Virtual Private Cloud:VPC flow logs

Consola

API

Antes de crear un registro de flujo, asegúrese de haber habilitado la función de registros de flujo y de haber creado un Project y un Logstore en Simple Log Service (SLS):

• Llame a OpenFlowLogService para habilitar la función de registros de flujo.

• Llame a CreateProject para crear un Project y a CreateLogstore para crear un Logstore.

Una vez cumplidos estos requisitos previos, puede realizar las siguientes operaciones:

• Llame a CreateFlowLog para crear un registro de flujo. También puede llamar a CreateIndex para crear un índice.

• Llame a DeactiveFlowLog para detener un registro de flujo.

• Llame a ActiveFlowLog para iniciar un registro de flujo.

• Llame a DeleteFlowLog para eliminar un registro de flujo.

Terraform

Recursos: alicloud_log_project , alicloud_log_store , alicloud_vpc_flow_log

# Specify the region where you want to create the flow log.
provider "alicloud" {
  region = "cn-hangzhou"
}

# Specify the description for the Project, and the names for the Logstore and flow log.
variable "name" {
  default = "vpc-flowlog-example"
}

# Generate a random string for the project name.
resource "random_uuid" "example" {
}

# Create a Simple Log Service (SLS) Project.
resource "alicloud_log_project" "example" {
  project_name = substr("tf-example-${replace(random_uuid.example.result, "-", "")}", 0, 16)
  description  = var.name
}

# Create a Simple Log Service (SLS) Logstore.
resource "alicloud_log_store" "example" {
  project_name          = alicloud_log_project.example.project_name
  logstore_name         = var.name
  shard_count           = 3
  auto_split            = true
  max_split_shard_count = 60
  append_meta           = true
}

# Create a VPC flow log.
resource "alicloud_vpc_flow_log" "example" {
  flow_log_name        = var.name
  log_store_name       = alicloud_log_store.example.logstore_name
  description          = var.name
  traffic_path         = ["all"] # Capture traffic from all scenarios.
  project_name         = alicloud_log_project.example.project_name
  resource_type        = "VPC" # The resource type is VPC.
  resource_id          = "vpc-bp1ekmgzch0bo3hxXXXXXX" # The ID of the VPC.
  aggregation_interval = "1" # The capture window is 1 minute.
  traffic_type         = "All" # Capture all traffic, regardless of whether it is allowed or rejected by access control rules.
}

Consola

API

Llame a GetLogsV2 para consultar y analizar registros de flujo.

Análisis de IP de origen de Internet

Suponga que tiene un servidor web que escucha en el puerto 80 y es accesible desde Internet. El acceso al servidor está restringido por un security group basado en direcciones IP de origen.

En este caso, puede crear un registro de flujo para consultar las direcciones IP de origen que acceden al puerto 80 y contar las solicitudes permitidas o rechazadas por el security group.

1. Crear un registro de flujo

   • En Resource Instance, seleccione la ENI del servidor web.

   • En Data Transfer Type, seleccione All Traffic.

   • En Delivery Configuration, seleccione Deliver to Log Service y Enable Log Analysis Report.

   • Mantenga la configuración predeterminada para las demás opciones.

2. Analizar el registro de flujo

   1. Sentencia de consulta

      Ejecute la siguiente consulta para filtrar las direcciones IP de origen que acceden al puerto 80 de 10.0.0.1. La consulta también muestra el número de veces que el security group permitió o rechazó cada dirección IP:

      dstaddr:10.0.0.1 AND dstport:80 | SELECT -- Filter for logs where the destination IP address is 10.0.0.1 and the destination port is 80.
      srcaddr,
      SUM(CASE WHEN action = 'ACCEPT' THEN 1 ELSE 0 END) AS accept_count, -- Count 1 for each ACCEPT (allowed) action.
      SUM(CASE WHEN action = 'REJECT' THEN 1 ELSE 0 END) AS reject_count -- Count 1 for each REJECT (rejected) action.
      FROM log
      GROUP BY srcaddr -- Group by source IP address.
      ORDER BY accept_count + reject_count DESC -- Sort the results in descending order by the total number of allowed and rejected requests.

   2. Vista previa

      La columna srcaddr muestra las IP de origen que accedieron al puerto 80, mientras que las columnas accept_count y reject_count contabilizan respectivamente el número de entradas de registro de flujo de cada IP de origen que fueron permitidas y rechazadas por el security group dentro del rango de tiempo consultado:

      • Cinco direcciones IP de origen accedieron al puerto 80: 120.26.XX.XX, 121.43.XX.XX, 154.212.XX.XX, 176.65.XX.XX y 198.235.XX.XX.

      • Todas las solicitudes de 120.26.XX.XX fueron permitidas, mientras que todas las solicitudes de las demás direcciones IP públicas fueron rechazadas.

