Virtual Private Cloud:VPC フローログ

コンソール

API

フローログを作成する前に、フローログ機能を有効にし、SLS でプロジェクトと Logstore を作成していることを確認してください：

• OpenFlowLogService を呼び出してフローログ機能を有効にします。

• CreateProject を呼び出してプロジェクトを作成し、CreateLogStore を呼び出して Logstore を作成します。

これらの前提条件を満たした後、次の操作を実行できます：

• CreateFlowLog を呼び出してフローログを作成し、オプションで CreateIndex を呼び出してインデックスを作成します。

• ModifyFlowLogAttribute を呼び出してフローログの属性を変更します。フローログ名、説明、集計間隔、カスタムサブスクリプションを変更できます。

• DeactiveFlowLog を呼び出してフローログを停止します。

• ActiveFlowLog を呼び出してフローログを開始します。

• DeleteFlowLog を呼び出してフローログを削除します。

Terraform

リソース：alicloud_log_project、alicloud_log_store、alicloud_vpc_flow_log

# フローログを作成するリージョンを指定します。
provider "alicloud" {
  region = "cn-hangzhou"
}

# プロジェクトの説明と Logstore およびフローログの名前を指定します。
variable "name" {
  default = "vpc-flowlog-example"
}

# プロジェクト名に使用するランダムな文字列を生成します。
resource "random_uuid" "example" {
}

# Log Service プロジェクトを作成します。
resource "alicloud_log_project" "example" {
  project_name = substr("tf-example-${replace(random_uuid.example.result, "-", "")}", 0, 16)
  description  = var.name
}

# Log Service Logstore を作成します。
resource "alicloud_log_store" "example" {
  project_name          = alicloud_log_project.example.project_name
  logstore_name         = var.name
  shard_count           = 3
  auto_split            = true
  max_split_shard_count = 60
  append_meta           = true
}

# VPC フローログを作成します。
resource "alicloud_vpc_flow_log" "example" {
  flow_log_name        = var.name
  log_store_name       = alicloud_log_store.example.logstore_name
  description          = var.name
  traffic_path         = ["all"] # すべてのシナリオからトラフィックをキャプチャします。
  project_name         = alicloud_log_project.example.project_name
  resource_type        = "VPC" # リソースタイプ。
  resource_id          = "vpc-bp1ekmgzch0bo3hxXXXXXX" # VPC ID。
  aggregation_interval = "1" # 集計間隔 (分)。
  traffic_type         = "All" # 許可および拒否されたすべてのトラフィックをキャプチャします。
}

コンソール

API

GetLogsV2 を呼び出して、フローログのクエリと分析を行います。

パブリックアクセス元の IP

このシナリオでは、インターネットからアクセス可能でポート 80 でリッスンする Web サーバーがあります。また、特定の送信元 IP からのアクセスを制御するためにセキュリティグループルールを設定しています。

フローログを作成することで、ポート 80 にアクセスする送信元 IP を特定し、セキュリティグループルールがそれらのリクエストをいくつ許可または拒否したかを判断できます。

1. フローログの作成

   • リソースインスタンス には、Web サーバーの ネットワークインターフェイス を選択します。

   • トラフィックタイプ には、すべてのトラフィック を選択します。

   • 配信設定では、SLS に送信 を選択し、FlowLog レポート分析機能の有効化 を有効にします。

   • 他の設定はデフォルト値のままにします。

2. フローログの分析

   1. クエリと分析のステートメント

      サーバー 10.0.0.1 のポート 80 へのトラフィックをフィルタリングし、各送信元 IP がセキュリティグループによって許可または拒否された回数を表示します：

      dstaddr:10.0.0.1 AND dstport:80 | SELECT -- 宛先 IP が 10.0.0.1 で宛先ポートが 80 のログをフィルタリング
      srcaddr,
      SUM(CASE WHEN action = 'ACCEPT' THEN 1 ELSE 0 END) AS accept_count, -- 各 'ACCEPT' (許可) アクションに対して 1 をカウント
      SUM(CASE WHEN action = 'REJECT' THEN 1 ELSE 0 END) AS reject_count -- 各 'REJECT' (拒否) アクションに対して 1 をカウント
      FROM log
      GROUP BY srcaddr -- 結果を送信元 IP アドレスでグループ化
      ORDER BY accept_count + reject_count DESC -- 許可および拒否された接続の合計数で結果を降順にソート

