Analyze Smart Access Gateway traffic with Log Service - Smart Access Gateway: Central de Documentação do Alibaba Cloud

O Simple Log Service permite consultar e analisar o tráfego de uma instância do Smart Access Gateway (SAG), facilitando o entendimento da distribuição de tráfego e a solução de problemas de rede.

Pré-requisitos

Crie um projeto e um logstore no Simple Log Service. Para mais informações, consulte Guia de início rápido do Simple Log Service.
Conecte seu dispositivo SAG à Alibaba Cloud. Para mais informações, consulte Conectar um dispositivo SAG à Alibaba Cloud usando roteamento estático.
Verifique se o modelo do seu dispositivo SAG é SAG-1000.

Contexto

O Smart Access Gateway (SAG) oferece suporte ao recurso de flow log. Um flow log captura informações de tráfego IP que passam pelas suas instâncias do SAG e armazena os dados no Simple Log Service da Alibaba Cloud ou em um coletor NetFlow. O procedimento a seguir descreve como usar o Simple Log Service para armazenar, consultar e analisar esse tráfego.

Etapa 1: Ingerir dados

Para consultar e analisar o tráfego, registre primeiro as informações de tráfego da sua instância do SAG em um projeto e logstore específicos.

Crie um flow log.

Crie um flow log no console do SAG para armazenar informações de tráfego em um projeto e logstore específicos.
1. Faça login no console do SAG.
2. No painel de navegação à esquerda, clique em Flow Log.
3. Na página Flow Log, clique em Create Flow Log.
4. No painel Create Flow Log, configure os parâmetros a seguir e clique em OK.
  - Name: insira um nome para o flow log.
  - Output Interval Under Active Connections: especifique o intervalo para saída de dados de log em conexões de rede ativas. O valor padrão é 300 segundos. O valor deve estar entre 60 e 6.000 segundos.
  - Output Interval Under Inactive Connections: especifique o intervalo para saída de dados de log em conexões de rede inativas. O valor padrão é 15 segundos. O valor deve estar entre 10 e 600 segundos.
  - Deliver Flow Log Data To: selecione um tipo de armazenamento para os logs. Para este tópico, selecione SLS.
    - Para armazenar os dados de log no Simple Log Service, selecione SLS.
    - Para armazenar os dados de log no seu coletor NetFlow, selecione NetFlow.
    - Para armazenar os dados de log tanto no Simple Log Service quanto no seu coletor NetFlow, selecione ALL.
  - SLS Region: selecione a região onde o Simple Log Service está implantado.
  - SLS Project: selecione o projeto que contém o logstore usado para armazenar dados de flow log.
  - SLS Logstore: selecione o logstore para armazenar dados de flow log.
  Para mais informações sobre os parâmetros, consulte Criar um flow log.
Associe o flow log a uma instância do SAG.

Após criar o flow log, associe-o a uma instância do SAG para que as informações de tráfego sejam armazenadas no projeto e logstore especificados, permitindo consulta e análise.
1. Na página Flow Log, localize o flow log criado e clique no respectivo ID.
2. Na página de detalhes do flow log, clique em Add Instance.
3. No painel Add Instance, selecione a instância do SAG desejada e clique em Save.

Etapa 2: Consultar e analisar o tráfego

Após configurar o flow log, consulte e analise o tráfego coletado do SAG no console do Simple Log Service.

Faça login no console do Simple Log Service.
Na seção Projects, clique no projeto desejado.
Na aba Log Storage > Logstore Name, clique no logstore desejado.
Ative a indexação. Para mais informações, consulte Ativar e configurar um índice.

Um índice é uma estrutura de armazenamento que organiza dados de uma ou mais colunas. É necessário configurar um índice antes de consultar e analisar logs. Neste exemplo, ative a indexação de campos e ative o recurso de estatísticas. Na seção Field Search, configure a indexação de campos para os seguintes campos: ali_uid (tipo long), bytes, dstaddr, dstport, instance_id, packets, protocol, snid, srcaddr, srcport, tos (tipo text), end, start (tipo double) e tcp-flags (tipo text). Para campos do tipo text, use ,";=()[]{}?@&<>/:\n como delimitadores. Para os campos ali_uid, bytes, dstaddr, dstport, packets, protocol, srcaddr, srcport e tos, ative as estatísticas.

Nota
Ao configurar a indexação de campos, certifique-se de que o campo bytes seja do tipo TEXT para permitir análise de dados e estatísticas.
Após ativar a indexação, consulte e analise os dados. O exemplo a seguir mostra como consultar os 10 principais 5-tuples.
1. Na caixa de pesquisa, insira uma instrução de consulta.
  Os campos correspondentes ao tráfego 5-tuple são srcaddr, srcport, dstaddr, dstport e protocol.
```
* | select srcaddr,srcport,dstaddr,dstport,protocol,count(*) as num,sum(bytes) as bytes
from (select CASE
WHEN strpos(bytes, 'M') != 0 then
(CAST(replace(bytes,'M') AS double)*1024*1024)
WHEN strpos(bytes, 'K') != 0 then
(CAST(replace(bytes,'K') AS double)*1024)
else CAST(bytes AS double) end
as bytes,srcaddr,srcport,dstaddr,dstport,protocol from log limit 100000)
GROUP BY srcaddr,dstaddr,srcport,dstport,protocol ORDER BY bytes DESC limit 10
                                
```
  Por padrão, o sistema busca dados dos últimos 15 minutos. Especifique um intervalo de tempo personalizado para sua consulta. Insira a instrução SQL anterior no editor de consultas, defina o intervalo de tempo como 15 Minutes (Relative) e clique em Search & Analyze para executar a consulta.
  
