Analyze Smart Access Gateway traffic with Log Service - Smart Access Gateway

Simple Log Service'i kullanarak bir Smart Access Gateway (SAG) örneğinden gelen trafiği sorgulayabilir ve analiz edebilirsiniz. Bu sayede trafik dağılımını anlayabilir ve ağ sorunlarını giderebilirsiniz.

Ön koşullar

Simple Log Service'te bir proje ve bir logstore oluşturmuş olmanız gerekir. Daha fazla bilgi için bkz. Simple Log Service hızlı başlangıç kılavuzu.
SAG cihazınızın Alibaba Cloud'a bağlı olması gerekir. Daha fazla bilgi için bkz. Statik yönlendirme kullanarak bir SAG cihazını Alibaba Cloud'a bağlama.
SAG cihaz modelinizin SAG-1000 olduğundan emin olun.

Arka plan

Smart Access Gateway (SAG), akış günlüğü özelliğini destekler. Akış günlüğü, SAG örneklerinizden geçen IP trafik bilgilerini yakalar ve bu verileri Alibaba Cloud Simple Log Service'te veya bir NetFlow toplayıcısında depolar. Aşağıdaki yordamda, bu trafiği depolamak, sorgulamak ve analiz etmek için Simple Log Service'in nasıl kullanılacağı açıklanmaktadır.

1. Adım: Verileri alın

Trafiği sorgulamak ve analiz etmek için öncelikle SAG örneğinizden gelen trafik bilgilerini belirtilen bir projede ve logstore'da kaydetmeniz gerekir.

Bir akış günlüğü oluşturun.

Trafik bilgilerini belirli bir projede ve logstore'da depolamak için SAG konsolunda bir akış günlüğü oluşturun.
1. SAG konsoluna giriş yapın.
2. Sol gezinme bölmesinde Flow Log seçeneğine tıklayın.
3. Flow Log sayfasında Create Flow Log seçeneğine tıklayın.
4. Create Flow Log panelinde aşağıdaki parametreleri yapılandırın ve ardından OK seçeneğine tıklayın.
  - Name: Akış günlüğü için bir ad girin.
  - Output Interval Under Active Connections: Aktif ağ bağlantıları için günlük verilerinin çıkarılacağı aralığı belirtin. Varsayılan değer 300 saniyedir. Değer 60 ile 6.000 saniye arasında olmalıdır.
  - Output Interval Under Inactive Connections: Pasif ağ bağlantıları için günlük verilerinin çıkarılacağı aralığı belirtin. Varsayılan değer 15 saniyedir. Değer 10 ile 600 saniye arasında olmalıdır.
  - Deliver Flow Log Data To: Günlükler için bir depolama türü seçin. Bu konu için SLS seçeneğini belirleyin.
    - Günlük verilerini Simple Log Service'te depolamak için SLS seçeneğini belirleyin.
    - Günlük verilerini NetFlow toplayıcınızda depolamak için NetFlow seçeneğini belirleyin.
    - Günlük verilerini hem Simple Log Service'te hem de NetFlow toplayıcınızda depolamak için ALL seçeneğini belirleyin.
  - SLS Region: Simple Log Service'in dağıtıldığı bölgeyi seçin.
  - SLS Project: Akış günlüğü verilerini depolamak için kullanılan logstore'u içeren projeyi seçin.
  - SLS Logstore: Akış günlüğü verilerini depolayacak logstore'u seçin.
  Parametreler hakkında daha fazla bilgi için bkz. Akış günlüğü oluşturma.
Akış günlüğünü bir SAG örneğiyle ilişkilendirin.

Akış günlüğünü oluşturduktan sonra bunu bir SAG örneğiyle ilişkilendirin. Böylece trafik bilgileri, sorgulama ve analiz için belirtilen proje ve logstore'da depolanır.
1. Flow Log sayfasında oluşturduğunuz akış günlüğünü bulun ve ID'sine tıklayın.
2. Akış günlüğünün ayrıntılar sayfasında Add Instance seçeneğine tıklayın.
3. Add Instance panelinde hedef SAG örneğini seçin ve ardından Save seçeneğine tıklayın.

2. Adım: Trafiği sorgulayın ve analiz edin

Akış günlüğünü yapılandırdıktan sonra Simple Log Service konsolunda toplanan SAG trafiğini sorgulayabilir ve analiz edebilirsiniz.

