Analyser le trafic Smart Access Gateway avec Log Service - Smart Access Gateway

Utilisez Simple Log Service pour interroger et analyser le trafic d'une instance Smart Access Gateway (SAG). Cette démarche vous aide à comprendre la répartition du trafic et à résoudre les problèmes réseau.

Prérequis

Vous avez créé un projet et un logstore dans Simple Log Service. Pour plus d'informations, consultez Démarrage rapide de Simple Log Service.
Votre appareil SAG est connecté à Alibaba Cloud. Pour plus d'informations, consultez Connecter un appareil SAG à Alibaba Cloud via le routage statique.
Vérifiez que votre modèle d'appareil SAG est SAG-1000.

Contexte

Smart Access Gateway (SAG) prend en charge la fonctionnalité de journaux de flux. Un journal de flux capture les informations sur le trafic IP transitant par vos instances SAG et stocke ces données dans Alibaba Cloud Simple Log Service ou sur un collecteur NetFlow. La procédure suivante décrit comment utiliser Simple Log Service pour stocker, interroger et analyser ce trafic.

Étape 1 : Ingérer les données

Pour interroger et analyser le trafic, commencez par enregistrer les informations de trafic de votre instance SAG dans un projet et un logstore spécifiques.

Créez un journal de flux.

Créez un journal de flux dans la console SAG afin de stocker les informations de trafic dans un projet et un logstore spécifiques.
1. Connectez-vous à la console SAG.
2. Dans le volet de navigation de gauche, cliquez sur Flow Log.
3. Sur la page Flow Log, cliquez sur Create Flow Log.
4. Dans le panneau Create Flow Log, configurez les paramètres suivants, puis cliquez sur OK.
  - Name : saisissez un nom pour le journal de flux.
  - Output Interval Under Active Connections : spécifiez l'intervalle d'exportation des données de journal pour les connexions réseau actives. La valeur par défaut est de 300 secondes. La valeur doit être comprise entre 60 et 6 000 secondes.
  - Output Interval Under Inactive Connections : spécifiez l'intervalle d'exportation des données de journal pour les connexions réseau inactives. La valeur par défaut est de 15 secondes. La valeur doit être comprise entre 10 et 600 secondes.
  - Deliver Flow Log Data To : sélectionnez un type de stockage pour les journaux. Pour cette rubrique, sélectionnez SLS.
    - Pour stocker les données de journal dans Simple Log Service, sélectionnez SLS.
    - Pour stocker les données de journal sur votre collecteur NetFlow, sélectionnez NetFlow.
    - Pour stocker les données de journal à la fois dans Simple Log Service et sur votre collecteur NetFlow, sélectionnez ALL.
  - SLS Region : sélectionnez la région où Simple Log Service est déployé.
  - SLS Project : sélectionnez le projet contenant le logstore utilisé pour stocker les données du journal de flux.
  - SLS Logstore : sélectionnez le logstore destiné au stockage des données du journal de flux.
  Pour plus d'informations sur les paramètres, consultez Créer un journal de flux.
Associez le journal de flux à une instance SAG.

Après avoir créé le journal de flux, associez-le à une instance SAG afin que les informations de trafic soient stockées dans le projet et le logstore spécifiés pour interrogation et analyse.
1. Sur la page Flow Log, recherchez le journal de flux créé et cliquez sur son ID.
2. Sur la page des détails du journal de flux, cliquez sur Add Instance.
3. Dans le panneau Add Instance, sélectionnez l'instance SAG cible, puis cliquez sur Save.

Étape 2 : Interroger et analyser le trafic

Une fois le journal de flux configuré, interrogez et analysez le trafic SAG collecté dans la console Simple Log Service.

Connectez-vous à la console Simple Log Service.
Dans la section Projects, cliquez sur le projet cible.
Sous l'onglet Log Storage > Logstore Name, cliquez sur le logstore cible.
Activez l'indexation. Pour plus d'informations, consultez Activer et configurer un index.

Un index est une structure de stockage qui trie les données d'une ou plusieurs colonnes. Vous devez configurer un index avant de pouvoir interroger et analyser les journaux. Dans cet exemple, activez l'indexation des champs et la fonctionnalité de statistiques. Dans la section Field Search, configurez l'indexation des champs pour les champs suivants : ali_uid (type long), bytes, dstaddr, dstport, instance_id, packets, protocol, snid, srcaddr, srcport, tos (type text), end, start (type double) et tcp-flags (type text). Pour les champs de type text, utilisez ,";=()[]{}?@&<>/:\n comme délimiteurs. Pour les champs ali_uid, bytes, dstaddr, dstport, packets, protocol, srcaddr, srcport et tos, activez les statistiques.

Remarque
Lorsque vous configurez l'indexation des champs, assurez-vous que le champ bytes est de type TEXT pour permettre l'analyse et les statistiques des données.
Une fois l'indexation activée, interrogez et analysez les données. L'exemple suivant montre comment interroger les 10 meilleurs 5-uplets.
1. Dans la zone de recherche, saisissez une instruction de requête.
  Les champs correspondant au trafic 5-uplet sont srcaddr, srcport, dstaddr, dstport et protocol.
```
* | select srcaddr,srcport,dstaddr,dstport,protocol,count(*) as num,sum(bytes) as bytes
from (select CASE
WHEN strpos(bytes, 'M') != 0 then
(CAST(replace(bytes,'M') AS double)*1024*1024)
WHEN strpos(bytes, 'K') != 0 then
(CAST(replace(bytes,'K') AS double)*1024)
else CAST(bytes AS double) end
as bytes,srcaddr,srcport,dstaddr,dstport,protocol from log limit 100000)
GROUP BY srcaddr,dstaddr,srcport,dstport,protocol ORDER BY bytes DESC limit 10
                                
```
  Par défaut, le système recherche les données des 15 dernières minutes. Vous pouvez spécifier une plage de temps personnalisée pour votre requête. Saisissez l'instruction SQL précédente dans l'éditeur de requête, définissez la plage de temps sur 15 Minutes (Relative), puis cliquez sur Search & Analyze pour exécuter la requête.
  
