Virtual Private Cloud:フローログ

コンソール

API

フローログを作成する前に、フローログ機能を有効にし、SLS でプロジェクトと Logstore を作成していることを確認してください。

• OpenFlowLogService を呼び出してフローログ機能を有効にします。

• CreateProject を呼び出してプロジェクトを作成し、CreateLogStore を呼び出して Logstore を作成します。

これらの前提条件を満たした後、次の操作を実行できます。

• CreateFlowLog を呼び出してフローログを作成し、オプションで CreateIndex を呼び出してインデックスを作成します。

• DeactiveFlowLog を呼び出してフローログを停止します。

• ActiveFlowLog を呼び出してフローログを開始します。

• DeleteFlowLog を呼び出してフローログを削除します。

Terraform

リソース：alicloud_log_project、alicloud_log_store、alicloud_vpc_flow_log

# フローログを作成するリージョンを指定します。
provider "alicloud" {
  region = "cn-hangzhou"
}

# プロジェクトの説明、Logstore とフローログの名前を指定します。
variable "name" {
  default = "vpc-flowlog-example"
}

# プロジェクト名を作成するために乱数を生成します。
resource "random_uuid" "example" {
}

# Simple Log Service プロジェクトを作成します。
resource "alicloud_log_project" "example" {
  project_name = substr("tf-example-${replace(random_uuid.example.result, "-", "")}", 0, 16)
  description  = var.name
}

# Simple Log Service Logstore を作成します。
resource "alicloud_log_store" "example" {
  project_name          = alicloud_log_project.example.project_name
  logstore_name         = var.name
  shard_count           = 3
  auto_split            = true
  max_split_shard_count = 60
  append_meta           = true
}

# VPC フローログを作成します。
resource "alicloud_vpc_flow_log" "example" {
  flow_log_name        = var.name
  log_store_name       = alicloud_log_store.example.logstore_name
  description          = var.name
  traffic_path         = ["all"] # すべてのシナリオからトラフィックを収集します。
  project_name         = alicloud_log_project.example.project_name
  resource_type        = "VPC" # リソースタイプは VPC です。
  resource_id          = "vpc-bp1ekmgzch0bo3hxXXXXXX" # VPC の ID です。
  aggregation_interval = "1" # キャプチャウィンドウは 1 分です。
  traffic_type         = "All" # アクセス制御によって許可または拒否されたかに関わらず、すべてのトラフィックを収集します。
}

コンソール

API

GetLogsV2 を呼び出して、フローログをクエリおよび分析します。

送信元 IP

図に示すように、ポート 80 を介してインターネットからアクセス可能な Web サーバーを作成し、セキュリティグループルールを使用して送信元 IP からのアクセスを制限したとします。

フローログを作成して、ポート 80 にアクセスする送信元 IP をクエリし、セキュリティグループによって許可または拒否されたアクセスリクエストをカウントできます。

1. フローログの作成

   • [リソースインスタンス] で、Web サーバーの [ENI] を選択します。

   • [データ転送タイプ] を [すべてのトラフィック] に設定します。

   • 配信を設定するには、[Log Service に配信] と [ログ分析レポートを有効にする] を選択します。

   • 他のパラメーターはデフォルト値のままにします。

2. フローログの分析

   1. クエリおよび分析文

      10.0.0.1 のポート 80 にアクセスする送信元 IP をフィルタリングし、各 IP がセキュリティグループによって許可および拒否された回数を表示します。

      dstaddr:10.0.0.1 AND dstport:80 | SELECT -- 宛先 IP アドレスが 10.0.0.1 で、宛先ポートが 80 のログをフィルタリングします。
      srcaddr,
      SUM(CASE WHEN action = 'ACCEPT' THEN 1 ELSE 0 END) AS accept_count, -- 各 ACCEPT (許可) アクションに対して 1 をカウントします。
      SUM(CASE WHEN action = 'REJECT' THEN 1 ELSE 0 END) AS reject_count -- 各 REJECT (拒否) アクションに対して 1 をカウントします。
      FROM log
      GROUP BY srcaddr -- 送信元 IP アドレスでグループ化します。
      ORDER BY accept_count + reject_count DESC -- 許可および拒否されたアクションの合計数に基づいて結果を降順にソートします。

