Indicadores ao longo do tempo

Gráfico com cinco séries clicáveis: Timeouts ext., Descartes por capacidade, Descartes por tempo excedido, Limitado (throttled) e Assinatura DNS inválida.

Como ler: é o gráfico que separa "aconteceu uma vez" de "está acontecendo". Linha rente ao zero com um pico isolado é incidente; linha subindo é problema em curso.

Recomendações

Recuperações SERVFAIL

Aparece quando a recuperação automática de falhas está ligada. Traz três contadores — total, últimas 24 h e últimos 7 dias —, a divisão por servidor de resgate, os domínios mais resgatados e os eventos recentes com horário, domínio, tipo e servidor.

Se o bloco estiver vazio, a tela diz por quê: a função está desligada — ligue no Recursor.

Há ainda a lista de domínios em caminho rápido: os que falham cronicamente e passaram a ser servidos direto pelos servidores públicos configurados, com a contagem de resgates e o tempo até o produto reconferir se ainda são crônicos.

Análise de Timeouts e Falhas

Carrega depois do resto da aba, porque lê os registros do sistema. Três colunas:

---

Aba 6 — Servidor

1. A faixa superior — carga média acima do número de CPUs indica gargalo.

2. Folga de capacidade — a linha de texto diz de onde veio o teto.

3. CPU — o percentual, as três cargas médias e o detalhamento por tipo.

4. Memória RAM — o que importa é disponível, não livre.

5. Disco ( / ) — acima de 90% pode causar falha no banco.

6. dnsdist — listeners — as threads que recebem as consultas.

7. recursor — workers — as threads que resolvem. É este par que localiza o gargalo.

A faixa superior

Cinco campos numa linha só:

Folga de capacidade

Barra comparando o qps atual da entrada com um teto, mais o veredito no canto:

A linha de texto acima da barra é a parte importante — ela diz de onde veio o teto. No print: "127,1 qps atual · teto de referência 8.300 qps (medido — projeção live só com carga ≥ 200 qps)", e abaixo "2% do teto · CPU total em 4,3% (folga de 95,7%)".

Recursos

Disco e rede

Quatro medidores em linha: Leitura de Disco, Escrita de Disco, Rede — Recebido e Rede — Enviado, todos em MB/s.

Como ler: escrita alta com pouca atividade DNS costuma ser registro em excesso. O tráfego de rede exclui a interface interna (loopback), e DoT/DoH aumentam o volume por causa do custo do TLS — comparar rede com consultas por segundo sem levar isso em conta engana.

CPU por thread

Dois blocos, cada um com selo Folga, Atenção ou Saturado (mesmas faixas: 60% e 85%), o número de threads, o pico entre elas e uma barra por thread:

Quando a recepção se aproxima do teto, aparece acima dos blocos um aviso com o número atual e o recomendado de listeners, e um botão que grava a sugestão. Ele não tem efeito até o serviço de borda ser reiniciado — a própria mensagem avisa.

As três notas do rodapé

A tela fecha explicando o que mais gera dúvida: carga média acima do número de processadores indica gargalo; disco acima de 90% pode causar falha no banco; e o tráfego de rede reflete consultas mais respostas, com DoT/DoH somando o custo do TLS.

---

Zerar métricas

Botão no cabeçalho, exclusivo de administrador. Abre um diálogo com duas opções, ambas marcadas por padrão:

O próprio diálogo garante: registros de auditoria, notificações e eventos de cluster não são afetados.

Use depois de um teste de carga, para não contaminar a linha de base com tráfego sintético. É irreversível.

Armadilhas

1. A atualização automática pausa com a aba do navegador em segundo plano.
2. Cache do recursor baixo é normal — ele só mede o que passou da entrada.
3. DNSSEC "inseguro" alto é normal; o que importa é "inválido".
4. "Aguardando intervalo de coleta…" significa sem amostra naquela dimensão, não falha.
5. 0% com número absoluto maior que zero é arredondamento (típico em DoH/DoT/DoQ).
6. Sem a borda ativa, a aba Protocolos não abre e os cartões da Visão Geral caem para os números do recursor.
7. O bloco de Recuperações SERVFAIL só tem dados se a função estiver ligada no Recursor.
8. O bloco de Recomendações só existe se a análise automática estiver habilitada — e ela vem desligada de fábrica.
9. O contador Limitado (throttled) é acumulado desde o boot; o estado atual está na análise no fim da aba Saúde.
10. O teto de capacidade sem carga real é valor de laboratório, não do hardware do cliente.
11. Zerar métricas é irreversível.

Rotina de leitura

O que olhar todo dia, e em que ordem. Leva dois minutos.

Uma vez por semana, acrescente: o gráfico da Visão Geral em 7d (para ver tendência e não ruído), a aba Protocolos (adoção de DNS criptografado) e Top Origens Bloqueadas na aba Segurança (para pegar faixa faltando na ACL antes do assinante ligar reclamando).

Roteiros completos, quando alguma coisa aparecer fora da faixa: o servidor está lento · o servidor está saudável? · investigar um cliente suspeito · restringir a recursão · medir capacidade