Simple Log Service konsoluna giriş yapın.
Projects bölümünde hedef projeye tıklayın.
Log Storage > Logstore Name sekmesinde hedef logstore'a tıklayın.
Dizinlemeyi etkinleştirin. Daha fazla bilgi için bkz. Dizini etkinleştirme ve yapılandırma.

Dizin, bir veya daha fazla sütundaki verileri sıralayan bir depolama yapısıdır. Günlükleri sorgulamadan ve analiz etmeden önce bir dizin yapılandırmanız gerekir. Bu örnekte alan dizinlemesini etkinleştirin ve istatistik özelliğini açın. Field Search bölümünde aşağıdaki alanlar için alan dizinlemesini yapılandırın: ali_uid (long türü), bytes, dstaddr, dstport, instance_id, packets, protocol, snid, srcaddr, srcport, tos (text türü), end, start (double türü) ve tcp-flags (text türü). Text türündeki alanlar için ayraç olarak ,";=()[]{}?@&<>/:\n kullanın. ali_uid, bytes, dstaddr, dstport, packets, protocol, srcaddr, srcport ve tos alanları için istatistikleri etkinleştirin.

Not
Alan dizinlemesini yapılandırırken veri analizi ve istatistikleri etkinleştirmek için bytes alanının TEXT türünde olduğundan emin olun.
Dizinlemeyi etkinleştirdikten sonra verileri sorgulayabilir ve analiz edebilirsiniz. Aşağıdaki örnek, en iyi 10 5-tuple'ın nasıl sorgulanacağını gösterir.
1. Arama kutusuna bir sorgu ifadesi girin.
  5-tuple trafiğine karşılık gelen alanlar srcaddr, srcport, dstaddr, dstport ve protocol alanlarıdır.
```
* | select srcaddr,srcport,dstaddr,dstport,protocol,count(*) as num,sum(bytes) as bytes
from (select CASE
WHEN strpos(bytes, 'M') != 0 then
(CAST(replace(bytes,'M') AS double)*1024*1024)
WHEN strpos(bytes, 'K') != 0 then
(CAST(replace(bytes,'K') AS double)*1024)
else CAST(bytes AS double) end
as bytes,srcaddr,srcport,dstaddr,dstport,protocol from log limit 100000)
GROUP BY srcaddr,dstaddr,srcport,dstport,protocol ORDER BY bytes DESC limit 10
                                
```
  Sistem varsayılan olarak son 15 dakikadaki verileri arar. Sorgunuz için özel bir zaman aralığı belirtebilirsiniz. Önceki SQL ifadesini sorgu düzenleyicisine girin, zaman aralığını 15 Minutes (Relative) olarak ayarlayın ve sorguyu çalıştırmak için Search & Analyze seçeneğine tıklayın.
  
  Not
  Sorgu ifadesi yazarken alanların günlüklerinizdeki alanlarla tutarlı olduğundan emin olun. Bu konudaki alanlar yalnızca referans amaçlıdır. Sorgu ifadeleri hakkında daha fazla bilgi için bkz. Sorguya genel bakış.
2. Search & Analyze seçeneğine tıklayın.
  
  Konsol Graph sekmesini açar ve en iyi 10 5-tuple için istatistikleri bir tabloda görüntüler. Verileri görselleştirmek için diğer grafik türlerini seçebilirsiniz. Daha fazla bilgi için bkz. Grafiğe genel bakış.
  
  Bu örnekte istatistiksel verileri sunmak için bir pasta grafiği kullanılır.
3. Graph sekmesinde grafiği özelleştirmek için pasta grafiği özelliklerini ayarlayın.
  Aşağıdaki iki özelliği ayarlayın. Diğer özellikler için varsayılan değerler kullanılır. Daha fazla bilgi için bkz. Pasta grafikleri.
  - Category: Veri kategorisi.
    
    Bu örnekte veriler srcaddr, srcport, dstaddr, dstport ve protocol alanlarına göre kategorilere ayrılır. Bir kayıt yalnızca trafiğin beş alanı da eşleştiğinde sayılır.
  - Value Column: Kategorize edilmiş verilere karşılık gelen sayısal değer.
    
