Découvrez comment identifier rapidement des ressources métier spécifiques lorsque le trafic total à votre frontière Internet dépasse la bande passante protégée achetée, ou lorsque vous observez des pics soudains, des chutes ou d'autres anomalies. Cela vous permet de gérer vos ressources métier avec plus de précision.
Calcul du trafic à la frontière Internet par Cloud Firewall
Cloud Firewall mesure le trafic à la frontière Internet en retenant le débit de pointe le plus élevé entre le trafic entrant et le trafic sortant. Le débit total pour les directions entrante et sortante se calcule comme suit :
Bande passante entrante = Bande passante des requêtes d'exposition Internet + Bande passante des réponses d'exposition Internet
Bande passante sortante = Bande passante des requêtes de connexions sortantes + Bande passante des réponses de connexions sortantes
La bande passante de pointe dans Cloud Firewall est calculée à partir de données agrégées dans le temps. La bande passante totale à un instant donné correspond donc à la somme des bandes passantes des requêtes et des réponses à ce moment précis. Toutefois, les bandes passantes de pointe indiquées pour les requêtes et les réponses correspondent aux valeurs maximales enregistrées à n'importe quel moment au cours de la période d'agrégation. Ces pics ne se produisent pas nécessairement simultanément. Par conséquent, la bande passante de pointe totale à un instant donné est toujours inférieure ou égale à la somme de la bande passante de pointe des requêtes et de celle des réponses.
Quand dépanner le trafic inhabituel
Dépannez votre trafic lorsque vous observez des pics ou des creux inhabituels afin d'identifier les adresses IP des ressources concernées et de comprendre les détails des modèles de trafic. Par exemple, identifiez l'adresse IP de la ressource qui entraîne un dépassement de la bande passante protégée achetée.
Procédure
Étape 1 : Identifier la direction du trafic anormal
Connectez-vous à la console Cloud Firewall. Dans le volet de navigation de gauche, cliquez sur Overview.
-
Sur la page Overview, examinez le graphique de tendance du trafic pour repérer le moment où un pic inhabituel s'est produit dans la direction entrante ou sortante.
La figure suivante montre un exemple où le trafic entrant et sortant a dépassé la bande passante achetée le 10 octobre à 15 h 00.
RemarqueLorsque le trafic dépasse la bande passante protégée achetée, le graphique de tendance affiche une ligne représentant cette limite. Vous pouvez ainsi visualiser l'ampleur du dépassement.
Étape 2 : Identifier l'adresse IP de la ressource anormale
Les étapes suivantes utilisent le trafic entrant comme exemple. La procédure de dépannage du trafic sortant est similaire. La seule différence réside dans l'emplacement du graphique de tendance du trafic. Pour le trafic entrant, accédez à l'onglet . Pour le trafic sortant, accédez à l'onglet .
Sur la page Overview, dans la section Traffic Trend, cliquez sur la valeur de pointe entrante pour accéder à l'onglet . Vous y consultez la bande passante de pointe entrante à 15 h 00 le 10 octobre.
-
Cliquez sur l'horodatage 15:00 dans la chronologie. La liste des adresses IP publiques affiche les ressources métier classées par trafic total à cet instant. Utilisez ce classement pour identifier la ressource présentant un trafic inhabituel.
Dans cet exemple, l'adresse IP de la ressource 182.92.XX.XX est à l'origine du trafic inhabituel, car son trafic total est nettement supérieur à celui des autres ressources.
-
Pour approfondir l'analyse des données de trafic de l'adresse IP de la ressource, cliquez sur l'adresse IP. Le graphique de tendance à droite affiche les données de trafic des requêtes et des réponses (entrantes et sortantes) pour cette ressource spécifique.
Après avoir cliqué sur l'adresse IP de la ressource, une étiquette de filtre telle que ECS Public IP address: xxx apparaît dans la zone de filtre en haut de la page. Utilisez la liste de gauche, qui affiche le classement du trafic entrant pour chaque adresse IP publique, afin d'identifier l'adresse IP associée au trafic inhabituel.