   2. プレビュー

      

      図に示すように、srcaddr 列にはポート 80 にアクセスした送信元 IP が表示されます。accept_count および reject_count 列には、クエリ時間範囲内でセキュリティグループによって許可および拒否された各送信元 IP のフローログエントリが表示されます。

      • 5 つの送信元 IP がポート 80 にアクセスしました：120.26.XX.XX、121.43.XX.XX、154.212.XX.XX、176.65.XX.XX、および 198.235.XX.XX。

      • 120.26.XX.XX からのすべてのリクエストは許可されましたが、他のパブリック IP アドレスからのすべてのリクエストは拒否されました。

ECS インスタンス間のトラフィック

(srcaddr:10.0.0.1 AND dstaddr:10.0.0.*) OR (srcaddr:10.0.0.* AND dstaddr:10.0.0.1 )  | select --ECS1 と他の ECS インスタンス間のトラフィック傾向をフィルタリングします。
date_format(from_unixtime(__time__ - __time__% 60), '%H:%i:%S') as time, -- UNIX タイムスタンプを読み取り可能な時間形式に変換します。
concat(srcaddr,'->', dstaddr) as src_to_dst, -- IP セッションペアを "source_ip->destination_ip" 形式で連結します。
sum(bytes*8/60) as bandwidth -- バイトをビットに変換し、1 分のキャプチャウィンドウで除算します。
group by time,srcaddr,dstaddr -- 時間、送信元 IP アドレス、宛先 IP アドレスでグループ化します。
order by time asc  -- 時間を昇順にソートします。
limit 100 -- 最初の 100 件の結果を表示します。

(srcaddr:10.0.* AND dstaddr:172.16.*) OR (srcaddr:172.16.* AND dstaddr:10.0.*)  | select --2 つの VPC 間のセッションをフィルタリングします。
date_format(from_unixtime(__time__ - __time__% 60), '%H:%i:%S') as time, -- UNIX タイムスタンプを読み取り可能な時間形式に変換します。
concat(srcaddr,'->', dstaddr) as src_to_dst, -- IP セッションペアを "source_ip->destination_ip" 形式で連結します。
sum(bytes*8/60) as bandwidth -- バイトをビットに変換し、1 分のキャプチャウィンドウで除算します。
group by time,srcaddr,dstaddr -- 時間、送信元 IP アドレス、宛先 IP アドレスでグループ化します。
order by time asc  -- 時間を昇順にソートします。
limit 100 -- 最初の 100 件の結果を表示します。

インターネット NAT ゲートウェイトラフィック

あるリージョンに複数の ECS インスタンスがあります。すべてのインスタンスは同じ vSwitch にデプロイされ、インターネット NAT ゲートウェイの SNAT 機能を通じてインターネットにアクセスします。

インターネットへの NAT トラフィック量が大幅に増加し、サーバーの応答が遅くなっていることに気づきました。フローログを使用して、トラフィックの大部分を生成している ECS インスタンスを特定します。

1. フローログの作成

   • [リソースインスタンス] で、インターネット NAT ゲートウェイの vSwitch である vSwitch 2 を選択します。

   • 配信設定で、[Log Service に配信] と [ログ分析レポートを有効にする] を選択します。

   • 他のパラメーターはデフォルト値のままにします。

2. 特定のトラフィックパスのフィルタリング

   特定のパスのトラフィックをフィルタリングするには、クエリ文で条件を指定する必要があります。

   図	No.	フィルタリング方法
   	1	ECS インスタンスから NAT ゲートウェイへのトラフィックをフィルタリングする：direction を in に設定し、srcaddr を ECS インスタンスのプライベート IP アドレスに設定します。
   	2	NAT ゲートウェイからインターネットへのトラフィックをフィルタリングする：direction を out に設定し、srcaddr を NAT ゲートウェイのプライベート IP アドレスに設定します。
   	3	インターネットから NAT ゲートウェイへのトラフィックをフィルタリングする：direction を in に設定し、dstaddr を NAT ゲートウェイのプライベート IP アドレスに設定します。
   	4	NAT ゲートウェイから ECS インスタンスへのトラフィックをフィルタリングする：direction を out に設定し、dstaddr を ECS インスタンスのプライベート IP アドレスに設定します。

