Format des données de journal de flux

Les récapitulatifs de trafic des journaux de flux contiennent les informations suivantes :

• Le nombre d'octets/paquets, séparément pour RX (receive) et TX (transmission).
• Il indiquent si une connexion démarre ou s'arrête dans la fenêtre de temps.

Etant donné qu'un journal des flux reflète le trafic réseau dans une fenêtre de temps limitée, une connexion à long terme peut provoquer l'émission de plusieurs journaux de flux. Pour chaque connexion traitée par une carte vNIC, une séquence ordonnée dans le temps de journaux de flux est émise (sans compter les échecs). Ces journaux de flux apparaissent dans un ou plusieurs objets d' Object Storage.

L'élément initiator_ip dans un journal de flux est défini comme étant l'adresse IP source_ip qui apparaît dans le premier paquet de sa connexion qui a atteint la carte vNIC. Au niveau de l'implémentation, ce paquet est généralement celui qui provoque l'ajout de la nouvelle connexion à la table des connexions. De même, le paramètre target_ip dans le journal de flux est défini sur la zone dest_ip de ce même paquet.

Si la carte vNIC initiatrice de la connexion et la carte vNIC cible de la connexion activent toutes les deux des journaux de flux, les zones d'IP et de ports de l'initiatrice et de la cible sont identiques dans les journaux de flux des deux cartes vNIC.

Exemple : prenons le cas d'un client qui envoie une requête HTTP à un serveur web. Le journal de flux de cette demande HTTP sur la vNIC côté client présente l'adresse IP client initiator_ip. Le journal de flux correspondant sur la vNIC côté serveur présente la même adresse initiator_ip.

Les éléments start_time et end_time dans un journal de flux sont les suivants :

• Capture time : heure à laquelle les éléments de chemin de données ont été demandés pour les compteurs de trafic.
• Data path time : temps tel qu'il est conservé dans l'élément de chemin de données lui-même.

Il est possible que le journal de flux ne reflète pas tout le trafic (par exemple, dans le chemin de données) entre les heures start_time et end_time d'un journal de flux. En d'autres termes, il se peut que les paquets envoyés et reçus par la carte vNIC vers la fin de la fenêtre de capture ne soient reflétés que dans un journal de flux d'une fenêtre start_time ultérieure.

Les journaux de flux reflètent le trafic réel sur les connexions : si aucun trafic n'est détecté sur une connexion dans une fenêtre de capture, aucun journal de flux n'apparaît pour cette connexion dans l'objet d' Object Storage ion pour cette fenêtre. Cela signifie que la séquence des journaux de flux pour une connexion peut être mappée à une séquence d'objets d' Object Storage s non consécutifs.

Il n'est pas nécessaire de trier le tableau des journaux de flux d'un objet dans un ordre spécifique.

Trafic rejeté :

• Un journal de flux spécifique récapitule le trafic rejeté ou accepté, jamais les deux.
• La séquence des journaux de flux pour une connexion peut présenter des chevauchements de temps entre les journaux de flux acceptés et rejetés.
• Les paquets rejetés qui ne sont pas associés à une connexion existante (par exemple, un groupe de sécurité ou une liste de contrôle d'accès réseau rejette l'initiation de la connexion).
• Le nombre de paquets rejetés sur une connexion existante (par exemple, le trafic qui ne correspond pas à la machine d'état TCP ou une règle de liste de contrôle d'accès réseau modifiée à mi-connexion).
• Les paquets rejetés sont inscrits dans des journaux de flux distincts selon qu'ils sont entrants ou sortants.

Les flux sont étiquetés comme étant rejetés si leurs paquets sont bloqués par des règles de groupe de sécurité ou de liste de contrôle d'accès au réseau.

Format des objets de journal de flux

Les journaux de flux sont enregistrés dans le compartiment Object Storage spécifié par l'utilisateur selon la convention de nommage suivante :

ibm_vpc_flowlogs_v1/account={account}/region={region}/vpc-id={vpc-id}/subnet-id={subnet-id}/endpoint-type=vnics/instance-id={vsi-id}/vnic-id={vnic-id}/record-type={all|ingress|egress}/year={xxxx}/month={yy}/day={zz}/hour={hh}/stream-id={stream-id}/{sequence-number}.gz

Où :

• {stream-id} est une chaîne de date et d'heure au format ISO 8601 yyyymmddThhmmssZ (Temps universel coordonné), définie comme la date/heure de création du premier objet dans directory.
• {sequence-number} est un compteur d'objets dans le flux, représenté sous la forme d'une zone de huit caractères, remplie de zéro (%08d).
• {all|ingress|egress} indique le type de trafic inclus dans le flux.
• {xxxx} est l'année sous la forme de quatre chiffres.
• {yy} est le mois sous la forme de deux chiffres, avec un zéro au début pour les neuf premiers mois.
• {zz} est le jour du mois sous la forme de deux chiffres, avec un zéro au début pour les neuf premiers jours.
• {hh} est l'heure avec des zéros au début pour les neuf premières heures (par exemple 00-24).

Toutes les occurrences de caractères non sécurisés d'URL dans le chemin d'accès sont codées par URL.

L'objet d' Object Storage s d'un journal de flux contient un seul objet JSON valide. L'objet Object Storage est .gz compressé.

Les champs d'en-tête d'objet spécifiés dans le tableau suivant sont écrits dans les métadonnées de l'objet Object Storage.

    {
        "version": "0.0.1",
        "collector_crn": "crn",
        "attached_endpoint_type": "vnic",
        "network_interface_id": "crn",
        "instance_crn": "crn",
        "vpc_crn": "crn"
        "capture_end_time": "2008-09-15T15:53:00Z",
        "capture_start_time": "2008-09-15T15:00:00Z",
        "state": "ok",
        "number_of_flow_logs" : 1,
        "flow_logs": [
            {
                "start_time": "2008-09-15T15:53:00",
                "end_time": "2008-09-15T15:40:00",
                "direction": "O",
                "action": "accepted",
                "initiator_ip": "1.2.3.4",
                "initiator_port": 20033,
                "target_ip": "5.6.7.8",
                "target_port": 80,
                "transport_protocol": 6,
                "ether_type": "IPv4",
                "was_initiated": true,
                "was_terminated": false,
                "bytes_from_initiator": 12000,
                "packets_from_initiator": 2212,
                "bytes_from_target": 323232,
                "packets_from_target": 3232
                "cumulative_packets_from_initiator": 2212,
                "cumulative_packets_from_target": 3232,
                "cumulative_bytes_from_target": 323232,
                "cumulative_bytes_from_initiator": 12000,
            }
        ],
    }