Virtual Private Cloud:VPC フローログ

コンソール

API

フローログを作成する前に、フローログ機能を有効にし、SLS でプロジェクトとログストアを作成していることを確認してください。

• OpenFlowLogService を呼び出して、フローログ機能を有効にします。

• CreateProject を呼び出してプロジェクトを作成し、CreateLogStore を呼び出してログストアを作成します。

これらの前提条件を満たしたら、次の操作を実行できます。

• CreateFlowLog を呼び出してフローログを作成し、オプションで CreateIndex を呼び出してインデックスを作成します。

• DeactiveFlowLog を呼び出してフローログを停止します。

• ActiveFlowLog を呼び出してフローログを開始します。

• DeleteFlowLog を呼び出してフローログを削除します。

Terraform

リソース: alicloud_log_project、alicloud_log_store、alicloud_vpc_flow_log

# フローログを作成するリージョンを指定します。
provider "alicloud" {
  region = "cn-hangzhou"
}

# プロジェクトの説明、ログストアとフローログの名前を指定します。
variable "name" {
  default = "vpc-flowlog-example"
}

# ランダムな数値を生成してプロジェクト名を作成します。
resource "random_uuid" "example" {
}

# Simple Log Service プロジェクトを作成します。
resource "alicloud_log_project" "example" {
  project_name = substr("tf-example-${replace(random_uuid.example.result, "-", "")}", 0, 16)
  description  = var.name
}

# Simple Log Service ログストアを作成します。
resource "alicloud_log_store" "example" {
  project_name          = alicloud_log_project.example.project_name
  logstore_name         = var.name
  shard_count           = 3
  auto_split            = true
  max_split_shard_count = 60
  append_meta           = true
}

# VPC フローログを作成します。
resource "alicloud_vpc_flow_log" "example" {
  flow_log_name        = var.name
  log_store_name       = alicloud_log_store.example.logstore_name
  description          = var.name
  traffic_path         = ["all"] # すべてのシナリオからトラフィックを収集します。
  project_name         = alicloud_log_project.example.project_name
  resource_type        = "VPC" # リソースタイプは VPC です。
  resource_id          = "vpc-bp1ekmgzch0bo3hxXXXXXX" # VPC の ID。
  aggregation_interval = "1" # キャプチャウィンドウは 1 分です。
  traffic_type         = "All" # アクセス制御で許可または拒否されるかどうかに関係なく、すべてのトラフィックを収集します。
}

コンソール

API

GetLogsV2 を呼び出して、フローログをクエリおよび分析します。

インターネットから ECS インスタンスにアクセスするソース IP アドレスを分析する

図に示すように、ポート 80 経由でインターネットからアクセスできる Web サーバーを作成し、セキュリティグループルールを使用してソース IP アドレスからのアクセスを制限しているとします。

フローログを作成して、ポート 80 にアクセスするソース IP アドレスをクエリし、セキュリティグループによって許可または拒否されたアクセスリクエストの数をカウントできます。

1. フローログを作成する

   • [リソースインスタンス] で、Web サーバーの [ENI] を選択します。

   • [トラフィックタイプ] を [すべてのトラフィック] に設定します。

   • 配信を設定するには、[Simple Log Service に配信] と [ログ分析レポートを有効にする] を選択します。

   • その他のパラメーターはデフォルト値のままにします。

2. フローログを分析する

   1. クエリおよび分析文

      10.0.0.1 のポート 80 にアクセスするソース IP アドレスをフィルタリングし、各 IP アドレスがセキュリティグループによって許可および拒否された回数を表示します。

      dstaddr:10.0.0.1 AND dstport:80 | SELECT -- 送信先 IP アドレスが 10.0.0.1、送信先ポートが 80 のログをフィルタリングします。
      srcaddr,
      SUM(CASE WHEN action = 'ACCEPT' THEN 1 ELSE 0 END) AS accept_count, -- ACCEPT（許可）操作ごとに 1 をカウントします。
      SUM(CASE WHEN action = 'REJECT' THEN 1 ELSE 0 END) AS reject_count -- REJECT（拒否）操作ごとに 1 をカウントします。
      FROM log
      GROUP BY srcaddr -- ソース IP アドレスごとにグループ化します。
      ORDER BY accept_count + reject_count DESC -- 許可された操作と拒否された操作の合計数に基づいて結果を降順にソートします。

