Formato de datos de registros de flujo

Los resúmenes de tráfico de registro de flujo contienen la información siguiente:

• Recuentos de bytes/paquetes, por separado para RX (recibir) y TX (transmitir).
• Si se inicia o se detiene una conexión durante la ventana de tiempo.

Dado que un registro de flujo refleja el tráfico de red en una ventana de tiempo limitada, una conexión de larga ejecución podría provocar que se emitan varios registros de flujo. Para cada conexión procesada por una vNIC, se emite una secuencia ordenada por hora de los registros de flujo (sin incluir errores). Estos registros de flujo aparecen en uno o más objetos Object Storage.

El valor de initiator_ip en un registro de flujo se define como source_ip que aparece en el primer paquete de su conexión que ha alcanzado la vNIC. En el nivel de implementación, este paquete es normalmente el que hace que se añada la nueva conexión a la tabla de conexiones. De forma similar, el valor de target_ip en el registro de flujo se establece en el campo dest_ip del mismo paquete.

Si tanto la vNIC del iniciador de conexión como la vNIC de destino de conexión permiten registros de flujo, los campos del iniciador y del IP de destino así como de los puertos son idénticos en los registros de flujo de ambas vNIC.

Ejemplo: Consideremos un cliente que envía una solicitud HTTP a un servidor web. El registro de flujo para esta solicitud HTTP en la vNIC del lado del cliente tiene la dirección IP del cliente como initiator_ip. El registro de flujo correspondiente en la vNIC del lado del servidor tiene el mismo valor de initiator_ip.

Los valores de start_time y end_time en un registro de flujo reflejan:

• Hora de captura: la hora a la que se han consultado los elementos de vía de acceso de datos para los recuentos de tráfico.
• Hora de la vía de acceso de datos: tiempo que se mantiene en el propio elemento de vía de acceso de datos.

Es posible que el registro de flujo no refleje todo el tráfico (por ejemplo, en la vía de acceso de datos) entre un registro de flujo start_time y end_time. En otras palabras, es posible que los paquetes enviados y recibidos por la vNIC hacia el final de la ventana de captura se reflejen únicamente en un registro de flujo con la ventana start_time posterior.

Los registros de flujo reflejan el tráfico real en las conexiones: si no se produce tráfico en una conexión en una ventana de captura, no aparecerá ningún registro de flujo para ella en el objeto « Object Storage » (Registro de flujo) de esa ventana. Esto significa que la secuencia de registros de flujo para una conexión podría asignarse a una secuencia de objetos no consecutivos Object Storage.

No hace falta que se ordene en ningún orden específico la matriz de registros de flujo de un objeto.

Tráfico rechazado:

• Un registro de flujo específico resume el tráfico rechazado o aceptado, nunca ambos.
• La secuencia de registros de flujo para una conexión puede tener solapamientos de ventana de tiempo entre los registros de flujo aceptados y rechazados.
• Los paquetes rechazados que no están asociados con una conexión existente (por ejemplo, un grupo de seguridad, o una ACL de red, deniega la iniciación de la conexión).
• Paquetes rechazados en una conexión existente (por ejemplo, el tráfico que no coincide con la máquina de estado TCP o una conexión media modificada por una regla de ACL de red).
• Los paquetes rechazados se escriben en diferentes registros de flujo en función de si son entrantes o salientes.

Los flujos se etiquetan como rechazados si sus paquetes estaban bloqueados por reglas de ACL de red o de grupos de seguridad.

Formato de objeto de registro de flujo

Los registros de flujo se escriben en el depósito de ECS ( Object Storage ) especificado por el usuario siguiendo la siguiente convención de nomenclatura:

ibm_vpc_flowlogs_v1/account={account}/region={region}/vpc-id={vpc-id}/subnet-id={subnet-id}/endpoint-type=vnics/instance-id={vsi-id}/vnic-id={vnic-id}/record-type={all|ingress|egress}/year={xxxx}/month={yy}/day={zz}/hour={hh}/stream-id={stream-id}/{sequence-number}.gz

Donde:

• {stream-id} es una cadena de fecha y hora en formato ISO 8601 yyyymmddThhmmssZ (hora universal coordinada), definida como la hora en que se creó el primer objeto en el directory.
• {sequence-number} es un contador de objetos dentro de la corriente, representado como un campo de ocho caracteres rellenado con ceros (%08d).
• {all|ingress|egress} muestra el tipo de tráfico que incluye el flujo.
• {xxxx} es el año en formato de cuatro dígitos.
• {yy} es el mes en formato de dos dígitos, con cero inicial.
• {zz} es el día del mes en formato de dos dígitos, con cero inicial.
• {hh} es la hora en formato de cero inicial (por ejemplo, 00-24).

Las instancias de caracteres no seguros de URL de la vía de acceso están codificadas por URL.

El objeto « Object Storage » de un registro de flujo contiene un único objeto JSON válido. El objeto « Object Storage » está .gz comprimido.

Los campos de encabezado de objeto que se especifican en la siguiente tabla se escriben en los metadatos del objeto Object Storage.

    {
        "version": "0.0.1",
        "collector_crn": "crn",
        "attached_endpoint_type": "vnic",
        "network_interface_id": "crn",
        "instance_crn": "crn",
        "vpc_crn": "crn"
        "capture_end_time": "2008-09-15T15:53:00Z",
        "capture_start_time": "2008-09-15T15:00:00Z",
        "state": "ok",
        "number_of_flow_logs" : 1,
        "flow_logs": [
            {
                "start_time": "2008-09-15T15:53:00",
                "end_time": "2008-09-15T15:40:00",
                "direction": "O",
                "action": "accepted",
                "initiator_ip": "1.2.3.4",
                "initiator_port": 20033,
                "target_ip": "5.6.7.8",
                "target_port": 80,
                "transport_protocol": 6,
                "ether_type": "IPv4",
                "was_initiated": true,
                "was_terminated": false,
                "bytes_from_initiator": 12000,
                "packets_from_initiator": 2212,
                "bytes_from_target": 323232,
                "packets_from_target": 3232
                "cumulative_packets_from_initiator": 2212,
                "cumulative_packets_from_target": 3232,
                "cumulative_bytes_from_target": 323232,
                "cumulative_bytes_from_initiator": 12000,
            }
        ],
    }