Format der Ablaufprotokolldaten

In Ablaufprotokollen enthaltene Zusammenfassungen zum Datenverkehr enthalten die folgenden Informationen:

• Byte/Paketanzahl für empfangene (RX) und für übertragene Daten (TX)
• Angabe zur Verbindungsaktion, d. h. ob eine Verbindung im jeweiligen Zeitfenster gestartet oder gestoppt wird

Da ein Ablaufprotokoll den Datenaustausch im Netz in einem begrenzten Zeitfenster widerspiegelt, werden bei einer Verbindung mit langer Laufzeit möglicherweise mehrere Ablaufprotokolle ausgegeben. Für jede Verbindung, die von einer vNIC verarbeitet wird, wird eine nach Zeit geordnete Sequenz von Ablaufprotokollen (Fehlschläge nicht eingeschlossen) ausgegeben. Diese Flussprotokolle erscheinen in einem oder mehreren „ Object Storage “-Objekten.

Der Wert für initiator_ip in einem Ablaufprotokoll ist als source_ip-Wert definiert, der im ersten Paket der zugehörigen Verbindung enthalten ist, das die vNIC erreicht. Auf der Implementierungsebene entspricht dieses Paket normalerweise dem Paket, das dazu führt, dass die neue Verbindung zur Verbindungstabelle hinzugefügt wird. Dementsprechend ist der Wert für target_ip im Ablaufprotokoll mit dem Wert im Feld dest_ip in demselben Paket definiert.

Wenn sowohl der vNIC des Verbindungsinitiators als auch der vNIC des Verbindungsziels Ablaufprotokolle ermöglichen, sind die Felder für die IP-Adressen und Ports des Initiators und des Ziels in den Ablaufprotokollen beider vNICs identisch.

Beispiel: Stellen Sie sich einen Client vor, der eine Anfrage vom Typ „ HTTP “ an einen Webserver sendet. Im Ablaufprotokoll für die HTTP-Anforderung wird die clientseitige IP-Adresse als initiator_ip angegeben. Das entsprechende Ablaufprotokoll auf der serverseitigen vNIC weist denselben Wert als initiator_ip auf.

Die Werte für start_time und end_time in einem Ablaufprotokoll bilden Folgendes ab:

• Capture time (Erfassungszeit) - Die Zeit, in der Datenpfadelemente nach Datenverkehrszählern abgefragt wurden
• Data path time (Zeit des Datenpfads) - Die Zeit, wie sie im Datenpfadelement selbst geführt wird

Möglicherweise bildet das Ablaufprotokoll nicht den gesamten Datenverkehr (z. B. im Datenpfad) zwischen dem Zeitpunkt für start_time und dem Zeitpunkt für end_time ab. Anders ausgedrückt könnte es sein, dass Pakete, die vom vNIC gegen Ende des Erfassungsfensters gesendet und empfangen werden, nur in einem Ablaufprotokoll mit dem späteren Startzeitfenster (start_time) wiedergegeben werden.

Flow-Protokolle spiegeln den tatsächlichen Datenverkehr auf Verbindungen wider: Wenn in einem Erfassungsfenster kein Datenverkehr auf einer Verbindung stattfindet, wird dafür kein Flow-Protokoll im Objekt „ Object Storage “ für dieses Fenster angezeigt. Das bedeutet, dass die Abfolge von Flow-Logs für eine Verbindung möglicherweise einer Abfolge von nicht aufeinanderfolgenden „ Object Storage “-Objekten zugeordnet wird.

Die Datenflussprotokollfolge innerhalb eines Objekts ist möglicherweise nicht in einer bestimmten Reihenfolge sortiert.

