フロー・ログのデータ・フォーマット

フロー・ログのトラフィックの要約には、以下の情報が含まれています。

• バイト/パケット数。RX (受信) と TX (送信) に分けて表されます。
• 時間枠内に接続が開始または停止したかどうか。

1 件のフロー・ログに表されるネットワーク・トラフィックは時間枠が限られているので、長時間実行される接続では、複数のフロー・ログが発行される可能性があります。 vNIC で処理された接続ごとに、時間順の一連のフロー・ログが発行されます (失敗を除く)。 これらのフローログは、1つ以上の Object Storage オブジェクトに表示されます。

フロー・ログの initiator_ip は、vNIC に達した接続の最初のパケットに含まれていた source_ip として定義されます。 実装レベルでは、通常、このパケットにより、新しい接続が接続テーブルに追加されます。 同様に、フロー・ログの target_ip には、この同じパケットの dest_ip フィールドが設定されます。

接続イニシエーターの vNIC と接続ターゲットの vNIC の両方でフロー・ログが有効な場合は、イニシエーターおよびターゲットの IP とポートのフィールドは、両方の vNIC のフロー・ログで同じになります。

例: HTTP 要求を Web サーバーに送信するクライアントについて考えてみます。 クライアント・サイドの vNIC では、この HTTP 要求に関するフロー・ログの initiator_ip は、クライアントの IP アドレスになります。 サーバー・サイドの vNIC の対応するフロー・ログの initiator_ip も同じです。

フロー・ログの start_time と end_time は以下を表しています。

• キャプチャー時間 - データ・パス・エレメントでトラフィックのカウンターが照会された時刻。
• データ・パス時間 - データ・パス・エレメント自体に保持されていた時刻。

フロー・ログの start_time と end_time の間の (データ・パスなどの) すべてのトラフィックがフロー・ログに表されるわけではありません。 言い換えると、キャプチャー時間枠の終わり頃に vNIC で送受信されたパケットは、それより後の start_time の時間枠のフロー・ログにしか表されない可能性があります。

フローログは実際の接続上のトラフィックを反映します。キャプチャウィンドウで接続上のトラフィックが発生しない場合、そのウィンドウの Object Storage オブジェクトにはフローログは表示されません。 つまり、ある接続のフローログのシーケンスが、連続していない Object Storage オブジェクトのシーケンスにマッピングされる可能性があるということです。

1 つのオブジェクト内のフロー・ログの配列は、特定の順序でソートする必要はありません。

拒否されたトラフィック:

• 特定の 1 つのフロー・ログには、拒否されたトラフィックか許可されたトラフィックのどちらかが要約されます。両方が要約されることはありません。
• 1 つの接続についての一連のフロー・ログでは、許可されたフロー・ログと拒否されたフロー・ログの間で時間枠がオーバーラップしている場合があります。
• 拒否されたパケットのうち、既存の接続に関連付けられないもの (セキュリティー・グループやネットワーク ACL で接続の開始が拒否された場合など)
• 既存の接続で拒否されたパケット (TCP 状態マシンと一致しないトラフィックや、接続中にネットワーク ACL ルールが変更したトラフィックなど)
• 拒否されたパケットは、着信か発信かによって別々のフロー・ログに書き込まれます。

フローのパケットがセキュリティー・グループまたはネットワーク ACL ルールによってブロックされた場合、そのフローには拒否されたというタグが付けられます。

フロー・ログ・オブジェクトの形式

フローログは、ユーザーが指定した Object Storage バケットに、以下の命名規則に従って書き込まれます

ibm_vpc_flowlogs_v1/account={account}/region={region}/vpc-id={vpc-id}/subnet-id={subnet-id}/endpoint-type=vnics/instance-id={vsi-id}/vnic-id={vnic-id}/record-type={all|ingress|egress}/year={xxxx}/month={yy}/day={zz}/hour={hh}/stream-id={stream-id}/{sequence-number}.gz

ここで、

• {stream-id} は、ISO 8601 形式の日時文字列 yyyymmddThhmmssZ (協定世界時) であり、directory内の最初のオブジェクトが作成された時刻として定義されます。
• {sequence-number} は、このストリームのオブジェクトの実行中のカウンターであり、ゼロで埋められた 8 文字のフィールド (%08d) として表されます。
• {all|ingress|egress} フローに含まれるトラフィックの種類を示します。
• {xxxx} は、4 桁の形式の年です。
• {yy} は、ゼロで始まる形式の 2 桁の月です。
• {zz} は、ゼロで始まる形式の 2 桁の日です。
• {hh} は、ゼロで始まる形式の時間 (例えば 00 から 24 まで) です。

URL セーフでない文字がパスに含まれている場合は、URL エンコードが行われます。

フローログの Object Storage オブジェクトには、有効なJSONオブジェクトが1つ含まれています。 Object Storage オブジェクトは .gz 圧縮されています。

以下の表で指定されているオブジェクトヘッダーフィールドは、 Object Storage オブジェクトのメタデータに書き込まれます。

    {
        "version": "0.0.1",
        "collector_crn": "crn",
        "attached_endpoint_type": "vnic",
        "network_interface_id": "crn",
        "instance_crn": "crn",
        "vpc_crn": "crn"
        "capture_end_time": "2008-09-15T15:53:00Z",
        "capture_start_time": "2008-09-15T15:00:00Z",
        "state": "ok",
        "number_of_flow_logs" : 1,
        "flow_logs": [
            {
                "start_time": "2008-09-15T15:53:00",
                "end_time": "2008-09-15T15:40:00",
                "direction": "O",
                "action": "accepted",
                "initiator_ip": "1.2.3.4",
                "initiator_port": 20033,
                "target_ip": "5.6.7.8",
                "target_port": 80,
                "transport_protocol": 6,
                "ether_type": "IPv4",
                "was_initiated": true,
                "was_terminated": false,
                "bytes_from_initiator": 12000,
                "packets_from_initiator": 2212,
                "bytes_from_target": 323232,
                "packets_from_target": 3232
                "cumulative_packets_from_initiator": 2212,
                "cumulative_packets_from_target": 3232,
                "cumulative_bytes_from_target": 323232,
                "cumulative_bytes_from_initiator": 12000,
            }
        ],
    }