  Remarque
  Lorsque vous rédigez une instruction de requête, assurez-vous que les champs correspondent à ceux de vos journaux. Les champs utilisés dans cette rubrique sont fournis à titre indicatif uniquement. Pour plus d'informations sur les instructions de requête, consultez Présentation des requêtes.
2. Cliquez sur Search & Analyze.
  
  La console ouvre l'onglet Graph et affiche les statistiques des 10 meilleurs 5-uplets dans un tableau. Vous pouvez sélectionner d'autres types de graphiques pour visualiser les données. Pour plus d'informations, consultez Présentation des graphiques.
  
  Cet exemple utilise un graphique circulaire pour présenter les données statistiques.
3. Sous l'onglet Graph, ajustez les propriétés du graphique circulaire pour personnaliser le graphique.
  Ajustez les deux propriétés suivantes. Les valeurs par défaut sont utilisées pour les autres propriétés. Pour plus d'informations, consultez Graphiques circulaires.
  - Category : la catégorie de données.
    
    Dans cet exemple, les données sont catégorisées par les champs srcaddr, srcport, dstaddr, dstport et protocol. Un enregistrement n'est compté que lorsque les cinq champs du trafic correspondent.
  - Value Column : la valeur numérique correspondant aux données catégorisées.
    
    Dans cet exemple, le champ bytes est utilisé comme colonne de valeur.
Facultatif : Répétez les opérations précédentes pour interroger les 10 meilleurs 3-uplets et les 10 meilleures paires d'adresses IP source-destination.
- Interroger les 10 meilleurs 3-uplets
  - Champs de requête : srcaddr, dstaddr et protocol.
  - Instruction de requête :
    * | select srcaddr,dstaddr,protocol,count(*) as num,sum(bytes) as bytes from (select CASE WHEN strpos(bytes, 'M') != 0 then (CAST(replace(bytes,'M') AS double)*1024*1024) WHEN strpos(bytes, 'K') != 0 then (CAST(replace(bytes,'K') AS double)*1024) else CAST(bytes AS double) end as bytes, srcaddr,dstaddr,protocol from log limit 100000) GROUP BY srcaddr,dstaddr,protocol ORDER BY bytes DESC limit 10
  - Résultat de la requête : sélectionnez l'onglet Graph. Dans le volet Properties à droite, définissez Chart Type sur Pie Chart, sélectionnez srcaddr, dstaddr et protocol pour Category, et sélectionnez bytes pour Value Column. Activez Show Legend et définissez Legend Position sur Right. Pour le formatage, sélectionnez K,Mil,Bil. Pour Scale Label Format, sélectionnez Percentage. La zone de prévisualisation à gauche affiche un graphique circulaire de la répartition du trafic par adresse source, adresse de destination et protocole, ainsi qu'un tableau de prévisualisation des données.
- Interroger les 10 meilleures paires d'adresses IP source-destination
  - Champs de requête : srcaddr et dstaddr.
  - Instruction de requête :
    * | select srcaddr,dstaddr,count(*) as num,sum(bytes) as bytes from (select CASE WHEN strpos(bytes, 'M') != 0 then (CAST(replace(bytes,'M') AS double)*1024*1024) WHEN strpos(bytes, 'K') != 0 then (CAST(replace(bytes,'K') AS double)*1024) else CAST(bytes AS double) end as bytes, srcaddr,dstaddr from log limit 100000) GROUP BY srcaddr,dstaddr ORDER BY bytes DESC limit 10
  - Résultat de la requête : après avoir exécuté l'instruction de requête, cliquez sur l'onglet Graph. Dans le volet Properties à droite, définissez Chart Type sur Pie Chart. Pour Category, sélectionnez srcaddr et dstaddr. Pour Value Column, sélectionnez bytes. Le graphique circulaire affiche la proportion du volume de trafic par adresse source et de destination. Vous pouvez cliquer sur Add to Dashboard pour enregistrer le graphique.

Étape 3 : (Facultatif) Ajouter un graphique à un tableau de bord

Enregistrez les résultats de requête et d'analyse sous forme de graphiques sur un tableau de bord pour une consultation ultérieure.

Dans le coin supérieur droit du graphique circulaire, cliquez sur Add to Dashboard.
Dans la boîte de dialogue Add to Dashboard, configurez les paramètres suivants, puis cliquez sur OK.
- Operation : sélectionnez Create Dashboard.
- Dashboard Name : saisissez un nom pour le tableau de bord, par exemple Statistiques 5-uplets.
- Chart Name : saisissez un nom pour le graphique, par exemple Statistiques graphique circulaire 5-uplets.
Pour plus d'informations, consultez Ajouter un graphique à un tableau de bord.
Dans le volet de navigation de gauche, cliquez sur Dashboard.
Cliquez sur le nom du tableau de bord créé pour l'afficher.

Sur le tableau de bord, cliquez sur Time Range pour afficher les résultats de requête et d'analyse pour différentes périodes. Pour plus d'informations, consultez Mode d'affichage. Le graphique 5-tuple pie chart statistics s'affiche sur ce tableau de bord. Vous pouvez utiliser le bouton Time Range pour modifier la plage de temps des statistiques.