   2. 結果のプレビュー

      srcaddr 列には、ポート 80 にアクセスした送信元 IP がリストされます。accept_count と reject_count 列には、指定された時間範囲内でセキュリティグループが各送信元 IP からの接続を許可または拒否した回数が表示されます：

      • 5 つの送信元 IP がポート 80 にアクセスしました：120.26.XX.XX、121.43.XX.XX、154.212.XX.XX、176.65.XX.XX、および 198.235.XX.XX。

      • 120.26.XX.XX からのすべてのリクエストは許可されましたが、他のパブリック IP アドレスからのすべてのリクエストは拒否されました。

ECS インスタンス間のトラフィック

(srcaddr:10.0.0.1 AND dstaddr:10.0.0.*) OR (srcaddr:10.0.0.* AND dstaddr:10.0.0.1 )  | select -- ECS1 と他の ECS インスタンス間のトラフィック傾向をフィルタリング
date_format(from_unixtime(__time__ - __time__% 60), '%H:%i:%S') as time, -- UNIX タイムスタンプを読み取り可能な時間形式に変換
concat(srcaddr,'->', dstaddr) as src_to_dst, -- 'source_ip->destination_ip' 形式のセッションペアを作成
sum(bytes*8/60) as bandwidth -- バイトをビットに変換し、60 秒のキャプチャウィンドウで割って帯域幅を bit/s で計算
group by time,srcaddr,dstaddr -- 結果を時間、送信元 IP、宛先 IP でグループ化
order by time asc  -- 時間で昇順にソート
limit 100 -- 最初の 100 件の結果を返す

(srcaddr:10.0.* AND dstaddr:172.16.*) OR (srcaddr:172.16.* AND dstaddr:10.0.*)  | select -- 2 つの VPC 間のセッションをフィルタリング
date_format(from_unixtime(__time__ - __time__% 60), '%H:%i:%S') as time, -- UNIX タイムスタンプを読み取り可能な時間形式に変換
concat(srcaddr,'->', dstaddr) as src_to_dst, -- 'source_ip->destination_ip' 形式のセッションペアを作成
sum(bytes*8/60) as bandwidth -- バイトをビットに変換し、60 秒のキャプチャウィンドウで割って帯域幅を bit/s で計算
group by time,srcaddr,dstaddr -- 結果を時間、送信元 IP、宛先 IP でグループ化
order by time asc  -- 時間で昇順にソート
limit 100 -- 最初の 100 件の結果を返す

インターネット NAT ゲートウェイのトラフィック

このシナリオでは、同じリージョンと vSwitch に複数の ECS インスタンスをデプロイしています。これらのインスタンスは、インターネット NAT ゲートウェイの SNAT 機能を使用してインターネットにアクセスします。

最近、インターネット NAT ゲートウェイからインターネットへのトラフィックが急増し、サーバーの応答が遅くなっていることに気づきました。フローログを使用して、このトラフィックの大部分を占める ECS インスタンスを特定できます。

1. フローログの作成

   • リソースインスタンス には、インターネット NAT ゲートウェイが配置されている vSwitch である vSwitch 2 を選択します。

   • 配信設定では、SLS に送信 を選択し、FlowLog レポート分析機能の有効化 を有効にします。

   • 他の設定はデフォルト値のままにします。

2. 特定のトラフィックパスのフィルタリング

   このシナリオで特定のパスのトラフィックをフィルタリングするには、クエリ文で異なる条件を指定する必要があります：

   図	番号	フィルタリング方法
   	①	ECS インスタンスから NAT ゲートウェイへのトラフィックをフィルタリング：direction は in で、srcaddr は ECS インスタンスのプライベート IP アドレスです。
   	②	NAT ゲートウェイからインターネットへのトラフィックをフィルタリング：direction は out で、srcaddr は NAT ゲートウェイのプライベート IP アドレスです。
   	③	インターネットから NAT ゲートウェイへのトラフィックをフィルタリング：direction は in で、dstaddr は NAT ゲートウェイのプライベート IP アドレスです。
   	④	NAT ゲートウェイから ECS インスタンスへのトラフィックをフィルタリング：direction は out で、dstaddr は ECS インスタンスのプライベート IP アドレスです。

