Virtual Private Cloud:Journaux de flux VPC

Console

API

Avant de créer un journal de flux, assurez-vous d'avoir activé la fonctionnalité de journal de flux et d'avoir créé un projet et un Logstore dans Simple Log Service (SLS) :

• Appelez OpenFlowLogService pour activer la fonctionnalité de journal de flux.

• Appelez CreateProject pour créer un projet, et appelez CreateLogstore pour créer un Logstore.

Une fois ces prérequis remplis, vous pouvez effectuer les opérations suivantes :

• Appelez CreateFlowLog pour créer un journal de flux. Vous pouvez également appeler CreateIndex pour créer un index.

• Appelez DeactiveFlowLog pour arrêter un journal de flux.

• Appelez ActiveFlowLog pour démarrer un journal de flux.

• Appelez DeleteFlowLog pour supprimer un journal de flux.

Terraform

Ressources : alicloud_log_project , alicloud_log_store , alicloud_vpc_flow_log

# Specify the region where you want to create the flow log.
provider "alicloud" {
  region = "cn-hangzhou"
}

# Specify the description for the Project, and the names for the Logstore and flow log.
variable "name" {
  default = "vpc-flowlog-example"
}

# Generate a random string for the project name.
resource "random_uuid" "example" {
}

# Create a Simple Log Service (SLS) Project.
resource "alicloud_log_project" "example" {
  project_name = substr("tf-example-${replace(random_uuid.example.result, "-", "")}", 0, 16)
  description  = var.name
}

# Create a Simple Log Service (SLS) Logstore.
resource "alicloud_log_store" "example" {
  project_name          = alicloud_log_project.example.project_name
  logstore_name         = var.name
  shard_count           = 3
  auto_split            = true
  max_split_shard_count = 60
  append_meta           = true
}

# Create a VPC flow log.
resource "alicloud_vpc_flow_log" "example" {
  flow_log_name        = var.name
  log_store_name       = alicloud_log_store.example.logstore_name
  description          = var.name
  traffic_path         = ["all"] # Capture traffic from all scenarios.
  project_name         = alicloud_log_project.example.project_name
  resource_type        = "VPC" # The resource type is VPC.
  resource_id          = "vpc-bp1ekmgzch0bo3hxXXXXXX" # The ID of the VPC.
  aggregation_interval = "1" # The capture window is 1 minute.
  traffic_type         = "All" # Capture all traffic, regardless of whether it is allowed or rejected by access control rules.
}

Console

API

Appelez GetLogsV2 pour interroger et analyser les journaux de flux.

Analyser les adresses IP sources Internet

Supposons que vous disposiez d'un serveur web écoutant sur le port 80 et accessible depuis Internet. L'accès au serveur est restreint par un groupe de sécurité en fonction des adresses IP sources.

Dans ce scénario, créez un journal de flux pour interroger les adresses IP sources qui accèdent au port 80 et comptabilisez les requêtes autorisées ou rejetées par le groupe de sécurité.

1. Créer un journal de flux

   • Pour l'option Resource Instance, sélectionnez l'interface ENI du serveur web.

   • Pour l'option Data Transfer Type, sélectionnez All Traffic.

   • Dans la section Delivery Configuration, sélectionnez Deliver to Log Service et activez l'option Enable Log Analysis Report.

   • Conservez les paramètres par défaut pour les autres options.

2. Analyser le journal de flux

   1. Instruction de requête

      Exécutez la requête suivante pour filtrer les adresses IP sources qui accèdent au port 80 de l'adresse 10.0.0.1. La requête affiche également le nombre de fois où le groupe de sécurité a autorisé ou rejeté chaque adresse IP :

      dstaddr:10.0.0.1 AND dstport:80 | SELECT -- Filter for logs where the destination IP address is 10.0.0.1 and the destination port is 80.
      srcaddr,
      SUM(CASE WHEN action = 'ACCEPT' THEN 1 ELSE 0 END) AS accept_count, -- Count 1 for each ACCEPT (allowed) action.
      SUM(CASE WHEN action = 'REJECT' THEN 1 ELSE 0 END) AS reject_count -- Count 1 for each REJECT (rejected) action.
      FROM log
      GROUP BY srcaddr -- Group by source IP address.
      ORDER BY accept_count + reject_count DESC -- Sort the results in descending order by the total number of allowed and rejected requests.

   2. Aperçu

      La colonne srcaddr affiche les adresses IP sources ayant accédé au port 80. Les colonnes accept_count et reject_count indiquent respectivement le nombre d'entrées de journal de flux provenant de chaque adresse IP source qui ont été autorisées et rejetées par le groupe de sécurité dans la plage de temps de la requête :

      • Cinq adresses IP sources ont accédé au port 80 : 120.26.XX.XX, 121,43.XX.XX, 154 212.XX.XX, 176,65.XX.XX et 198 235.XX.XX.