3. フローログの分析

   1. クエリおよび分析文

      ECS インスタンスから NAT ゲートウェイへのパスで、特定のパブリック IP アドレスへのトラフィックを分析します。

      direction: 'in' and srcaddr: 10.0.0.* and dstaddr: 120.26.XX.XX | select -- 特定のパブリック IP アドレスにアクセスする ECS インスタンスのログをフィルタリングします。
      date_format(from_unixtime(__time__ - __time__% 60), '%H:%i:%S') as time, srcaddr,  -- UNIX タイムスタンプを読み取り可能な時間形式に変換します。
      sum(bytes*8/60) as bandwidth  -- バイトをビットに変換し、1 分のキャプチャウィンドウで除算します。
      group by time,srcaddr -- 時間と送信元 IP アドレスでグループ化します。
      order by time asc  -- 時間を昇順にソートします。
      limit 100 -- 最初の 100 件の結果を表示します。

      その他の一般的な文

      • NAT ゲートウェイから ECS インスタンスへのパスで、特定のパブリック IP アドレスからすべての ECS インスタンスへのインバウンドトラフィックをフィルタリングします。

        direction: 'out' and dstaddr: 10.0.0.* and srcaddr: 120.26.XX.XX | select -- 特定のパブリック IP アドレスにアクセスする ECS インスタンスのログをフィルタリングします。
        date_format(from_unixtime(__time__ - __time__% 60), '%H:%i:%S') as time,   -- UNIX タイムスタンプを読み取り可能な時間形式に変換します。
        dstaddr,
        sum(bytes*8/60) as bandwidth  -- バイトをビットに変換し、1 分のキャプチャウィンドウで除算します。
        group by time,dstaddr -- 時間と宛先 IP アドレスでグループ化します。
        order by time asc  -- 時間を昇順にソートします。
        limit 100 -- 最初の 100 件の結果を表示します。

      • ECS インスタンスから NAT ゲートウェイへのパスで、ECS インスタンスからすべてのパブリック IP アドレスへのアウトバウンドトラフィックをフィルタリングします。

        direction: 'in' and srcaddr: 10.0.0.*  | select -- すべてのパブリック IP アドレスにアクセスする ECS インスタンスのログをフィルタリングします。
        date_format(from_unixtime(__time__ - __time__% 60), '%H:%i:%S') as time,  -- UNIX タイムスタンプを読み取り可能な時間形式に変換します。
        concat(srcaddr,'->', dstaddr), -- IP セッションペアを "source_ip->destination_ip" 形式で連結します。
        sum(bytes*8/60) as bandwidth  -- バイトをビットに変換し、1 分のキャプチャウィンドウで除算します。
        group by time,srcaddr,dstaddr -- 時間、送信元 IP アドレス、宛先 IP アドレスでグループ化します。
        order by time asc  -- 時間を昇順にソートします。
        limit 100 -- 最初の 100 件の結果を表示します。

   2. プレビュー

      

      図に示すように、ECS インスタンスから NAT ゲートウェイへのパスで、10.0.0.1 (ECS1) からパブリック IP アドレス 120.26.XX.XX へのトラフィックレートが最も高く、約 12 Kbps です。

Express Connect 回線内のトラフィック

ある企業は、Alibaba Cloud リージョン内の 2 つの VPC を使用して異なるサービスをデプロイしています。オンプレミスのデータセンターを、Express Connect 回線と Cloud Enterprise Network (CEN) を使用して Alibaba Cloud に接続しています。

IT 部門は、フローログを使用して、VPC 内のさまざまなサービスからのトラフィックが Express Connect 回線をどのように使用しているかを監視および分析する予定です。この分析は、ネットワークリソースの計画とパフォーマンスの向上に役立ちます。