    Bu örnekte bytes alanı değer sütunu olarak kullanılır.
İsteğe bağlı: En iyi 10 3-tuple bilgisini ve en iyi 10 kaynak-hedef IP adresi bilgisini sorgulamak için önceki işlemleri uygulayabilirsiniz.
- En iyi 10 3-tuple bilgisini sorgulama
  - Sorgu alanları: srcaddr, dstaddr ve protocol.
  - Sorgu ifadesi:
    * | select srcaddr,dstaddr,protocol,count(*) as num,sum(bytes) as bytes from (select CASE WHEN strpos(bytes, 'M') != 0 then (CAST(replace(bytes,'M') AS double)*1024*1024) WHEN strpos(bytes, 'K') != 0 then (CAST(replace(bytes,'K') AS double)*1024) else CAST(bytes AS double) end as bytes, srcaddr,dstaddr,protocol from log limit 100000) GROUP BY srcaddr,dstaddr,protocol ORDER BY bytes DESC limit 10
  - Sorgu sonucu: Graph sekmesini seçin. Sağ taraftaki Properties bölmesinde Chart Type öğesini Pie Chart olarak ayarlayın, Category için srcaddr, dstaddr ve protocol seçeneklerini belirleyin ve Value Column için bytes seçeneğini belirleyin. Show Legend seçeneğini açın ve Legend Position öğesini Right olarak ayarlayın. Biçimlendirme için K,Mil,Bil seçeneğini belirleyin. Scale Label Format için Percentage seçeneğini belirleyin. Sol taraftaki önizleme alanında kaynak adresi, hedef adresi ve protokole göre trafik dağılımını gösteren bir pasta grafiği ve bir veri önizleme tablosu görüntülenir.
- En iyi 10 kaynak-hedef IP adresi bilgisini sorgulama
  - Sorgu alanları: srcaddr ve dstaddr.
  - Sorgu ifadesi:
    * | select srcaddr,dstaddr,count(*) as num,sum(bytes) as bytes from (select CASE WHEN strpos(bytes, 'M') != 0 then (CAST(replace(bytes,'M') AS double)*1024*1024) WHEN strpos(bytes, 'K') != 0 then (CAST(replace(bytes,'K') AS double)*1024) else CAST(bytes AS double) end as bytes, srcaddr,dstaddr from log limit 100000) GROUP BY srcaddr,dstaddr ORDER BY bytes DESC limit 10
  - Sorgu sonucu: Sorgu ifadesini çalıştırdıktan sonra Graph sekmesine tıklayın. Sağ taraftaki Properties bölmesinde Chart Type öğesini Pie Chart olarak ayarlayın. Category için srcaddr ve dstaddr seçeneklerini belirleyin. Value Column için bytes seçeneğini belirleyin. Pasta grafiği, kaynak ve hedef adrese göre trafik hacminin oranını gösterir. Grafiği kaydetmek için Add to Dashboard seçeneğine tıklayabilirsiniz.

3. Adım: (İsteğe bağlı) Bir grafiği panoya ekleyin

Sorgulama ve analiz sonuçlarını tekrar tekrar görüntülemek üzere bir panoda grafik olarak kaydedebilirsiniz.

Pasta grafiğinin sağ üst köşesinde Add to Dashboard seçeneğine tıklayın.
Add to Dashboard iletişim kutusunda aşağıdaki parametreleri yapılandırın ve ardından OK seçeneğine tıklayın.
- Operation: Create Dashboard seçeneğini belirleyin.
- Dashboard Name: Pano için bir ad girin, örneğin 5-tuple istatistikleri.
- Chart Name: Grafik için bir ad girin, örneğin 5-tuple pasta grafiği istatistikleri.
Daha fazla bilgi için bkz. Grafiği panoya ekleme.
Sol gezinme bölmesinde Dashboard seçeneğine tıklayın.
Panoyu görüntülemek için oluşturduğunuz panonun adına tıklayın.

Panoda farklı dönemlere ait sorgulama ve analiz sonuçlarını görüntülemek için Time Range seçeneğine tıklayın. Daha fazla bilgi için bkz. Görüntüleme modu. Bu panoda 5-tuple pie chart statistics grafiği görüntülenir. İstatistikler için zaman aralığını değiştirmek üzere Time Range düğmesini kullanabilirsiniz.