Análisis de tráfico ECS

Parámetro	Tráfico intra-VPC	Tráfico inter-VPC
Diagrama
Descripción	Suponga que ha desplegado tres instancias ECS en una VPC y existe tráfico entre ellas. Puede usar registros de flujo para analizar la tasa y las tendencias del tráfico entre las instancias ECS.	Suponga que tiene dos VPC en diferentes regiones y cada una contiene varias instancias ECS. Ambas VPC están conectadas mediante una conexión peering que utiliza facturación pay-as-you-go de Cloud Data Transfer (CDT). Nota un aumento reciente en los costos de tráfico entre regiones. En este caso, utilice registros de flujo para identificar las instancias ECS que generan grandes volúmenes de tráfico y optimizar sus costos.
Configuración del registro de flujo	Resource Instance: Seleccione la ECS1 ENI En Analysis and Delivery, seleccione Deliver to Log Service y habilite Enable Log Analysis Report. Mantenga la configuración predeterminada para las demás opciones.	En Resource Instance, seleccione VPC VPC1. En Analysis and Delivery, seleccione Deliver to Log Service y Enable Log Analysis Report. Mantenga la configuración predeterminada para las demás opciones.
Sentencia de consulta	Para consultar las tendencias de la tasa de tráfico entre ECS1 y otras instancias ECS, ejecute la siguiente consulta: (srcaddr:10.0.0.1 AND dstaddr:10.0.0.*) OR (srcaddr:10.0.0.* AND dstaddr:10.0.0.1 ) | select -- Filter for traffic between ECS1 and other ECS instances. date_format(from_unixtime(__time__ - __time__% 60), '%H:%i:%S') as time, -- Convert the UNIX timestamp to a readable time format. concat(srcaddr,'->', dstaddr) as src_to_dst, -- Concatenate the source and destination IP addresses into a session pair with the format 'source_ip->destination_ip'. sum(bytes*8/60) as bandwidth -- Convert bytes to bits and divide by the capture window of 1 minute to get the rate in bit/s. group by time,srcaddr,dstaddr -- Group by time, source IP, and destination IP. order by time asc -- Sort by time in ascending order. limit 100 -- Display the first 100 results.	Para consultar las tendencias de la tasa de tráfico de sesión entre las dos VPC, ejecute la siguiente consulta: (srcaddr:10.0.* AND dstaddr:172.16.*) OR (srcaddr:172.16.* AND dstaddr:10.0.*) | select -- Filter for sessions between the two VPCs. date_format(from_unixtime(__time__ - __time__% 60), '%H:%i:%S') as time, -- Convert the UNIX timestamp to a readable time format. concat(srcaddr,'->', dstaddr) as src_to_dst, -- Concatenate the source and destination IP addresses into a session pair with the format 'source_ip->destination_ip'. sum(bytes*8/60) as bandwidth -- Convert bytes to bits and divide by the capture window of 1 minute to get the rate in bit/s. group by time,srcaddr,dstaddr -- Group by time, source IP, and destination IP. order by time asc -- Sort by time in ascending order. limit 100 -- Display the first 100 results.
Vista previa	En la página de resultados de consulta y análisis, seleccione la pestaña Statistical Chart y establezca el tipo de gráfico en Area Chart. Configure el campo del eje x como time, el campo del eje y como bandwidth y la columna de agregación como src_to_dst. Para la unidad de formato, seleccione bps,Kbps,Mbps(bit). La tasa de tráfico de 10.0.0.1 a 10.0.0.2 es la más alta, con aproximadamente 1.4 Mbps. La tasa de tráfico de 10.0.0.1 a 10.0.0.3 es la segunda más alta, con aproximadamente 700 Kbps. El resto del tráfico representa una proporción pequeña.	La configuración de visualización para los resultados de la consulta es la misma que en el Escenario 2: seleccione el tipo Area Chart y establezca la columna de agregación como src_to_dst. Los resultados muestran un pico de tráfico de aproximadamente 6 Mbps de 10.0.0.1 a 172.16.0.1.

Análisis de tráfico de NAT Gateway

Suponga que tiene varias instancias ECS en una región. Todas las instancias están desplegadas en el mismo vSwitch y acceden a Internet mediante SNAT en un Internet NAT Gateway.

Recientemente notó un aumento repentino en el tráfico saliente del NAT Gateway, lo que causa respuestas lentas del servidor. Utilice registros de flujo para identificar las instancias ECS que generan una alta proporción del tráfico.