Étape 3 : Analyser les journaux de trafic
Dans la liste des adresses IP publiques, repérez l'adresse IP à examiner et choisissez . Cette action vous redirige vers l'onglet . Comme vous dépannez le trafic entrant, interrogez les journaux de trafic pour l'adresse IP de destination 182.92.XX.XX le 10 octobre à 15 h 00.
-
Examinez les résultats de la requête. Vérifiez les champs Source IP Address, Source Port et Destination Port pour déterminer si le trafic est légitime.
Dans l'onglet Internet Border, définissez des conditions de filtre telles que destination IP et time range, puis cliquez sur Search. Le tableau de résultats affiche également des informations telles que Application (par exemple, SMTP ou SMTPS), protocol, Direction et Action.
-
Prenez les mesures appropriées en fonction de vos besoins métier.
-
Mettre à niveau la bande passante de Cloud Firewall
Pour plus d'informations, consultez la rubrique Renouvellement.
-
Optimiser le déploiement des services
Par exemple, si vos services doivent accéder à Alibaba Cloud OSS ou SLS, utilisez un endpoint interne. Cela permet de réduire les coûts liés à la bande passante publique.
-
Désactiver Cloud Firewall pour certaines adresses IP
Pour plus d'informations, consultez la rubrique Désactivation du pare-feu de frontière Internet.
-
Interrogation du trafic anormal avec SQL
Pour interroger rapidement tout le trafic lié à une ressource présentant une activité inhabituelle, exécutez des requêtes SQL sur la page .
-
Interrogez toutes les adresses IP et ports de destination pour les connexions sortantes provenant d'une adresse IP de ressource inhabituelle, et triez les résultats par volume de trafic décroissant.
log_type:internet_log and src_ip:182.92.XX.XX | select dst_ip,dst_port,app_name,sum(in_packet_bytes) as in_B,sum(out_packet_bytes) as out_B,sum(total_packet_bytes) as total_B,array_agg(distinct if(url='', domain, url)) as url group by dst_ip,dst_port,app_name order by total_B descDans cette requête, 182.92.XX.XX représente l'adresse IP de la ressource.
-
Interrogez toutes les adresses IP et ports source qui accèdent à l'adresse IP de la ressource via l'exposition Internet, et triez les résultats par volume de trafic décroissant.
log_type:internet_log and dst_ip:182.92.XX.XX | select src_ip,dst_port,app_name,sum(in_packet_bytes) as in_B,sum(out_packet_bytes) as out_B,sum(total_packet_bytes) as total_B,array_agg(distinct url) as url group by src_ip,dst_port,app_name order by total_B descDans cette requête, 182.92.XX.XX représente l'adresse IP de la ressource.
Références
Pour afficher la tendance globale du trafic de vos ressources métier et vérifier si elle dépasse le périmètre de protection acheté, consultez la rubrique Aperçu.
Pour voir comment vos ressources métier accèdent à Internet, y compris le suivi du trafic sortant inhabituel, les destinations Internet accessibles par les ressources, les connexions sortantes depuis les ressources exposées à Internet et les connexions sortantes depuis les ressources internes, consultez la rubrique Connexions sortantes.
Pour voir comment Internet accède à vos ressources métier, y compris le suivi du trafic entrant inhabituel, les adresses IP publiques exposées par les ressources métier, les ports exposés, les applications exposées et le nombre d'adresses IP publiques pour les services cloud, consultez la rubrique Exposition Internet.
Pour afficher des informations sur le trafic à la frontière Internet, telles que l'adresse IP source, le port de destination, le protocole, l'action, les octets de flux et les paquets de flux, consultez la rubrique Audit des journaux.
Pour utiliser des requêtes SQL afin d'analyser les journaux de trafic bruts de la frontière Internet, consultez la rubrique Interrogation et analyse des journaux.