Server Load Balancer:access log

Visão geral

Pré-requisitos

• Você já criou uma instância do CLB.

• Você já criou um grupo vServer, adicionou servidores de backend ao grupo vServer e implantou aplicações nesses servidores.

• Você configurou um listener HTTP ou um listener HTTPS para a instância do CLB.

• Você ativou o Simple Log Service.

Configurar logs de acesso

1. Faça login no console do CLB.

2. No painel de navegação à esquerda, escolha Logs > Access Log.

3. Na barra de navegação superior, selecione a região onde a instância do CLB está implantada.

4. Se esta for a primeira vez que você usa o recurso, clique em Authorize. Na página Authorize Access to Cloud Resources, clique em Confirm.

   Nota

   Essa autorização precisa ser feita apenas uma vez.

   Se você for um usuário RAM, a conta primária da Alibaba Cloud deve primeiro conceder as permissões necessárias. Para mais informações, consulte Authorize a RAM user to use the access log feature of CLB.

5. Na página Access Log (Layer 7), localize a instância do CLB desejada e clique em Configure na coluna Actions.

6. No painel Log Settings, defina o Project e o Logstore e clique em OK.

   • Project: Um Project é uma unidade de gerenciamento de recursos no SLS usada para isolamento e controle de recursos. Recomendamos usar Projects diferentes para aplicações distintas.

   • Logstore: Um Logstore é a unidade para coleta, armazenamento e consulta de dados de log no SLS. Recomendamos criar Logstores separados para diferentes tipos de logs dentro da mesma aplicação.

     • Select Logstore: Essa opção ativa um painel de análise predefinido para o Logstore selecionado por padrão. Se já houver um índice configurado para o Logstore, a configuração existente será substituída.

   Nota

   • Certifique-se de que o Project esteja na mesma região da instância do CLB e que seu nome seja globalmente único.

   • Após a configuração, o Project e o Logstore do SLS podem levar alguns minutos para aparecer no console do SLS. Os dados de log não são perdidos durante esse período. Se eles ainda não estiverem visíveis, atualize a página mais tarde.

   Depois de configurar o registro de logs de acesso para o balanceador de carga, consulte e recupere informações de log usando os seguintes campos no SLS.

   Parâmetro	Descrição
   body_bytes_sent	Tamanho do corpo HTTP enviado ao cliente, em bytes.
   client_ip	Endereço IP do cliente.
   client_port	Porta do cliente que enviou a solicitação.
   host	O host é obtido da primeira source disponível na seguinte ordem: parâmetros da solicitação, cabeçalho Host e endereço IP do servidor de backend que processa a solicitação.
   http_host	Conteúdo do cabeçalho Host na solicitação.
   http_referer	Cabeçalho Referer da solicitação HTTP.
   http_user_agent	Cabeçalho User-Agent da solicitação HTTP.
   http_x_forwarded_for	Cabeçalho X-Forwarded-For da solicitação HTTP.
   http_x_real_ip	Cabeçalho X-Real-IP da solicitação HTTP.
   read_request_time	Tempo que o balanceador de carga leva para ler a solicitação. Unidade: milissegundos.
   request_length	Comprimento da solicitação, incluindo a linha inicial, o cabeçalho HTTP e o corpo HTTP.
   request_method	Método da solicitação.
   request_time	Tempo decorrido desde o recebimento do primeiro byte da solicitação pelo balanceador de carga até o envio do último byte da resposta. Unidade: segundos.
   request_uri	URI da solicitação recebida pelo balanceador de carga.
   scheme	Esquema da solicitação. Valores válidos: http e https.
   server_protocol	Versão HTTP da solicitação recebida pelo balanceador de carga, como HTTP/1.0 ou HTTP/1.1.
   slb_vport	Porta do listener do balanceador de carga.
   slbid	ID da instância do balanceador de carga.
   ssl_cipher	Suíte de cifras usada para estabelecer a conexão SSL, como ECDHE-RSA-AES128-GCM-SHA256.
   ssl_protocol	Protocolo usado para estabelecer a conexão SSL, como TLSv1.2.
   status	Código de status na resposta do balanceador de carga.
   tcpinfo_rtt	Tempo de ida e volta (RTT) da conexão TCP do cliente. Unidade: microssegundos.
   time	Horário em que a entrada de log foi registrada.
   upstream_addr	Endereço IP e porta do servidor de backend.
   upstream_response_time	Tempo decorrido desde o estabelecimento da conexão com um servidor de backend até o fechamento da conexão após o recebimento da resposta. Unidade: segundos.
   upstream_status	Código de status da resposta que o balanceador de carga recebe do servidor de backend.
   vip_addr	Endereço IP virtual (VIP).
   write_response_time	Tempo que o balanceador de carga leva para gravar uma resposta. Unidade: milissegundos.

