Analisis traffic Smart Access Gateway dengan Layanan Log - Smart Access Gateway

Anda dapat menggunakan Simple Log Service untuk melakukan kueri dan menganalisis traffic dari instans Smart Access Gateway (SAG), sehingga membantu Anda memahami distribusi traffic serta menangani masalah jaringan.

Prasyarat

Anda telah membuat proyek dan logstore di Simple Log Service. Untuk informasi selengkapnya, lihat Panduan cepat Simple Log Service.
Perangkat SAG Anda telah terhubung ke Alibaba Cloud. Untuk informasi selengkapnya, lihat Hubungkan perangkat SAG ke Alibaba Cloud menggunakan perutean statis.
Pastikan model perangkat SAG Anda adalah SAG-1000.

Latar Belakang

Smart Access Gateway (SAG) mendukung fitur flow log. Flow log menangkap informasi traffic IP yang melewati instans SAG Anda dan menyimpan datanya di Alibaba Cloud Simple Log Service atau pada kolektor NetFlow. Prosedur berikut menjelaskan cara menggunakan Simple Log Service untuk menyimpan, melakukan kueri, dan menganalisis traffic tersebut.

Langkah 1: Menyerap data

Untuk melakukan kueri dan menganalisis traffic, Anda harus terlebih dahulu mencatat informasi traffic dari instans SAG Anda ke proyek dan logstore tertentu.

Buat flow log.

Buat flow log di konsol SAG untuk menyimpan informasi traffic ke proyek dan logstore tertentu.
1. Masuk ke konsol SAG.
2. Di panel navigasi sebelah kiri, klik Flow Log.
3. Di halaman Flow Log, klik Create Flow Log.
4. Di panel Create Flow Log, konfigurasikan parameter berikut lalu klik OK.
  - Name: Masukkan nama untuk flow log.
  - Output Interval Under Active Connections: Tentukan interval pengiriman data log untuk koneksi jaringan aktif. Nilai default adalah 300 detik. Nilainya harus berada dalam rentang 60 hingga 6.000 detik.
  - Output Interval Under Inactive Connections: Tentukan interval pengiriman data log untuk koneksi jaringan tidak aktif. Nilai default adalah 15 detik. Nilainya harus berada dalam rentang 10 hingga 600 detik.
  - Deliver Flow Log Data To: Pilih jenis penyimpanan untuk log. Untuk topik ini, pilih SLS.
    - Untuk menyimpan data log di Simple Log Service, pilih SLS.
    - Untuk menyimpan data log di kolektor NetFlow Anda, pilih NetFlow.
    - Untuk menyimpan data log di Simple Log Service dan kolektor NetFlow Anda secara bersamaan, pilih ALL.
  - SLS Region: Pilih wilayah tempat Simple Log Service dideploy.
  - SLS Project: Pilih proyek yang berisi logstore untuk menyimpan data flow log.
  - SLS Logstore: Pilih logstore untuk menyimpan data flow log.
  Untuk informasi selengkapnya mengenai parameter tersebut, lihat Buat flow log.
Asosiasikan flow log dengan instans SAG.

Setelah membuat flow log, asosiasikan dengan instans SAG agar informasi traffic disimpan di proyek dan logstore yang ditentukan untuk kueri dan analisis.
1. Di halaman Flow Log, temukan flow log yang telah Anda buat lalu klik ID-nya.
2. Di halaman detail flow log, klik Add Instance.
3. Di panel Add Instance, pilih instans SAG target lalu klik Save.

Langkah 2: Kueri dan analisis traffic

Setelah mengonfigurasi flow log, lakukan kueri dan analisis traffic SAG yang telah dikumpulkan di konsol Simple Log Service.

Masuk ke konsol Simple Log Service.
Di bagian Projects, klik proyek target.
Di tab Log Storage > Logstore Name, klik logstore target.
Aktifkan pengindeksan. Untuk informasi selengkapnya, lihat Aktifkan dan konfigurasikan indeks.

Indeks adalah struktur penyimpanan yang mengurutkan data dari satu atau beberapa kolom. Anda harus mengonfigurasi indeks sebelum dapat melakukan kueri dan analisis log. Dalam contoh ini, aktifkan field indexing dan nyalakan fitur statistik. Di bagian Field Search, konfigurasikan field indexing untuk bidang-bidang berikut: ali_uid (tipe long), bytes, dstaddr, dstport, instance_id, packets, protocol, snid, srcaddr, srcport, tos (tipe text), end, start (tipe double), dan tcp-flags (tipe text). Untuk bidang bertipe text, gunakan ,";=()[]{}?@&<>/:\n sebagai delimiter. Untuk bidang ali_uid, bytes, dstaddr, dstport, packets, protocol, srcaddr, srcport, dan tos, aktifkan statistik.

Catatan
Saat mengonfigurasi field indexing, pastikan bidang bytes bertipe TEXT agar analisis dan statistik data dapat diaktifkan.
Setelah mengaktifkan pengindeksan, Anda dapat melakukan kueri dan menganalisis data. Contoh berikut menunjukkan cara melakukan kueri untuk 10 5-tupel teratas.
1. Di kotak pencarian, masukkan pernyataan kueri.
  Bidang yang sesuai dengan traffic 5-tupel adalah srcaddr, srcport, dstaddr, dstport, dan protocol.
```
* | select srcaddr,srcport,dstaddr,dstport,protocol,count(*) as num,sum(bytes) as bytes
from (select CASE
WHEN strpos(bytes, 'M') != 0 then
(CAST(replace(bytes,'M') AS double)*1024*1024)
WHEN strpos(bytes, 'K') != 0 then
(CAST(replace(bytes,'K') AS double)*1024)
else CAST(bytes AS double) end
as bytes,srcaddr,srcport,dstaddr,dstport,protocol from log limit 100000)
GROUP BY srcaddr,dstaddr,srcport,dstport,protocol ORDER BY bytes DESC limit 10
                                
```
  Secara default, sistem mencari data dalam 15 menit terakhir. Anda dapat menentukan rentang waktu kustom untuk kueri Anda. Masukkan pernyataan SQL di atas di editor kueri, atur rentang waktu ke 15 Minutes (Relative), lalu klik Search & Analyze untuk menjalankan kueri.
  