3. フローログの分析

   1. クエリと分析のステートメント

      ECS インスタンスから NAT ゲートウェイへのパスで、特定のパブリック IP アドレスへのトラフィックを分析します：

      direction: 'in' and srcaddr: 10.0.0.* and dstaddr: 120.26.XX.XX | select -- 特定のパブリック IP アドレスにアクセスする ECS インスタンスのログをフィルタリング
      date_format(from_unixtime(__time__ - __time__% 60), '%H:%i:%S') as time, srcaddr,  -- UNIX タイムスタンプを読み取り可能な時間形式に変換
      sum(bytes*8/60) as bandwidth  -- バイトをビットに変換し、60 秒のキャプチャウィンドウで割って帯域幅を bit/s で計算
      group by time,srcaddr -- 結果を時間と送信元 IP でグループ化
      order by time asc  -- 時間で昇順にソート
      limit 100 -- 最初の 100 件の結果を返す

      その他の一般的なクエリ

      • NAT ゲートウェイから ECS インスタンスへのパスで、特定のパブリック IP アドレスからすべての ECS インスタンスへのインバウンドトラフィックをフィルタリングします：

        direction: 'out' and dstaddr: 10.0.0.* and srcaddr: 120.26.XX.XX | select -- 特定のパブリック IP アドレスにアクセスする ECS インスタンスのログをフィルタリング
        date_format(from_unixtime(__time__ - __time__% 60), '%H:%i:%S') as time,   -- UNIX タイムスタンプを読み取り可能な時間形式に変換
        dstaddr,
        sum(bytes*8/60) as bandwidth  -- バイトをビットに変換し、60 秒のキャプチャウィンドウで割って帯域幅を bit/s で計算
        group by time,dstaddr -- 結果を時間と宛先 IP でグループ化
        order by time asc  -- 時間で昇順にソート
        limit 100 -- 最初の 100 件の結果を返す

      • ECS インスタンスから NAT ゲートウェイへのパスで、ECS インスタンスからすべてのパブリック IP アドレスへのアウトバウンドトラフィックをフィルタリングします：

        direction: 'in' and srcaddr: 10.0.0.*  | select -- すべてのパブリック IP アドレスにアクセスする ECS インスタンスのログをフィルタリング
        date_format(from_unixtime(__time__ - __time__% 60), '%H:%i:%S') as time,  -- UNIX タイムスタンプを読み取り可能な時間形式に変換
        concat(srcaddr,'->', dstaddr), -- 'source_ip->destination_ip' 形式のセッションペアを作成
        sum(bytes*8/60) as bandwidth  -- バイトをビットに変換し、60 秒のキャプチャウィンドウで割って帯域幅を bit/s で計算
        group by time,srcaddr,dstaddr -- 結果を時間、送信元 IP、宛先 IP でグループ化
        order by time asc  -- 時間で昇順にソート
        limit 100 -- 最初の 100 件の結果を返す

   2. 結果のプレビュー

      可視化の設定は ECS トラフィックシナリオと同様です。[エリアチャート] タイプを選択し、集計列を [srcaddr] に設定します。

      ECS インスタンスから NAT ゲートウェイへのパスで、10.0.0.1 (ECS1) からパブリック IP アドレス 120.26.XX.XX へのトラフィックレートが最も高く、約 12 Kbps です。

Express Connect のトラフィック分散

このシナリオでは、ある企業が Alibaba Cloud リージョン内の 2 つの VPC を使用して異なるサービスをデプロイしています。同社は、Express Connect 回線と Cloud Enterprise Network (CEN) を使用して、オンプレミスデータセンターを Alibaba Cloud に接続しています。

IT 部門は、フローログを使用して、VPC 内の異なるサービスからのトラフィックが Express Connect 回線のリソースをどのように使用しているかを監視および分析したいと考えています。この分析は、ネットワークリソースの計画とパフォーマンスの向上に役立ちます。