  Nota
  Ao escrever uma instrução de consulta, garanta que os campos sejam consistentes com os dos seus logs. Os campos usados neste tópico servem apenas como referência. Para mais informações sobre instruções de consulta, consulte Visão geral de consultas.
2. Clique em Search & Analyze.
  
  O console abre a aba Graph e exibe as estatísticas dos 10 principais 5-tuples em uma tabela. Selecione outros tipos de gráfico para visualizar os dados. Para mais informações, consulte Visão geral de gráficos.
  
  Este exemplo usa um gráfico de pizza para apresentar os dados estatísticos.
3. Na aba Graph, ajuste as propriedades do gráfico de pizza para personalizar o gráfico.
  Ajuste as duas propriedades a seguir. Valores padrão são usados para as demais propriedades. Para mais informações, consulte Gráficos de pizza.
  - Category: a categoria dos dados.
    
    Neste exemplo, os dados são categorizados pelos campos srcaddr, srcport, dstaddr, dstport e protocol. Um registro só é contabilizado quando todos os cinco campos do tráfego correspondem.
  - Value Column: o valor numérico correspondente aos dados categorizados.
    
    Neste exemplo, o campo bytes é usado como coluna de valor.
Opcional: Execute as operações anteriores para consultar as 10 principais informações de 3-tuple e as 10 principais informações de endereços IP de origem e destino.
- Consultar as 10 principais informações de 3-tuple
  - Campos de consulta: srcaddr, dstaddr e protocol.
  - Instrução de consulta:
    * | select srcaddr,dstaddr,protocol,count(*) as num,sum(bytes) as bytes from (select CASE WHEN strpos(bytes, 'M') != 0 then (CAST(replace(bytes,'M') AS double)*1024*1024) WHEN strpos(bytes, 'K') != 0 then (CAST(replace(bytes,'K') AS double)*1024) else CAST(bytes AS double) end as bytes, srcaddr,dstaddr,protocol from log limit 100000) GROUP BY srcaddr,dstaddr,protocol ORDER BY bytes DESC limit 10
  - Resultado da consulta: selecione a aba Graph. No painel Properties à direita, defina Chart Type como Pie Chart, selecione srcaddr, dstaddr e protocol para Category e selecione bytes para Value Column. Ative Show Legend e defina Legend Position como Right. Para formatação, selecione K,Mil,Bil. Para Scale Label Format, selecione Percentage. A área de visualização à esquerda exibe um gráfico de pizza da distribuição de tráfego por endereço de origem, endereço de destino e protocolo, juntamente com uma tabela de visualização de dados.
- Consultar as 10 principais informações de endereços IP de origem e destino
  - Campos de consulta: srcaddr e dstaddr.
  - Instrução de consulta:
    * | select srcaddr,dstaddr,count(*) as num,sum(bytes) as bytes from (select CASE WHEN strpos(bytes, 'M') != 0 then (CAST(replace(bytes,'M') AS double)*1024*1024) WHEN strpos(bytes, 'K') != 0 then (CAST(replace(bytes,'K') AS double)*1024) else CAST(bytes AS double) end as bytes, srcaddr,dstaddr from log limit 100000) GROUP BY srcaddr,dstaddr ORDER BY bytes DESC limit 10
  - Resultado da consulta: após executar a instrução de consulta, clique na aba Graph. No painel Properties à direita, defina Chart Type como Pie Chart. Para Category, selecione srcaddr e dstaddr. Para Value Column, selecione bytes. O gráfico de pizza mostra a proporção do volume de tráfego por endereço de origem e destino. Clique em Add to Dashboard para salvar o gráfico.

Etapa 3: (Opcional) Adicionar um gráfico a um painel

Salve os resultados de consulta e análise como gráficos em um painel para visualização recorrente.

No canto superior direito do gráfico de pizza, clique em Add to Dashboard.
Na caixa de diálogo Add to Dashboard, configure os parâmetros a seguir e clique em OK.
- Operation: selecione Create Dashboard.
- Dashboard Name: insira um nome para o painel, como estatísticas de 5-tuple.
- Chart Name: insira um nome para o gráfico, como estatísticas de gráfico de pizza de 5-tuple.
Para mais informações, consulte Adicionar um gráfico a um painel.
No painel de navegação à esquerda, clique em Dashboard.
Clique no nome do painel criado para visualizá-lo.

No painel, clique em Time Range para visualizar resultados de consulta e análise de diferentes períodos. Para mais informações, consulte Modo de exibição. O gráfico estatísticas de gráfico de pizza de 5-tuple é exibido neste painel. Use o botão Time Range para alterar o intervalo de tempo das estatísticas.