Abgelehnter Datenverkehr:

• In einem Ablaufprotokoll wird entweder ausschließlich abgelehnter Datenverkehr oder ausschließlich zugelassener Datenverkehr zusammengefasst.
• Die Sequenz der Ablaufprotokolle für eine Verbindung kann Überschneidungen der Zeitfenster der Ablaufprotokolle für zugelassenen Datenverkehr in Bezug auf die Zeitfenster der Ablaufprotokolle für abgelehnten Datenverkehr aufweisen.
• Abgelehnte Pakete, die keiner vorhandenen Verbindung zugeordnet sind (z. B. Fälle, in denen die Verbindungsinitialisierung aufgrund einer Sicherheitsgruppe oder Netz-ACL verweigert wurde).
• Abgelehnte Pakete einer vorhandenen Verbindung (z. B. Fälle, in denen der Datenverkehr nicht der TCP-Zustandsmaschine entspricht oder eine Netz-ACL-Regel während der Verbindungsdauer geändert wurde).
• Abgelehnte Pakete werden in separate Ablaufprotokolle für eingehende Daten und für ausgehende Daten geschrieben.

Datenflüsse werden als abgelehnt markiert, wenn die zugehörigen Pakete aufgrund von Sicherheitsgruppen oder Netz-ACL-Regeln blockiert wurden.

Format der Ablaufprotokollobjekte

Flow-Protokolle werden unter Verwendung der folgenden Namenskonvention in den vom Benutzer angegebenen Bucket „ Object Storage “ geschrieben:

ibm_vpc_flowlogs_v1/account={account}/region={region}/vpc-id={vpc-id}/subnet-id={subnet-id}/endpoint-type=vnics/instance-id={vsi-id}/vnic-id={vnic-id}/record-type={all|ingress|egress}/year={xxxx}/month={yy}/day={zz}/hour={hh}/stream-id={stream-id}/{sequence-number}.gz

Dabei gilt:

• {stream-id} ist eine Zeichenfolge für Datum und Uhrzeit im ISO 8601-Format yyyymmddThhmmssZ (Coordinated Universal Time), die mit demjenigen Zeitpunkt definiert ist, an dem das erste Objekt im directory erstellt wurde.
• {sequence-number} ist ein aktiver Zähler von Objekten innerhalb des Datenstroms, der als achtstelliges, nullgefülltes Feld (%08d) dargestellt wird.
• {all|ingress|egress} zeigt die Art des Datenverkehrs, den der Fluss umfasst.
• {xxxx}: Jahreszahl in vierstelligem Format.
• {yy}: Monatsangabe in zweistelligem Format, gegebenenfalls mit vorangestellter Null.
• {zz}: Tag des Monats in zweistelligem Format, gegebenenfalls mit vorangestellter Null.
• {hh}: Zeitangabe, gegebenenfalls mit vorangestellter Null (z. B. 00-24).

Enthält der Pfad Zeichen, deren Verwendung für URLs als unsicher eingestuft wird, werden diese Zeichen kodiert.

Das Objekt „ Object Storage “ eines Flow-Protokolls enthält ein einzelnes gültiges JSON-Objekt. Das Objekt „ Object Storage “ ist .gz komprimiert.

Die in der folgenden Tabelle angegebenen Objekt-Header-Felder werden in die Metadaten des Objekts „ Object Storage “ geschrieben.

    {
        "version": "0.0.1",
        "collector_crn": "crn",
        "attached_endpoint_type": "vnic",
        "network_interface_id": "crn",
        "instance_crn": "crn",
        "vpc_crn": "crn"
        "capture_end_time": "2008-09-15T15:53:00Z",
        "capture_start_time": "2008-09-15T15:00:00Z",
        "state": "ok",
        "number_of_flow_logs" : 1,
        "flow_logs": [
            {
                "start_time": "2008-09-15T15:53:00",
                "end_time": "2008-09-15T15:40:00",
                "direction": "O",
                "action": "accepted",
                "initiator_ip": "1.2.3.4",
                "initiator_port": 20033,
                "target_ip": "5.6.7.8",
                "target_port": 80,
                "transport_protocol": 6,
                "ether_type": "IPv4",
                "was_initiated": true,
                "was_terminated": false,
                "bytes_from_initiator": 12000,
                "packets_from_initiator": 2212,
                "bytes_from_target": 323232,
                "packets_from_target": 3232
                "cumulative_packets_from_initiator": 2212,
                "cumulative_packets_from_target": 3232,
                "cumulative_bytes_from_target": 323232,
                "cumulative_bytes_from_initiator": 12000,
            }
        ],
    }