   2. プレビュー

      

      図に示すように、srcaddr 列には、ポート 80 にアクセスするソース IP アドレスが表示されます。accept_count 列と reject_count 列には、クエリ時間範囲内でセキュリティグループによって許可および拒否された各ソース IP アドレスのフローログエントリ数が表示されます。

      • 5 つのソース IP アドレス（120.26.XX.XX、121.43.XX.XX、154.212.XX.XX、176.65.XX.XX、198.235.XX.XX）がポート 80 にアクセスしました。

      • 120.26.XX.XX からのリクエストはすべて許可されましたが、他のパブリック IP アドレスからのリクエストはすべて拒否されました。

ECS インスタンス間のトラフィックを分析する

(srcaddr:10.0.0.1 AND dstaddr:10.0.0.*) OR (srcaddr:10.0.0.* AND dstaddr:10.0.0.1 )  | select -- ECS1 と他の ECS インスタンス間のトラフィックトレンドをフィルタリングします。
date_format(from_unixtime(__time__ - __time__% 60), '%H:%i:%S') as time, -- UNIX タイムスタンプを読み取り可能な時間形式に変換します。
concat(srcaddr,'->', dstaddr) as src_to_dst, -- IP セッションペアを「ソース IP->送信先 IP」の形式で連結します。
sum(bytes*8/60) as bandwidth -- バイトをビットに変換し、1 分間のキャプチャウィンドウで除算します。
group by time,srcaddr,dstaddr -- 時間、ソース IP アドレス、送信先 IP アドレスごとにグループ化します。
order by time asc  -- 時間の昇順にソートします。
limit 100 -- 最初の 100 件の結果を表示します。

(srcaddr:10.0.* AND dstaddr:172.16.*) OR (srcaddr:172.16.* AND dstaddr:10.0.*)  | select -- 2 つの VPC 間のセッションをフィルタリングします。
date_format(from_unixtime(__time__ - __time__% 60), '%H:%i:%S') as time, -- UNIX タイムスタンプを読み取り可能な時間形式に変換します。
concat(srcaddr,'->', dstaddr) as src_to_dst, -- IP セッションペアを「ソース IP->送信先 IP」の形式で連結します。
sum(bytes*8/60) as bandwidth -- バイトをビットに変換し、1 分間のキャプチャウィンドウで除算します。
group by time,srcaddr,dstaddr -- 時間、ソース IP アドレス、送信先 IP アドレスごとにグループ化します。
order by time asc  -- 時間の昇順にソートします。
limit 100 -- 最初の 100 件の結果を表示します。

インターネット NAT ゲートウェイトラフィックを分析する

図に示すように、リージョンに複数の ECS インスタンスがあるとします。すべてのインスタンスは同じ vSwitch にデプロイされ、インターネット NAT ゲートウェイの SNAT 機能を介してインターネットにアクセスします。

インターネットへの NAT トラフィックの量が大幅に増加し、サーバーの応答が遅くなっていることに気付きました。この場合、フローログを使用して、トラフィックの大部分を生成している ECS インスタンスを特定できます。

1. フローログを作成する

   • [リソースインスタンス] で、インターネット NAT ゲートウェイの vSwitch である vSwitch 2 を選択します。

   • 配信設定で、[Simple Log Service に配信] と [ログ分析レポートを有効にする] を選択します。

   • その他のパラメーターはデフォルト値のままにします。

2. 特定のトラフィックパスをフィルタリングする方法

   このシナリオで特定のパス上のトラフィックをフィルタリングするには、クエリ文で異なる条件を指定する必要があります。

   図	番号	フィルタリング方法
   	①	ECS インスタンスから NAT ゲートウェイへのトラフィックをフィルタリングします。direction を in に、srcaddr を ECS インスタンスのプライベート IP アドレスに設定します。
   	②	NAT ゲートウェイからインターネットへのトラフィックをフィルタリングします。direction を out に、srcaddr を NAT ゲートウェイのプライベート IP アドレスに設定します。
   	③	インターネットから NAT ゲートウェイへのトラフィックをフィルタリングします。direction を in に、dstaddr を NAT ゲートウェイのプライベート IP アドレスに設定します。
   	④	NAT ゲートウェイから ECS インスタンスへのトラフィックをフィルタリングします。direction を out に、dstaddr を ECS インスタンスのプライベート IP アドレスに設定します。