      • Toutes les requêtes provenant de l'adresse 120,26.XX.XX ont été autorisées, tandis que toutes les requêtes provenant des autres adresses IP publiques ont été rejetées.

Analyser le trafic ECS

Paramètre	Trafic intra-VPC	Trafic inter-VPC
Schéma
Description	Supposons que vous ayez déployé trois instances ECS dans un même VPC et qu'il existe du trafic entre ces instances. Vous pouvez utiliser les journaux de flux pour analyser le débit et les tendances du trafic entre les instances ECS.	Supposons que vous disposiez de deux VPC dans différentes régions, chacun contenant plusieurs instances ECS. Les deux VPC sont connectés via une connexion d'appairage. Cette connexion utilise la facturation Cloud Data Transfer (CDT) à l'utilisation. Vous constatez une augmentation récente des coûts liés au trafic interrégional. Dans ce cas, utilisez les journaux de flux pour identifier les instances ECS générant des volumes de trafic élevés et optimisez vos coûts de trafic.
Configuration du journal de flux	Resource Instance : Sélectionnez l'interface ECS1 ENI Pour l'option Analysis and Delivery, sélectionnez Deliver to Log Service et activez l'option Enable Log Analysis Report. Conservez les paramètres par défaut pour les autres options.	Pour l'option Resource Instance, sélectionnez le VPC VPC1. Pour l'option Analysis and Delivery, sélectionnez Deliver to Log Service et activez l'option Enable Log Analysis Report. Conservez les paramètres par défaut pour les autres options.
Instruction de requête	Pour interroger les tendances du débit de trafic entre ECS1 et les autres instances ECS, exécutez la requête suivante : (srcaddr:10.0.0.1 AND dstaddr:10.0.0.*) OR (srcaddr:10.0.0.* AND dstaddr:10.0.0.1 ) | select -- Filter for traffic between ECS1 and other ECS instances. date_format(from_unixtime(__time__ - __time__% 60), '%H:%i:%S') as time, -- Convert the UNIX timestamp to a readable time format. concat(srcaddr,'->', dstaddr) as src_to_dst, -- Concatenate the source and destination IP addresses into a session pair with the format 'source_ip->destination_ip'. sum(bytes*8/60) as bandwidth -- Convert bytes to bits and divide by the capture window of 1 minute to get the rate in bit/s. group by time,srcaddr,dstaddr -- Group by time, source IP, and destination IP. order by time asc -- Sort by time in ascending order. limit 100 -- Display the first 100 results.	Pour interroger les tendances du débit de trafic des sessions entre les deux VPC, exécutez la requête suivante : (srcaddr:10.0.* AND dstaddr:172.16.*) OR (srcaddr:172.16.* AND dstaddr:10.0.*) | select -- Filter for sessions between the two VPCs. date_format(from_unixtime(__time__ - __time__% 60), '%H:%i:%S') as time, -- Convert the UNIX timestamp to a readable time format. concat(srcaddr,'->', dstaddr) as src_to_dst, -- Concatenate the source and destination IP addresses into a session pair with the format 'source_ip->destination_ip'. sum(bytes*8/60) as bandwidth -- Convert bytes to bits and divide by the capture window of 1 minute to get the rate in bit/s. group by time,srcaddr,dstaddr -- Group by time, source IP, and destination IP. order by time asc -- Sort by time in ascending order. limit 100 -- Display the first 100 results.
Aperçu	Sur la page Query and Analysis Results, sélectionnez l'onglet Statistical Chart et définissez le type de graphique sur Area Chart. Définissez le champ de l'axe des x sur time, le champ de l'axe des y sur bandwidth et la colonne d'agrégation sur src_to_dst. Pour l'unité de format, sélectionnez bps,Kbps,Mbps(bit). Le débit de trafic de 10.0.0.1 vers 10.0.0.2 est le plus élevé, avec environ 1,4 Mbps. Le débit de trafic de 10.0.0.1 vers 10.0.0.3 arrive en deuxième position, avec environ 700 Kbps. Les autres trafics représentent une faible proportion.	La configuration de visualisation des résultats de la requête est identique à celle du scénario 2 : sélectionnez le type Area Chart et définissez la colonne d'agrégation sur src_to_dst. Les résultats montrent un pic de trafic d'environ 6 Mbps de 10.0.0.1 vers 172.16.0.1.

Analyser le trafic de la passerelle NAT

Supposons que vous disposiez de plusieurs instances ECS dans une région. Toutes les instances sont déployées dans le même vSwitch et accèdent à Internet via SNAT sur une passerelle NAT Internet.