1. Crear un registro de flujo

   Instrucciones

   1. Lea el documento en inglés para comprender QUÉ se debe comunicar

   2. Redacte el contenido en español mexicano DESDE CERO — olvide la estructura de la oración en inglés

   3. Conserve exactamente todo el formato markdown, bloques de código, enlaces e imágenes

   4. Copie los marcadores de posición xref ({{XREF_N}}) textualmente, NO los traduzca ni modifique

   5. Aplique todas las reglas específicas del idioma de manera estricta

   6. Aplique las reglas de terminología con tolerancia cero

   7. Use modo imperativo en pasos numerados y listas de procedimientos

   8. Haga cumplir la consistencia terminológica — mismo término = misma traducción en todo el documento

   9. Varíe los inicios de oración en listas/tablas — ningún inicio repetido más de 3 veces

   10. Devuelva ÚNICAMENTE el documento markdown en español mexicano, sin explicaciones

       • En Resource Instance, seleccione el vSwitch2 donde se encuentra la NAT Gateway de Internet.

       • En Delivery Configuration, seleccione Deliver to Log Service y Enable Log Analysis Report.

       • Mantenga la configuración predeterminada para las demás opciones.

2. Métodos para filtrar rutas de tráfico específicas

   Para filtrar el tráfico en una ruta específica dentro de este escenario, especifique distintas condiciones en la sentencia de consulta:

   Diagrama	N.º	Método de filtrado
   	①	Filtrar tráfico desde una instancia ECS hacia una NAT Gateway: direction es in y srcaddr corresponde a la dirección IP privada de la instancia ECS.
   	②	Para filtrar tráfico desde la NAT gateway hacia la red pública: direction es out y srcaddr corresponde a la dirección IP privada de la NAT gateway.
   	③	Filtrar tráfico desde Internet hacia la NAT gateway: direction es in y dstaddr corresponde a la dirección IP privada de la NAT gateway.
   	④	Filtrar tráfico desde la NAT gateway hacia la instancia ECS: direction es out y dstaddr corresponde a la dirección IP privada de la instancia ECS.

3. Análisis del registro de flujo

   1. Sentencia de consulta

      En la ruta desde una instancia ECS hacia la NAT gateway, analice el tráfico dirigido a una dirección IP pública específica:

      direction: 'in' and srcaddr: 10.0.0.* and dstaddr: 120.26.XX.XX | select -- Filter for logs of ECS instances accessing a specific public IP address.
      date_format(from_unixtime(__time__ - __time__% 60), '%H:%i:%S') as time, srcaddr,  -- Convert the UNIX timestamp to a readable time format.
      sum(bytes*8/60) as bandwidth  -- Convert bytes to bits and divide by the capture window of 1 minute to get the rate in bit/s.
      group by time,srcaddr -- Group by time and source IP address.
      order by time asc  -- Sort by time in ascending order.
      limit 100 -- Display the first 100 results.

      Otras consultas comunes

      • En la ruta desde la NAT gateway hacia una instancia ECS, filtre el tráfico entrante proveniente de una dirección IP pública específica hacia todas las instancias ECS:

        direction: 'out' and dstaddr: 10.0.0.* and srcaddr: 120.26.XX.XX | select -- Filter for logs of ECS instances accessing a specific public IP address.
        date_format(from_unixtime(__time__ - __time__% 60), '%H:%i:%S') as time,   -- Convert the UNIX timestamp to a readable time format.
        dstaddr,
        sum(bytes*8/60) as bandwidth  -- Convert bytes to bits and divide by the capture window of 1 minute to get the rate in bit/s.
        group by time,dstaddr -- Group by time and destination IP address.
        order by time asc  -- Sort by time in ascending order.
        limit 100 -- Display the first 100 results.

      • En la ruta desde una instancia ECS hacia la NAT gateway, filtre el tráfico saliente de las instancias ECS hacia todas las direcciones IP públicas:

        direction: 'in' and srcaddr: 10.0.0.*  | select -- Filter for logs of ECS instances accessing all public IP addresses.
        date_format(from_unixtime(__time__ - __time__% 60), '%H:%i:%S') as time,  -- Convert the UNIX timestamp to a readable time format.
        concat(srcaddr,'->', dstaddr), -- Concatenate the source and destination IP addresses into a session pair with the format 'source_ip->destination_ip'.
        sum(bytes*8/60) as bandwidth  -- Convert bytes to bits and divide by the capture window of 1 minute to get the rate in bit/s.
        group by time,srcaddr,dstaddr -- Group by time, source IP, and destination IP.
        order by time asc  -- Sort by time in ascending order.
        limit 100 -- Display the first 100 results.

   2. Vista previa

      La forma de visualizar los resultados de la consulta es similar a la del Escenario 2: seleccione el tipo area chart y establezca la columna de agregación en srcaddr.

      En la ruta hacia la NAT gateway, el tráfico proveniente de 10.0.0.1 (ECS1) hacia la dirección IP pública 120.26.XX.XX es el más alto, con aproximadamente 12 Kbps.