3. フローログを分析する

   1. クエリおよび分析文

      ECS インスタンスから NAT ゲートウェイへのパスで、特定のパブリック IP アドレスへのトラフィックを分析します。

      direction: 'in' and srcaddr: 10.0.0.* and dstaddr: 120.26.XX.XX | select -- 特定のパブリック IP アドレスにアクセスする ECS インスタンスのログをフィルタリングします。
      date_format(from_unixtime(__time__ - __time__% 60), '%H:%i:%S') as time, srcaddr,  -- UNIX タイムスタンプを読み取り可能な時間形式に変換します。
      sum(bytes*8/60) as bandwidth  -- バイトをビットに変換し、1 分間のキャプチャウィンドウで除算します。
      group by time,srcaddr -- 時間とソース IP アドレスごとにグループ化します。
      order by time asc  -- 時間の昇順にソートします。
      limit 100 -- 最初の 100 件の結果を表示します。

      その他のよく使用される文

      • NAT ゲートウェイから ECS インスタンスへのパスで、特定のパブリック IP アドレスからすべての ECS インスタンスへのインバウンドトラフィックをフィルタリングします。

        direction: 'out' and dstaddr: 10.0.0.* and srcaddr: 120.26.XX.XX | select -- 特定のパブリック IP アドレスにアクセスする ECS インスタンスのログをフィルタリングします。
        date_format(from_unixtime(__time__ - __time__% 60), '%H:%i:%S') as time,   -- UNIX タイムスタンプを読み取り可能な時間形式に変換します。
        dstaddr,
        sum(bytes*8/60) as bandwidth  -- バイトをビットに変換し、1 分間のキャプチャウィンドウで除算します。
        group by time,dstaddr -- 時間と送信先 IP アドレスごとにグループ化します。
        order by time asc  -- 時間の昇順にソートします。
        limit 100 -- 最初の 100 件の結果を表示します。

      • ECS インスタンスから NAT ゲートウェイへのパスで、ECS インスタンスからすべてのパブリック IP アドレスへのアウトバウンドトラフィックをフィルタリングします。

        direction: 'in' and srcaddr: 10.0.0.*  | select -- すべてのパブリック IP アドレスにアクセスする ECS インスタンスのログをフィルタリングします。
        date_format(from_unixtime(__time__ - __time__% 60), '%H:%i:%S') as time,  -- UNIX タイムスタンプを読み取り可能な時間形式に変換します。
        concat(srcaddr,'->', dstaddr), -- IP セッションペアを「ソース IP->送信先 IP」の形式で連結します。
        sum(bytes*8/60) as bandwidth  -- バイトをビットに変換し、1 分間のキャプチャウィンドウで除算します。
        group by time,srcaddr,dstaddr -- 時間、ソース IP アドレス、送信先 IP アドレスごとにグループ化します。
        order by time asc  -- 時間の昇順にソートします。
        limit 100 -- 最初の 100 件の結果を表示します。

   2. プレビュー

      

      図に示すように、ECS インスタンスから NAT ゲートウェイへのパスで、10.0.0.1 (ECS1) からパブリック IP アドレス 120.26.XX.XX へのトラフィックレートが約 12 Kbps と最も高くなっています。

専用回線のトラフィック比率を分析する

図に示すように、企業は Alibaba Cloud リージョンで 2 つの VPC を使用して異なるサービスをデプロイしています。企業は、Express Connect 回線と CEN を使用して、オンプレミスデータセンターを Alibaba Cloud に接続しています。

IT 部門は、フローログを使用して、VPC 内のさまざまなサービスからのトラフィックが Express Connect 回線をどのように使用しているかを監視および分析することを計画しています。この分析は、ネットワークリソースの計画とパフォーマンスの向上に役立ちます。