1. フローログの作成

   同じ Logstore にデータを配信する 2 つのフローログを作成します。各フローログの主要なパラメーターを次のように設定します：

   • リソースインスタンス で VPC を選択し、次に VPC1 と VPC2 をそれぞれ選択します。

   • サンプリングパス には、Transit Router を選択します。

   • 配信設定では、SLS に送信 を選択し、両方のフローログに同じ Logstore を選択して、FlowLog レポート分析機能の有効化 を有効にします。

   • 他の設定はデフォルト値のままにします。

2. フローログの分析

   1. クエリと分析のステートメント

      各 VPC からオンプレミスデータセンターへのトラフィックの割合を分析します：

      action: ACCEPT and srcaddr: 192.168.* and dstaddr:10.1.* | 
      WITH 
          vpc1_traffic AS (
              SELECT 
                  date_trunc('minute',__time__) AS minute,
                  SUM(bytes*8/(case WHEN "end"-start=0 THEN 1 else "end"-start end)) AS total_vpc1_traffic
              FROM 
                  log
              WHERE 
                  srcaddr LIKE '192.168.20.%'
              GROUP BY 
                  date_trunc('minute',__time__)
          ),
          vpc2_traffic AS (
              SELECT 
                  date_trunc('minute',__time__) AS minute,
                  SUM(bytes*8/(case WHEN "end"-start=0 THEN 1 else "end"-start end)) AS total_vpc2_traffic
              FROM 
                  log
              WHERE 
                  srcaddr LIKE '192.168.10.%'
              GROUP BY 
                  date_trunc('minute',__time__)
          )
      SELECT 
          COALESCE(vpc1_traffic.minute, vpc2_traffic.minute) AS minute,
          (COALESCE(vpc1_traffic.total_vpc1_traffic, 0) * 100/ NULLIF((COALESCE(vpc1_traffic.total_vpc1_traffic, 0) + COALESCE(vpc2_traffic.total_vpc2_traffic, 0)), 0)) AS vpc1_percentage, 
          (COALESCE(vpc2_traffic.total_vpc2_traffic, 0) * 100/ NULLIF((COALESCE(vpc1_traffic.total_vpc1_traffic, 0) + COALESCE(vpc2_traffic.total_vpc2_traffic, 0)), 0)) AS vpc2_percentage
      FROM vpc1_traffic FULL OUTER JOIN vpc2_traffic ON vpc1_traffic.minute = vpc2_traffic.minute 
      ORDER BY minute

      以下に SQL ステートメントの詳細な説明を示します。

      • フィルタ条件：

        • srcaddr: 192.168.* は、送信元アドレスが 192.168. で始まるログをフィルタリングします。

        • dstaddr: 10.1.* は、宛先アドレスが 10.1. で始まるログをフィルタリングします。

        • action: ACCEPT。action フィールドが ACCEPT のログをフィルタリングします。

      • メインクエリ

        • FULL OUTER JOIN を使用して、vpc1_traffic と vpc2_traffic の結果を minute フィールドに基づいて結合します。

        • 各 VPC からのトラフィックの割合を毎分計算します：

          • vpc1_percentage は、VPC1 から発信される総トラフィックの割合を表します。

          • vpc2_percentage は、VPC2 から発信される総トラフィックの割合を表します。

        • クエリ結果は minute で昇順にソートされます。

      • WITH サブクエリ：

        SQL ステートメントには、vpc1_traffic と vpc2_traffic の 2 つのサブクエリが含まれています。以下は vpc1_traffic サブクエリの説明です：

        • date_trunc 関数は、UNIX タイムスタンプ (__time__ フィールド) を最も近い分に切り捨て、minute としてエイリアスを付けます。

        • SUM 関数は、毎分の総トラフィックレートを bit/s で計算し、total_vpc1_traffic としてエイリアスを付けます。

        • 送信元アドレスが 192.168.20.* CIDR ブロック (VPC1) にあるトラフィックレコードをフィルタリングします。

        • 結果を分単位でグループ化します。

   2. 結果のプレビュー

      可視化の設定は ECS トラフィックシナリオと同様です。[エリアチャート] タイプを選択して、時間の経過に伴う異なる VPC からのトラフィック割合の傾向を表示します。

      14:50 から 15:50 の期間中、VPC1 はオンプレミスデータセンターへのトラフィックのより高い割合を生成しました。