Vous constatez récemment une augmentation soudaine du trafic sortant de la passerelle NAT, ce qui ralentit les réponses du serveur. Utilisez les journaux de flux pour identifier les instances ECS générant une proportion élevée du trafic.

1. Créer un journal de flux

   • Pour l'option Resource Instance, sélectionnez le vSwitch2 où se trouve la passerelle NAT Internet.

   • Dans la section Delivery Configuration, sélectionnez <!--@uicontrol {"id":"dbd0db5919rpz","data-status="unpublished","data-isbold":"true","data-init-id":"5db9f3a8549g5"}-->Deliver to Log Service et activez l'option Deliver to Log Service.

   • Conservez les paramètres par défaut pour les autres options.

2. Méthodes de filtrage des chemins de trafic spécifiques

   Pour filtrer le trafic sur un chemin spécifique dans ce scénario, spécifiez différentes conditions dans l'instruction de requête :

   Schéma	N°	Méthode de filtrage
   	①	Filtrer le trafic d'une instance ECS vers une passerelle NAT : direction est « in » et srcaddr correspond à l'adresse IP privée de l'instance ECS.
   	②	Pour filtrer le trafic de la passerelle NAT vers le réseau public : direction est out et srcaddr correspond à l'adresse IP privée de la passerelle NAT.
   	③	Filtrer le trafic d'Internet vers la passerelle NAT : direction est « in » et dstaddr correspond à l'adresse IP privée de la passerelle NAT.
   	④	Filtrer le trafic de la passerelle NAT vers l'instance ECS : direction est « out » et dstaddr correspond à l'adresse IP privée de l'instance ECS.

3. Analyser le journal de flux

   1. Instruction de requête

      Sur le chemin allant d'une instance ECS à la passerelle NAT, analysez le trafic vers une adresse IP publique spécifique :

      direction: 'in' and srcaddr: 10.0.0.* and dstaddr: 120.26.XX.XX | select -- Filter for logs of ECS instances accessing a specific public IP address.
      date_format(from_unixtime(__time__ - __time__% 60), '%H:%i:%S') as time, srcaddr,  -- Convert the UNIX timestamp to a readable time format.
      sum(bytes*8/60) as bandwidth  -- Convert bytes to bits and divide by the capture window of 1 minute to get the rate in bit/s.
      group by time,srcaddr -- Group by time and source IP address.
      order by time asc  -- Sort by time in ascending order.
      limit 100 -- Display the first 100 results.

      Autres requêtes courantes

      • Sur le chemin allant de la passerelle NAT à une instance ECS, filtrez le trafic entrant provenant d'une adresse IP publique spécifique vers toutes les instances ECS :

        direction: 'out' and dstaddr: 10.0.0.* and srcaddr: 120.26.XX.XX | select -- Filter for logs of ECS instances accessing a specific public IP address.
        date_format(from_unixtime(__time__ - __time__% 60), '%H:%i:%S') as time,   -- Convert the UNIX timestamp to a readable time format.
        dstaddr,
        sum(bytes*8/60) as bandwidth  -- Convert bytes to bits and divide by the capture window of 1 minute to get the rate in bit/s.
        group by time,dstaddr -- Group by time and destination IP address.
        order by time asc  -- Sort by time in ascending order.
        limit 100 -- Display the first 100 results.

      • Sur le chemin allant d'une instance ECS à la passerelle NAT, filtrez le trafic sortant des instances ECS vers toutes les adresses IP publiques :

        direction: 'in' and srcaddr: 10.0.0.*  | select -- Filter for logs of ECS instances accessing all public IP addresses.
        date_format(from_unixtime(__time__ - __time__% 60), '%H:%i:%S') as time,  -- Convert the UNIX timestamp to a readable time format.
        concat(srcaddr,'->', dstaddr), -- Concatenate the source and destination IP addresses into a session pair with the format 'source_ip->destination_ip'.
        sum(bytes*8/60) as bandwidth  -- Convert bytes to bits and divide by the capture window of 1 minute to get the rate in bit/s.
        group by time,srcaddr,dstaddr -- Group by time, source IP, and destination IP.
        order by time asc  -- Sort by time in ascending order.
        limit 100 -- Display the first 100 results.

   2. Aperçu

      La méthode de visualisation des résultats de la requête est similaire à celle du scénario 2 : sélectionnez le type area chart et définissez la colonne d'agrégation sur srcaddr.

      Sur le chemin vers la passerelle NAT, le trafic de 10.0.0.1 (ECS1) vers l'adresse IP publique 120.26.XX.XX est le plus élevé, avec environ 12 Kbps.

Analyser le ratio de trafic Express Connect

Une entreprise utilise deux VPC dans une région Alibaba Cloud pour déployer différents services et connecte son centre de données local à Alibaba Cloud via un circuit Express Connect et CEN.