Notas de uso

client_ip e http_x_forwarded_for

Ao analisar origens de solicitações nos logs de acesso do SLS, esses dois campos têm significados diferentes:

• client_ip: Endereço IP de origem que estabeleceu a conexão com o CLB, conforme observado pelo CLB na camada de rede. Se não houver proxy à frente do cliente, este é o verdadeiro endereço IP do cliente. Se o cliente estiver atrás de um proxy, este é o endereço IP de saída do proxy mais próximo.

• http_x_forwarded_for: Valor original do cabeçalho X-Forwarded-For na solicitação de entrada recebida pelo CLB. Esse valor é gravado pelo cliente ou por um proxy upstream, pode ser falsificado e serve apenas como referência.

Para analisar origens de solicitações nos logs de acesso, use client_ip.

Identificar qual regra de encaminhamento processou uma solicitação

Os logs de acesso não registram IDs de grupos de servidores nem nomes de regras de encaminhamento de tráfego. Para determinar qual regra de encaminhamento processou uma solicitação específica, correlacione os valores request_uri e http_host no log com as regras de encaminhamento configuradas no console do CLB. Com base nisso, verifique se uma regra de encaminhamento está funcionando conforme o esperado:

• Identificar regras de encaminhamento inativas: Consulte quantas vezes uma regra de encaminhamento foi correspondida em um intervalo de tempo específico combinando slbid, request_uri e um intervalo de tempo. Se o resultado for 0, a regra não correspondeu a nenhuma solicitação durante esse período. Avalie se deve removê-la com base nas necessidades do seu negócio.

  slbid: <instance-ID> and request_uri: <forwarding-rule-path> | select count(*) as hit_count

• Verificar se o encaminhamento corresponde às expectativas: Compare o valor upstream_addr (endereço IP e porta do servidor de backend para o qual a solicitação foi realmente encaminhada) no log com os membros do grupo de servidores do listener correspondente no console do CLB, para confirmar que as solicitações estão sendo encaminhadas aos servidores de backend pretendidos.

Interceptação por política TLS

Conexões bloqueadas por uma política de segurança TLS não concluem o handshake TLS e, portanto, não geram entradas de log de acesso. Os logs de acesso registram apenas solicitações que estabelecem conexão com sucesso com o CLB.

Consultar logs de acesso

Após configurar o recurso de logs de acesso, consulte os logs no console do SLS.

1. Faça login no console do CLB.

2. No painel de navegação à esquerda, escolha Logs > Access Log.

3. Na barra de navegação superior, selecione a região onde a instância do CLB está implantada.

4. Na página Access Log (Layer 7), localize a instância desejada e clique em View Logs na coluna Actions. Você será redirecionado para o console do SLS.

5. Após configurar o SLS, visualize as entradas de log de qualquer cliente que tenha acessado a instância do CLB.

6. Insira uma instrução SQL para consultar logs de acesso específicos.

   Por exemplo, execute a seguinte instrução SQL para encontrar os 20 principais clientes. Os resultados ajudam a analisar as origens de tráfego e fundamentar decisões de negócios.

   * | select http_user_agent, count(*) as pv group by http_user_agent order by pv desc limit 20

   Como outro exemplo, execute a seguinte instrução SQL para consultar solicitações de acesso de um intervalo de endereços IP específico, filtrando logs por endereço IP de origem e código de status de resposta.

