Formato dati del log di flusso

I riepiloghi del traffico del log di flusso contengono quanto segue:

• Conteggi byte / pacchetti, separatamente per RX (ricezione) e TX (trasmissione).
• Indica se una connessione viene avviata o arrestata nella finestra temporale.

Poiché un log di flusso riflette il traffico di rete in un periodo di tempo limitato, una connessione di lunga durata potrebbe causare l'emissione di più log di flusso. Per ogni connessione elaborata da a vNIC, viene emessa una sequenza ordinata nel tempo di log di flusso (esclusi gli errori). Questi log di flusso vengono visualizzati in uno o più oggetti Object Storage.

Il initiator_ip in un log di flusso è definito come il source_ip che appare nel primo pacchetto della sua connessione che ha raggiunto il vNIC. Al livello di implementazione, questo pacchetto è di solito quello che causa l'aggiunta della nuova connessione alla tabella di connessione. Allo stesso modo, il target_ip nel registro di flusso è impostato sul campo dest_ip nello stesso pacchetto.

Se sia l'iniziatore della connessione vNIC che la destinazione della connessione vNIC abilitano i log di flusso, i campi IP e porte dell'iniziatore e della destinazione sono identici nei log di flusso su entrambi vNICs.

Esempio: si consideri un client che invia una richiesta HTTP a un server web. Il log di flusso per questa richiesta HTTP sul lato client vNIC riporta l'indirizzo IP del client come initiator_ip. Il log di flusso corrispondente sul lato server vNIC ha lo stesso initiator_ip.

Le start_time e end_time in un log di flusso riflettono:

• Tempo di cattura - L'ora in cui gli elementi del percorso dati sono stati interrogati per i contatori del traffico.
• Data path time - L'ora come viene conservata nell'elemento del percorso dati stesso.

È possibile che il log di flusso non rifletta tutto il traffico (ad esempio, nel percorso dati) tra un log di flusso start_time e end_time. In altre parole, è possibile che i pacchetti inviati e ricevuti da vNIC verso la fine della finestra di cattura si riflettano solo in un log di flusso con la finestra start_time successiva.

I log di flusso riflettono il traffico effettivo sulle connessioni: se non si verifica traffico su una connessione in una finestra di acquisizione, non viene visualizzato alcun log di flusso nell'oggetto " Object Storage " (Log di flusso) per quella finestra. Ciò significa che la sequenza dei log di flusso per una connessione potrebbe essere mappata su una sequenza di oggetti non consecutivi dell' Object Storage.

L'array dei log di flusso all'interno di un oggetto non deve essere ordinato in un ordine specifico.

Traffico rifiutato:

• Uno specifico log di flusso riepiloga il traffico rifiutato o accettato, mai entrambi.
• La sequenza dei log di flusso per una connessione potrebbe avere delle sovrapposizioni nella finestra temporale tra i log di flusso accettati e rifiutati.
• I pacchetti rifiutati non associati a una connessione esistente (ad esempio, un gruppo di sicurezza o un ACL di rete, negano l'avvio della connessione).
• Pacchetti rifiutati su una connessione esistente (ad esempio, traffico che non corrisponde alla state - machine TCP o una regola ACL di rete modificata a metà connessione).
• I pacchetti rifiutati vengono scritti in log di flusso separati in base al fatto che siano in entrata o in uscita.

I flussi vengono contrassegnati come rifiutati se i loro pacchetti sono stati bloccati dal gruppo di sicurezza o dalle regole ACL di rete.

Formato oggetto log di flusso

I log di flusso vengono scritti nel bucket Object Storage specificato dall'utente nella seguente convenzione di denominazione:

ibm_vpc_flowlogs_v1/account={account}/region={region}/vpc-id={vpc-id}/subnet-id={subnet-id}/endpoint-type=vnics/instance-id={vsi-id}/vnic-id={vnic-id}/record-type={all|ingress|egress}/year={xxxx}/month={yy}/day={zz}/hour={hh}/stream-id={stream-id}/{sequence-number}.gz

Dove:

• {stream-id} è una stringa di data e ora in formato ISO 8601 yyyymmddThhmmssZ (Coordinated Universal Time), definita come l'ora in cui è stato creato il primo oggetto in directory.
• {sequence-number} è un contatore di oggetti in esecuzione all'interno del flusso, rappresentato come un campo di otto caratteri riempiti di zero (%08d).
• {all|ingress|egress} mostra il tipo di traffico incluso nel flusso.
• {xxxx} è l'anno in formato a quattro cifre.
• {yy} è il mese in formato a due cifre, con inizio zero.
• {zz} è il giorno del mese in formato a due cifre, con inizio zero.
• {hh} è l'ora in formato iniziale zero (ad esempio, 00-24).

Qualsiasi occorrenza di caratteri non sicuri URL nel percorso viene codificata in URL.

L'oggetto Object Storage di un log di flusso contiene un singolo oggetto JSON valido. L'oggetto Object Storage è .gz compresso.

I campi di intestazione oggetto specificati nella seguente tabella vengono scritti nei metadati dell'oggetto Object Storage.

    {
        "version": "0.0.1",
        "collector_crn": "crn",
        "attached_endpoint_type": "vnic",
        "network_interface_id": "crn",
        "instance_crn": "crn",
        "vpc_crn": "crn"
        "capture_end_time": "2008-09-15T15:53:00Z",
        "capture_start_time": "2008-09-15T15:00:00Z",
        "state": "ok",
        "number_of_flow_logs" : 1,
        "flow_logs": [
            {
                "start_time": "2008-09-15T15:53:00",
                "end_time": "2008-09-15T15:40:00",
                "direction": "O",
                "action": "accepted",
                "initiator_ip": "1.2.3.4",
                "initiator_port": 20033,
                "target_ip": "5.6.7.8",
                "target_port": 80,
                "transport_protocol": 6,
                "ether_type": "IPv4",
                "was_initiated": true,
                "was_terminated": false,
                "bytes_from_initiator": 12000,
                "packets_from_initiator": 2212,
                "bytes_from_target": 323232,
                "packets_from_target": 3232
                "cumulative_packets_from_initiator": 2212,
                "cumulative_packets_from_target": 3232,
                "cumulative_bytes_from_target": 323232,
                "cumulative_bytes_from_initiator": 12000,
            }
        ],
    }