Formato de dados do log de fluxo

Os resumos de tráfego do log de fluxo contêm as informações a seguir:

• Contagens de byte/pacote, separadamente para RX (recebimento) e TX (transmissão).
• Se uma conexão é iniciada ou parada no espaço de tempo.

Como um log de fluxo reflete o tráfego de rede em uma janela de tempo limitada, uma conexão de longa execução pode fazer com que diversos logs de fluxo sejam emitidos. Para cada conexão processada por uma vNIC, uma sequência ordenada por tempo de logs de fluxo é emitida (não incluindo falhas). Esses registros de fluxo aparecem em um ou mais objetos Object Storage.

O initiator_ip em um log de fluxo é definido como o source_ip que aparece no primeiro pacote de sua conexão que atingiu a vNIC. No nível de implementação, esse pacote é geralmente aquele que faz com que a nova conexão seja incluída na tabela de conexões. Da mesma forma, o target_ip no log de fluxo é configurado para o campo dest_ip nesse mesmo pacote.

Se a vNIC do inicializador de conexão e a vNIC do destino de conexão ativarem logs de fluxo, o inicializador e o IP de destino e os campos de portas serão idênticos nos logs de fluxo em ambas as vNICs.

Exemplo: Considere um cliente que está enviando uma solicitação HTTP para um servidor web. O log de fluxo para essa solicitação de HTTP na vNIC do lado do cliente tem o endereço IP do cliente como initiator_ip. O log de fluxo correspondente na vNIC do lado do servidor tem o mesmo initiator_ip.

O start_time e o end_time em um log de fluxo refletem:

• Horário de captura - O horário no qual os elementos do caminho de dados foram consultados por contadores de tráfego.
• Horário de caminho de dados - O horário conforme mantido no próprio elemento de caminho de dados.

É possível que o log de fluxo não reflita todo o tráfego (por exemplo, no caminho de dados) entre um log de fluxo start_time e end_time. Em outras palavras, pode ser que os pacotes enviados e recebidos pela vNIC no final da janela de captura sejam refletidos somente em um log de fluxo com a janela start_time mais recente.

Os registros de fluxo refletem o tráfego real nas conexões: se não ocorrer tráfego em uma conexão em uma janela de captura, nenhum registro de fluxo aparecerá para ela no objeto “ Object Storage ” (Registro de fluxo) para essa janela. Isso significa que a sequência de registros de fluxo para uma conexão pode ser mapeada para uma sequência de objetos não consecutivos Object Storage.

A matriz de logs de fluxo dentro de um objeto não precisa ser classificada em nenhuma ordem específica.

Tráfego rejeitado:

• Um log de fluxo específico resume o tráfego rejeitado ou aceito, nunca ambos.
• A sequência de logs de fluxo para uma conexão pode ter sobreposições de espaço de tempo entre os logs de fluxo aceitos e rejeitados.
• Pacotes rejeitados que não estão associados a uma conexão existente (por exemplo, um grupo de segurança ou uma ACL de rede nega a iniciação de conexão).
• Pacotes rejeitados em uma conexão existente (por exemplo, um tráfego que não corresponde à máquina de estado TCP ou uma conexão intermediária mudada pela regra de ACL de rede).
• Os pacotes rejeitados são gravados em logs de fluxo separados com base em seu estado de entrada ou de saída.

Os fluxos serão identificados como rejeitados se seus pacotes tiverem sido bloqueados por regras de grupo de segurança ou de ACL de rede.

Formato do objeto de log de fluxo

Os registros de fluxo são gravados no bucket Object Storage especificado pelo usuário, seguindo a seguinte convenção de nomenclatura:

ibm_vpc_flowlogs_v1/account={account}/region={region}/vpc-id={vpc-id}/subnet-id={subnet-id}/endpoint-type=vnics/instance-id={vsi-id}/vnic-id={vnic-id}/record-type={all|ingress|egress}/year={xxxx}/month={yy}/day={zz}/hour={hh}/stream-id={stream-id}/{sequence-number}.gz

Em que:

• {stream-id} é uma sequência de data e hora em formato ISO 8601 yyyymmddThhmmssZ (Hora Universal Coordenada), definida como o horário de criação do primeiro objeto no directory.
• {sequence-number} é um contador de objetos em execução dentro do fluxo, representado como um campo de oito caracteres, preenchido com zeros (%08d).
• {all|ingress|egress} mostra o tipo de tráfego que o fluxo inclui.
• {xxxx} é o ano em formato de quatro dígitos.
• {yy} é o mês em formato de dois dígitos, com zero à esquerda.
• {zz} é o dia do mês em um formato de dois dígitos, com zero à esquerda.
• {hh} é a hora no formato de zero à esquerda (por exemplo, 00-24).

Quaisquer instâncias de caracteres inseguros de URL no caminho são codificadas por URL.

O objeto Object Storage de um log de fluxo contém um único objeto JSON válido. O objeto Object Storage está .gz compactado.

Os campos do cabeçalho do objeto especificados na tabela a seguir são gravados nos metadados do objeto Object Storage.

    {
        "version": "0.0.1",
        "collector_crn": "crn",
        "attached_endpoint_type": "vnic",
        "network_interface_id": "crn",
        "instance_crn": "crn",
        "vpc_crn": "crn"
        "capture_end_time": "2008-09-15T15:53:00Z",
        "capture_start_time": "2008-09-15T15:00:00Z",
        "state": "ok",
        "number_of_flow_logs" : 1,
        "flow_logs": [
            {
                "start_time": "2008-09-15T15:53:00",
                "end_time": "2008-09-15T15:40:00",
                "direction": "O",
                "action": "accepted",
                "initiator_ip": "1.2.3.4",
                "initiator_port": 20033,
                "target_ip": "5.6.7.8",
                "target_port": 80,
                "transport_protocol": 6,
                "ether_type": "IPv4",
                "was_initiated": true,
                "was_terminated": false,
                "bytes_from_initiator": 12000,
                "packets_from_initiator": 2212,
                "bytes_from_target": 323232,
                "packets_from_target": 3232
                "cumulative_packets_from_initiator": 2212,
                "cumulative_packets_from_target": 3232,
                "cumulative_bytes_from_target": 323232,
                "cumulative_bytes_from_initiator": 12000,
            }
        ],
    }