Analizar proporción de tráfico de Express Connect

Una empresa utiliza dos VPC en una región de Alibaba Cloud para desplegar distintos servicios y conecta su centro de datos local a Alibaba Cloud mediante un circuito de Express Connect y CEN.

El departamento de TI planea usar registros de flujo para monitorear y analizar cómo el tráfico de diferentes aplicaciones empresariales en las VPC utiliza el circuito Express Connect. Este análisis facilita la planificación de recursos de red y la mejora del rendimiento.

1. Crear registros de flujo

   Cree dos registros de flujo y entréguelos al mismo logstore. Las configuraciones clave para cada registro de flujo son las siguientes:

   • En Resource Instance, seleccione las VPC VPC VPC1 y VPC2.

   • En Sampling Path, seleccione Transit Router.

   • Establezca Delivery Configuration en Deliver to Log Service, seleccione el mismo logstore para ambos registros de flujo y active Enable Log Analysis Report.

   • Mantenga la configuración predeterminada para las demás opciones.

2. Analizar los registros de flujo

   1. Sentencia de consulta

      Para analizar la proporción de tráfico desde distintas VPC hacia el centro de datos local, ejecute la siguiente consulta:

      action: ACCEPT and srcaddr: 192.168.* and dstaddr:10.1.* | 
      WITH 
          vpc1_traffic AS (
              SELECT 
                  date_trunc('minute',__time__) AS minute,
                  SUM(bytes*8/(case WHEN "end"-start=0 THEN 1 else "end"-start end)) AS total_vpc1_traffic
              FROM 
                  log
              WHERE 
                  srcaddr LIKE '192.168.20.%'
              GROUP BY 
                  date_trunc('minute',__time__)
          ),
          vpc2_traffic AS (
              SELECT 
                  date_trunc('minute',__time__) AS minute,
                  SUM(bytes*8/(case WHEN "end"-start=0 THEN 1 else "end"-start end)) AS total_vpc2_traffic
              FROM 
                  log
              WHERE 
                  srcaddr LIKE '192.168.10.%'
              GROUP BY 
                  date_trunc('minute',__time__)
          )
      SELECT 
          COALESCE(vpc1_traffic.minute, vpc2_traffic.minute) AS minute,
          (COALESCE(vpc1_traffic.total_vpc1_traffic, 0) * 100/ NULLIF((COALESCE(vpc1_traffic.total_vpc1_traffic, 0) + COALESCE(vpc2_traffic.total_vpc2_traffic, 0)), 0)) AS vpc1_percentage, 
          (COALESCE(vpc2_traffic.total_vpc2_traffic, 0) * 100/ NULLIF((COALESCE(vpc1_traffic.total_vpc1_traffic, 0) + COALESCE(vpc2_traffic.total_vpc2_traffic, 0)), 0)) AS vpc2_percentage
      FROM vpc1_traffic FULL OUTER JOIN vpc2_traffic ON vpc1_traffic.minute = vpc2_traffic.minute 
      ORDER BY minute

      A continuación se presenta una explicación de la sentencia SQL.

      • Condiciones de filtrado:

        • srcaddr: 192.168., filtra los registros cuya dirección de origen comienza con 192.168..

        • dstaddr: 10.1., filtra los registros cuya dirección de destino comienza con 10.1..

        • action: ACCEPT. Filtra los registros donde el valor del campo action es ACCEPT.

      • Consulta principal

        • Utilice FULL OUTER JOIN para unir las tablas vpc1_traffic y vpc2_traffic mediante el campo minute.

        • Calcula el porcentaje de tráfico para cada VPC por minuto:

          • vpc1_percentage especifica el porcentaje del tráfico total que se enruta a VPC1.

          • vpc2_percentage indica el porcentaje del tráfico de VPC2 respecto al tráfico total.

        • Los resultados de la consulta se ordenan por minute en orden ascendente.

      • La subconsulta WITH:

        La sentencia SQL incluye dos subconsultas, vpc1_traffic y vpc2_traffic. La siguiente descripción toma como ejemplo la subconsulta vpc1_traffic:

        • Use la función date_trunc para reducir la precisión de la marca de tiempo Unix (el campo __time__) a minutos y asígnele el nombre minute.

        • Utilice la función SUM para calcular la tasa total de tráfico en bit/s para un minuto específico y asígnele el nombre total_vpc1_traffic.

        • Filtra los registros de tráfico con una dirección de origen en el bloque CIDR 192.168.20.*, que pertenece a VPC1.

        • Agrupa los resultados por minuto.

   2. Vista previa

      La configuración de visualización para los resultados de la consulta es similar a la del Escenario 2. Seleccione el tipo Area Chart para mostrar la tendencia de las proporciones de tráfico de las distintas VPC a lo largo del tiempo.

      Los resultados muestran que, durante el periodo de 14:50 a 15:50, la proporción de tráfico desde VPC1 hacia el centro de datos local es mayor.