如何用AWK命令对日志IP字段执行反向DNS查询并输出？

要在AWK中对指定IP字段执行反向DNS查询并替换原字段，不能直接在print中嵌入命令，需要通过getline捕获外部命令的输出，以下是具体实现：

基础替换命令 #

假设你的日志文件test-file.log格式为[计数] [IP地址] [原第三字段]，执行以下命令可将第三字段替换为对应IP的反向DNS结果：

awk '{
    # 构造反向解析命令，用host获取域名，再提取最后一个字段
    cmd = "host " $2 " | awk '\''{print $NF}'\''"
    # 执行命令并捕获输出
    if ((cmd | getline result) > 0) {
        $3 = result
    } else {
        # 解析失败时设为N/A
        $3 = "N/A"
    }
    # 关闭命令管道，避免资源泄漏
    close(cmd)
    # 输出所有字段
    print $1, $2, $3
}' test-file.log

格式化输出（匹配示例样式） #

如果需要输出成竖线分隔的格式化样式，可调整为：

awk 'BEGIN {
    # 打印表头
    print "计数 | IP地址 | 反向DNS结果"
}
{
    cmd = "host " $2 " | awk '\''{print $NF}'\''"
    if ((cmd | getline result) > 0) {
        rev_dns = result
    } else {
        rev_dns = "N/A"
    }
    close(cmd)
    # 格式化对齐输出
    printf "%-5s | %-10s | %s\n", $1, $2, rev_dns
}' test-file.log

替代方案（无host命令时） #

如果系统未安装host，可以用dig命令替代，将命令中的cmd行改为：

cmd = "dig -x " $2 " +short"

注意事项 #

• 反向DNS查询依赖网络，处理大量日志时速度较慢，建议先批量解析IP并缓存结果，再与日志关联
• 无效IP或无法解析的IP会返回N/A，避免输出空值影响可读性
• 必须调用close(cmd)关闭管道，否则处理多行时会出现资源耗尽的问题

内容的提问来源于stack exchange，提问作者DevOpsGuy