1. フローログの作成

   同じ Logstore にデータを配信する 2 つのフローログを作成します。各フローログの主要なパラメーターは次のとおりです。

   • [リソースインスタンス] では、[VPC] で、 VPC1 と VPC2 を選択します。

   • [サンプリングパス] を [トランジットルーター経由のトラフィック] に設定します。

   • 配信設定で、[Log Service に配信] を選択し、両方のフローログに同じ Logstore を選択し、[ログ分析レポートを有効にする] を選択します。

   • 他のパラメーターはデフォルト値のままにします。

2. フローログの分析

   1. クエリおよび分析文

      オンプレミスデータセンターに流れるトラフィックの割合を分析します。

      action: ACCEPT and srcaddr: 192.168.* and dstaddr:10.1.* | 
      WITH 
          vpc1_traffic AS (
              SELECT 
                  date_trunc('minute',__time__) AS minute,
                  SUM(bytes*8/(case WHEN "end"-start=0 THEN 1 else "end"-start end)) AS total_vpc1_traffic
              FROM 
                  log
              WHERE 
                  srcaddr LIKE '192.168.20.%'
              GROUP BY 
                  date_trunc('minute',__time__)
          ),
          vpc2_traffic AS (
              SELECT 
                  date_trunc('minute',__time__) AS minute,
                  SUM(bytes*8/(case WHEN "end"-start=0 THEN 1 else "end"-start end)) AS total_vpc2_traffic
              FROM 
                  log
              WHERE 
                  srcaddr LIKE '192.168.10.%'
              GROUP BY 
                  date_trunc('minute',__time__)
          )
      SELECT 
          COALESCE(vpc1_traffic.minute, vpc2_traffic.minute) AS minute,
          (COALESCE(vpc1_traffic.total_vpc1_traffic, 0) * 100/ NULLIF((COALESCE(vpc1_traffic.total_vpc1_traffic, 0) + COALESCE(vpc2_traffic.total_vpc2_traffic, 0)), 0)) AS vpc1_percentage, 
          (COALESCE(vpc2_traffic.total_vpc2_traffic, 0) * 100/ NULLIF((COALESCE(vpc1_traffic.total_vpc1_traffic, 0) + COALESCE(vpc2_traffic.total_vpc2_traffic, 0)), 0)) AS vpc2_percentage
      FROM vpc1_traffic FULL OUTER JOIN vpc2_traffic ON vpc1_traffic.minute = vpc2_traffic.minute 
      ORDER BY minute

      クリックして SQL 文の説明を表示します。

      • フィルタリング条件：

        • srcaddr: 192.168.* は、192.168.* で始まる送信元アドレスからのログをフィルタリングします。

        • dstaddr: 10.1.* は、宛先アドレスが 10.1.* で始まるログをフィルタリングします。

        • action: ACCEPT は、action フィールドの値が ACCEPT のログをフィルタリングします。

      • メインクエリ

        • FULL OUTER JOIN を使用して、vpc1_traffic と vpc2_traffic の結果を minute フィールドに基づいて結合します。

        • 各 VPC の 1 分あたりのトラフィックの割合を計算します。

          • vpc1_percentage は、総トラフィックにおける VPC1 からのトラフィックの割合を表します。

          • vpc2_percentage は、総トラフィックにおける VPC2 からのトラフィックの割合を表します。

        • クエリ結果は minute の昇順でソートされます。

      • WITH サブクエリ：

        SQL 文には、vpc1_traffic と vpc2_traffic の 2 つのサブクエリが含まれています。以下に vpc1_traffic サブクエリについて説明します。

        • date_trunc 関数は、__time__ フィールドの UNIX タイムスタンプを分単位に切り捨て、結果は minute としてエイリアスされます。

        • SUM 関数は、1 分間の総トラフィックレートを bit/s で計算するために使用され、結果は total_vpc1_traffic と名付けられます。

        • VPC1 の CIDR ブロックである 192.168.20.* の送信元アドレスを持つトラフィックレコードをフィルタリングします。

        • 結果を分単位でグループ化します。

   2. プレビュー

      

      14:50 から 15:50 の期間中、VPC1 からオンプレミスデータセンターに流れるトラフィックの割合が高くなっています。