  Catatan
  Saat menulis pernyataan kueri, pastikan bidang yang digunakan konsisten dengan bidang di log Anda. Bidang yang digunakan dalam topik ini hanya sebagai referensi. Untuk informasi selengkapnya tentang pernyataan kueri, lihat Ikhtisar kueri.
2. Klik Search & Analyze.
  
  Konsol membuka tab Graph dan menampilkan statistik 10 5-tupel teratas dalam bentuk tabel. Anda dapat memilih jenis grafik lain untuk memvisualisasikan data. Untuk informasi selengkapnya, lihat Ikhtisar grafik.
  
  Contoh ini menggunakan grafik pie untuk menyajikan data statistik.
3. Di tab Graph, sesuaikan properti grafik pie untuk menyesuaikan tampilan grafik.
  Sesuaikan dua properti berikut. Properti lain menggunakan nilai default. Untuk informasi selengkapnya, lihat Grafik pie.
  - Category: Kategori data.
    
    Dalam contoh ini, data dikategorikan berdasarkan bidang srcaddr, srcport, dstaddr, dstport, dan protocol. Catatan hanya dihitung jika kelima bidang traffic tersebut sesuai.
  - Value Column: Nilai numerik yang sesuai dengan data yang dikategorikan.
    
    Dalam contoh ini, bidang bytes digunakan sebagai value column.
Opsi: Anda dapat melakukan operasi di atas untuk melakukan kueri informasi 10 3-tupel teratas dan informasi 10 alamat IP sumber-tujuan teratas.
- Lakukan kueri informasi 10 3-tupel teratas
  - Bidang kueri: srcaddr, dstaddr, dan protocol.
  - Pernyataan kueri:
```
* | select srcaddr,dstaddr,protocol,count(*) as num,sum(bytes) as bytes
from (select CASE
WHEN strpos(bytes, 'M') != 0 then
(CAST(replace(bytes,'M') AS double)*1024*1024)
WHEN strpos(bytes, 'K') != 0 then
(CAST(replace(bytes,'K') AS double)*1024)
else CAST(bytes AS double) end
as bytes, srcaddr,dstaddr,protocol from log limit 100000)
GROUP BY srcaddr,dstaddr,protocol ORDER BY bytes DESC limit 10
                                        
```
  - Hasil kueri: Pilih tab Graph. Di panel Properties di sebelah kanan, atur Chart Type menjadi Pie Chart, pilih srcaddr, dstaddr, dan protocol untuk Category, serta pilih bytes untuk Value Column. Aktifkan Show Legend dan atur Legend Position menjadi Right. Untuk format angka, pilih K,Mil,Bil. Untuk Scale Label Format, pilih Percentage. Area pratinjau di sebelah kiri menampilkan grafik pie distribusi traffic berdasarkan alamat sumber, alamat tujuan, dan protokol, beserta tabel pratinjau data.
- Lakukan kueri informasi 10 alamat IP sumber-tujuan teratas
  - Bidang kueri: srcaddr dan dstaddr.
  - Pernyataan kueri:
```
* | select srcaddr,dstaddr,count(*) as num,sum(bytes) as bytes
from (select CASE
WHEN strpos(bytes, 'M') != 0 then
(CAST(replace(bytes,'M') AS double)*1024*1024)
WHEN strpos(bytes, 'K') != 0 then
(CAST(replace(bytes,'K') AS double)*1024)
else CAST(bytes AS double) end
as bytes, srcaddr,dstaddr from log limit 100000)
GROUP BY srcaddr,dstaddr ORDER BY bytes DESC limit 10
```
  - Hasil kueri: Setelah menjalankan pernyataan kueri, klik tab Graph. Di panel Properties di sebelah kanan, atur Chart Type menjadi Pie Chart. Untuk Category, pilih srcaddr dan dstaddr. Untuk Value Column, pilih bytes. Grafik pie menunjukkan proporsi volume traffic berdasarkan alamat sumber dan tujuan. Anda dapat mengklik Add to Dashboard untuk menyimpan grafik tersebut.

Langkah 3: (Opsional) Tambahkan grafik ke dashboard

Anda dapat menyimpan hasil kueri dan analisis sebagai grafik di dashboard untuk dilihat berulang kali.

Di pojok kanan atas grafik pie, klik Add to Dashboard.
Di kotak dialog Add to Dashboard, konfigurasikan parameter berikut lalu klik OK.
- Operation: Pilih Create Dashboard.
- Dashboard Name: Masukkan nama untuk dashboard, misalnya 5-tuple statistics.
- Chart Name: Masukkan nama untuk grafik, misalnya 5-tuple pie chart statistics.
Untuk informasi selengkapnya, lihat Tambahkan grafik ke dashboard.
Di panel navigasi sebelah kiri, klik Dashboard.
Klik nama dashboard yang telah Anda buat untuk melihat dashboard tersebut.

Di dashboard, klik Time Range untuk melihat hasil kueri dan analisis pada periode berbeda. Untuk informasi selengkapnya, lihat Mode tampilan. Grafik 5-tuple pie chart statistics ditampilkan di dashboard ini. Anda dapat menggunakan tombol Time Range untuk mengubah rentang waktu statistik.