1. フローログを作成する

   同じ Logstore にデータを送信する 2 つのフローログを作成します。各フローログの主な構成は次のとおりです。

   • [リソースインスタンス] で、[VPC] の下で、VPC1 と VPC2 を選択します。

   • [サンプリングパス] を [TR 経由のトラフィック] に設定します。

   • 配信設定で、[Simple Log Service に配信] を選択し、両方のフローログに同じ Logstore を選択し、[ログ分析レポートを有効にする] を選択します。

   • その他のパラメーターはデフォルト値のままにします。

2. フローログを分析する

   1. クエリおよび分析文

      さまざまな VPC からオンプレミスデータセンターに流れるトラフィックの比率を分析します。

      action: ACCEPT and srcaddr: 192.168.* and dstaddr:10.1.* | 
      WITH 
          vpc1_traffic AS (
              SELECT 
                  date_trunc('minute',__time__) AS minute,
                  SUM(bytes*8/(case WHEN "end"-start=0 THEN 1 else "end"-start end)) AS total_vpc1_traffic
              FROM 
                  log
              WHERE 
                  srcaddr LIKE '192.168.20.%'
              GROUP BY 
                  date_trunc('minute',__time__)
          ),
          vpc2_traffic AS (
              SELECT 
                  date_trunc('minute',__time__) AS minute,
                  SUM(bytes*8/(case WHEN "end"-start=0 THEN 1 else "end"-start end)) AS total_vpc2_traffic
              FROM 
                  log
              WHERE 
                  srcaddr LIKE '192.168.10.%'
              GROUP BY 
                  date_trunc('minute',__time__)
          )
      SELECT 
          COALESCE(vpc1_traffic.minute, vpc2_traffic.minute) AS minute,
          (COALESCE(vpc1_traffic.total_vpc1_traffic, 0) * 100/ NULLIF((COALESCE(vpc1_traffic.total_vpc1_traffic, 0) + COALESCE(vpc2_traffic.total_vpc2_traffic, 0)), 0)) AS vpc1_percentage, 
          (COALESCE(vpc2_traffic.total_vpc2_traffic, 0) * 100/ NULLIF((COALESCE(vpc1_traffic.total_vpc1_traffic, 0) + COALESCE(vpc2_traffic.total_vpc2_traffic, 0)), 0)) AS vpc2_percentage
      FROM vpc1_traffic FULL OUTER JOIN vpc2_traffic ON vpc1_traffic.minute = vpc2_traffic.minute 
      ORDER BY minute

      クリックして、SQL 文の詳細な説明を表示します。

      • フィルタ条件:

        • srcaddr: 192.168.* は、192.168.* で始まるソースアドレスからのログをフィルタリングします。

        • dstaddr: 10.1.* は、送信先アドレスが 10.1.* で始まるログをフィルタリングします。

        • action: ACCEPT は、action フィールドの値が ACCEPT であるログをフィルタリングします。

      • メインクエリ

        • FULL OUTER JOIN を使用して、vpc1_traffic と vpc2_traffic の結果を minute フィールドに基づいて結合します。

        • 分ごとの各 VPC のトラフィックの割合を計算します。

          • vpc1_percentage は、総トラフィックにおける VPC1 からのトラフィックの割合を表します。

          • vpc2_percentage は、総トラフィックにおける VPC2 からのトラフィックの割合を表します。

        • クエリ結果は、minute によって昇順にソートされます。

      • WITH サブクエリ:

        SQL 文には、vpc1_traffic と vpc2_traffic の 2 つのサブクエリが含まれています。vpc1_traffic サブクエリについて以下に説明します。

        • date_trunc 関数は、__time__ フィールドの UNIX タイムスタンプを分単位に切り捨て、結果は minute というエイリアスで呼ばれます。

        • SUM 関数を使用して、1 分間の合計トラフィックレートを bit/s 単位で計算し、結果は total_vpc1_traffic という名前が付けられます。

        • ソースアドレスが 192.168.20.* のトラフィックレコードをフィルタリングします。これは VPC1 の CIDR ブロックです。

        • 結果を分単位でグループ化します。

   2. プレビュー

      

      図に示すように、14:50 から 15:50 までの期間では、VPC1 からオンプレミスデータセンターに流れるトラフィックの比率が高くなっています。