Le service informatique prévoit d'utiliser les journaux de flux pour surveiller et analyser la manière dont le trafic provenant de différentes applications métier dans les VPC utilise le circuit Express Connect. Cette analyse aide à la planification des ressources réseau et à l'amélioration des performances.

1. Créer des journaux de flux

   Créez deux journaux de flux et acheminez-les vers le même Logstore. Les paramètres clés pour chaque journal de flux sont les suivants :

   • Pour l'option Enable Log Analysis Report, sélectionnez les Resource Instance VPC1 et VPC2.

   • Pour l'option VPC, sélectionnez Sampling Path.

   • Définissez Delivery Configuration sur Transit Router, sélectionnez le même Logstore pour les deux journaux de flux et activez l'option Deliver to Log Service.

   • Conservez les paramètres par défaut pour les autres options.

2. Analyser les journaux de flux

   1. Instruction de requête

      Pour analyser le ratio de trafic provenant de différents VPC vers le centre de données local, exécutez la requête suivante :

      action: ACCEPT and srcaddr: 192.168.* and dstaddr:10.1.* | 
      WITH 
          vpc1_traffic AS (
              SELECT 
                  date_trunc('minute',__time__) AS minute,
                  SUM(bytes*8/(case WHEN "end"-start=0 THEN 1 else "end"-start end)) AS total_vpc1_traffic
              FROM 
                  log
              WHERE 
                  srcaddr LIKE '192.168.20.%'
              GROUP BY 
                  date_trunc('minute',__time__)
          ),
          vpc2_traffic AS (
              SELECT 
                  date_trunc('minute',__time__) AS minute,
                  SUM(bytes*8/(case WHEN "end"-start=0 THEN 1 else "end"-start end)) AS total_vpc2_traffic
              FROM 
                  log
              WHERE 
                  srcaddr LIKE '192.168.10.%'
              GROUP BY 
                  date_trunc('minute',__time__)
          )
      SELECT 
          COALESCE(vpc1_traffic.minute, vpc2_traffic.minute) AS minute,
          (COALESCE(vpc1_traffic.total_vpc1_traffic, 0) * 100/ NULLIF((COALESCE(vpc1_traffic.total_vpc1_traffic, 0) + COALESCE(vpc2_traffic.total_vpc2_traffic, 0)), 0)) AS vpc1_percentage, 
          (COALESCE(vpc2_traffic.total_vpc2_traffic, 0) * 100/ NULLIF((COALESCE(vpc1_traffic.total_vpc1_traffic, 0) + COALESCE(vpc2_traffic.total_vpc2_traffic, 0)), 0)) AS vpc2_percentage
      FROM vpc1_traffic FULL OUTER JOIN vpc2_traffic ON vpc1_traffic.minute = vpc2_traffic.minute 
      ORDER BY minute

      Voici une explication de l'instruction SQL.

      • Conditions de filtrage :

        • srcaddr : 192.168., filtre les journaux dont l'adresse source commence par 192.168..

        • dstaddr : 10.1., filtre les journaux dont l'adresse de destination commence par 10.1..

        • action : ACCEPT. Filtre les journaux dont la valeur du champ action est ACCEPT.

      • Requête principale

        • Utilisez une jointure FULL OUTER JOIN pour joindre les tables vpc1_traffic et vpc2_traffic sur le champ minute.

        • Calcule le pourcentage de trafic pour chaque VPC par minute :

          • vpc1_percentage spécifie le pourcentage du trafic total routé vers VPC1.

          • vpc2_percentage indique le pourcentage du trafic de VPC2 dans le trafic total.

        • Les résultats de la requête sont triés par minute dans l'ordre croissant.

      • La sous-requête WITH :

        L'instruction SQL comprend deux sous-requêtes, vpc1_traffic et vpc2_traffic. La description suivante prend la sous-requête vpc1_traffic comme exemple :

        • Utilisez la fonction date_trunc pour réduire la précision de l'horodatage Unix (champ __time__) à la minute et nommez-le minute.

        • Utilisez la fonction SUM pour calculer le débit total du trafic en bit/s pour une minute donnée et nommez-le total_vpc1_traffic.

        • Filtre les enregistrements de trafic dont l'adresse source appartient au bloc CIDR 192.168.20.*, qui appartient à VPC1.

        • Regroupe les résultats par minute.

   2. Aperçu

      La configuration de visualisation des résultats de la requête est similaire à celle du scénario 2. Sélectionnez le type Area Chart pour afficher la tendance des proportions de trafic pour différents VPC au fil du temps.

      Les résultats montrent que durant la période de 14 h 50 à 15 h 50, la proportion de trafic provenant de VPC1 vers le centre de données local est plus élevée.