플로우 로그 데이터 형식

플로우 로그 트래픽 요약에는 다음 정보가 포함되어 있습니다.

• 각 RX(수신) 및 TX(전송)별 바이트/패킷 수
• 연결이 시간 창에서 시작 또는 중지되는지 여부

플로우 로그가 제한된 시간 창에서 네트워크 트래픽을 반영하므로 연결이 장기 실행되면 다중 플로우가 생성될 수 있습니다. vNIC로 처리되는 모든 연결의 경우 플로우 로그가 시간 순서에 따라 생성됩니다(실패를 포함하지 않음). 이러한 흐름 로그들은 하나 이상의 Object Storage 객체에 나타납니다.

플로우 로그의 initiator_ip가 vNIC에 도달한 첫 번째 연결의 패킷에 표시되는 source_ip로 정의됩니다. 구현 레벨에서 일반적으로 이 패킷은 새 연결이 연결 테이블에 추가되도록 합니다. 마찬가지로, 플로우 로그의 target_ip는 해당 동일한 패킷의 dest_ip 필드로 설정됩니다.

연결 시작기 vNIC와 연결 대상 vNIC가 플로우 로그를 사용하는 경우, 시작기 및 대상 IP와 포트 필드는 두 개의 vNIC의 플로우 로그에서 동일합니다.

예시: 웹 서버에 HTTP 요청을 보내는 클라이언트를 생각해 보십시오. 클라이언트 측 vNIC에 있는 이 HTTP 요청의 플로우 로그에는 initiator_ip로서의 클라이언트 IP 주소가 있습니다. 서버 측 vNIC의 해당 플로우 로그에는 동일한 initiator_ip가 있습니다.

플로우 로그의 start_time 및 end_time은 다음을 반영합니다.

• 캡처 시간 - 데이터 경로 요소가 트래픽 카운터를 조회한 시간입니다.
• 데이터 경로 시간 - 데이터 경로 요소에서 자체적으로 유지보수되는 시간입니다.

플로우 로그가 플로우 로그 start_time과 end_time 간의 모든 트래픽을(예를 들어, 데이터 경로의) 반영하지 않을 수 있습니다. 즉, vNIC에서 캡처 창의 끝으로 보내고 받은 패킷은 나중에 start_time 범위의 플로우 로그에만 적용될 수 있습니다.

플로우 로그는 연결상의 실제 트래픽을 반영합니다: 캡처 창에서 연결에 트래픽이 발생하지 않으면, 해당 창에 대한 네트워크 객체( Object Storage )에 플로우 로그가 나타나지 않습니다. 즉, 연결에 대한 흐름 로그 시퀀스가 연속되지 않은 여러 개의 연결 객체( Object Storage ) 시퀀스로 매핑될 수 있음을 의미합니다.

오브젝트 내의 플로우 로그 배열은 특정 순서로 정렬될 필요가 없습니다.

관련 트래픽:

• 특정 플로우 로그에는 거부되거나 허용된 트래픽(둘 다는 아님)을 요약합니다.
• 연결에 대한 플로우 로그의 시퀀스에서는 허용된 플로우 로그와 거부된 플로우 로그 창 사이에 시간 창이 겹칠 수 있습니다.
• 기존 연결과 연관되지 않은 거부된 패킷입니다(예를 들어, 보안 그룹 또는 네트워크 ACL은 연결 시작을 거부함).
• 기존 연결에서 거부된 패킷입니다(TCP 상태 머신 또는 연결 중간에 변경된 네트워크 ACL 규칙과 일치하지 않는 트래픽).
• 거부된 패킷은 수신 또는 발신 상태에 따라 플로우 로그를 구분하도록 작성됩니다.

플로우 로그는 패킷이 보안 그룹 또는 네트워크 ACL 규칙으로 차단된 경우 거부됨으로 태그가 지정됩니다.

플로우 로그 오브젝트 형식

플로우 로그는 사용자가 지정한 Object Storage 버킷에 다음과 같은 명명 규칙으로 기록됩니다:

ibm_vpc_flowlogs_v1/account={account}/region={region}/vpc-id={vpc-id}/subnet-id={subnet-id}/endpoint-type=vnics/instance-id={vsi-id}/vnic-id={vnic-id}/record-type={all|ingress|egress}/year={xxxx}/month={yy}/day={zz}/hour={hh}/stream-id={stream-id}/{sequence-number}.gz

여기서:

• {stream-id}는 ISO 8601 형식 yyyymmddThhmmssZ(국제 표준시(UTC))의 날짜 및 시간 문자열이며 directory의 첫 번째 오브젝트가 작성된 시간으로 정의됩니다.
• {sequence-number}은(는) 8자로 표현되는 채워지지 않은 필드(%08d)인 스트림 내 오브젝트의 실행 카운터입니다.
• {all|ingress|egress} 흐름이 포함하는 트래픽 유형을 보여줍니다.
• {xxxx}는 네 자리 형식으로 된 연도입니다.
• {yy}는 앞에 0이 포함된 두 자리 수의 월입니다.
• {zz}는 앞에 0이 포함된 두 자리 수의 날짜입니다.
• {hh}는 앞에 0이 포함된 형식의 시간입니다(예: 00 - 24).

경로에서 안전하지 않은 URL 문자의 인스턴스가 URL 인코딩됩니다.

플로우 로그의 Object Storage 객체는 단일 유효한 JSON 객체를 포함합니다. Object Storage 객체가 .gz 압축되었습니다.

다음 표에 명시된 객체 헤더 필드는 Object Storage 객체 메타데이터에 기록됩니다.

    {
        "version": "0.0.1",
        "collector_crn": "crn",
        "attached_endpoint_type": "vnic",
        "network_interface_id": "crn",
        "instance_crn": "crn",
        "vpc_crn": "crn"
        "capture_end_time": "2008-09-15T15:53:00Z",
        "capture_start_time": "2008-09-15T15:00:00Z",
        "state": "ok",
        "number_of_flow_logs" : 1,
        "flow_logs": [
            {
                "start_time": "2008-09-15T15:53:00",
                "end_time": "2008-09-15T15:40:00",
                "direction": "O",
                "action": "accepted",
                "initiator_ip": "1.2.3.4",
                "initiator_port": 20033,
                "target_ip": "5.6.7.8",
                "target_port": 80,
                "transport_protocol": 6,
                "ether_type": "IPv4",
                "was_initiated": true,
                "was_terminated": false,
                "bytes_from_initiator": 12000,
                "packets_from_initiator": 2212,
                "bytes_from_target": 323232,
                "packets_from_target": 3232
                "cumulative_packets_from_initiator": 2212,
                "cumulative_packets_from_target": 3232,
                "cumulative_bytes_from_target": 323232,
                "cumulative_bytes_from_initiator": 12000,
            }
        ],
    }