   * | select * where client_ip like '172.17.%' and status=200

   Filtragem de logs quando várias instâncias do CLB compartilham um Logstore

   Se várias instâncias do CLB compartilharem o mesmo Logstore do SLS, consultas que filtrem apenas por domínio ou porta podem retornar resultados incompletos ou enganosos. Para restringir os logs a uma instância e listener específicos do CLB, combine os campos slbid (ID da instância) e slb_vport (porta do listener) na sua consulta.

   Por exemplo, para consultar erros 5xx de uma instância e porta de listener específicas, execute a seguinte instrução SQL:

   slbid: <instance-ID> and slb_vport: <port> and status: 5*

   Se sua consulta não retornar resultados, verifique o seguinte:

   • O valor slbid deve corresponder exatamente ao ID da instância exibido no console do CLB (não ao nome da instância).

   • O valor slb_vport deve corresponder ao número da porta do listener (por exemplo, 80 ou 443).

   • Amplie o intervalo de tempo da consulta, pois as entradas de log podem ser gravadas com um pequeno atraso.

   Nota

   Observe o seguinte sobre o comportamento de atualização de logs e entradas com o mesmo timestamp:

   • Comportamento de atualização de logs: As estatísticas de índice de campo no SLS são atualizadas em tempo real conforme as entradas de log são gravadas. Não há intervalo fixo de atualização. Se você alterar o intervalo de tempo da consulta no console, clique no botão de consulta para recarregar os resultados.

   • Várias entradas com o mesmo timestamp: Se você vir várias entradas de log que compartilham o mesmo valor time, esse é um comportamento esperado e indica que o cliente enviou várias solicitações dentro do mesmo segundo. Esse é um padrão normal para clientes de alta frequência e não indica erro do sistema. Se determinar que as solicitações repetidas são anormais, configure uma política de controle de acesso para restringir o endereço IP de origem.

Analisar logs de acesso

Use painéis no SLS para analisar logs de acesso. Os painéis oferecem visualizações ricas de dados e insights valiosos.

1. Na página do SLS, clique no ícone no painel de navegação à esquerda e clique em Dashboard.

2. Clique no nome do painel correspondente aos logs de acesso da sua instância do CLB, como slb_layer7_access_center_en, para visualizar o relatório de análise.

slbid: <instance-ID> and slb_vport: <port> | select count(*) as total_requests

* | select http_host, sum(request_length) as total_bytes, round(sum(request_length) * 100.0 / sum(sum(request_length)) over(), 2) as traffic_pct group by http_host order by total_bytes desc

* | select upstream_addr, count(*) as request_count, sum(request_length) as total_bytes group by upstream_addr order by request_count desc limit 20

Identificar solicitações anormais

Os logs de acesso do CLB registram todas as solicitações externas que passam pela instância do balanceador de carga. Se encontrar solicitações de origens desconhecidas nos logs, use os seguintes campos principais para determinar se são solicitações externas anormais e tomar as medidas de proteção adequadas.

* | select client_ip, request_method, request_uri, count(*) as cnt group by client_ip, request_method, request_uri order by cnt desc limit 50

Desativar logs de acesso

Desative o recurso de logs de acesso para interromper a coleta de logs de acesso do CLB.

1. Faça login no console do CLB.

2. No painel de navegação à esquerda, escolha Logs > Access Log.

3. Na barra de navegação superior, selecione a região onde a instância do CLB está implantada.

4. Na página Access Log (Layer 7), localize a instância desejada e clique em Disable Logging na coluna Actions.

5. Na caixa de diálogo exibida, clique em OK para desativar o registro de logs de acesso da instância.

Documentos relacionados

• Para saber mais sobre o Simple Log Service, consulte What is Simple Log Service?.

• Se suspeitar que um servidor de backend está com problema de saúde ao usar balanceamento de carga da camada 7, consulte Use CLB access logs to quickly locate an unhealthy backend server.

Perguntas frequentes