Sobre o IBM Cloud Flow Logs for VPC
O IBM Cloud® Flow Logs for VPC permite a coleta, o armazenamento e a apresentação de informações sobre o tráfego de protocolo da Internet (IP) que entra e sai de interfaces de rede dentro de sua Nuvem Privada Virtual (VPC).
Os logs de fluxo podem ajudar com uma série de tarefas, incluindo:
- Solucionar problemas da razão pela qual o tráfego específico não está atingindo uma instância, o que ajuda a diagnosticar regras restritivas do grupo de segurança
- Registrar o tráfego de rede de metadados que está acessando a sua instância
- Determinar o tráfego de origem e de destino das interfaces de rede
- Aderir às regulamentações de conformidade
- Ajudar com a análise de causa raiz
Visão geral dos recursos
- Disponibilidade em todas as Regiões Multizona (MZRs) da IBM Cloud no mundo todo, fornecendo soluções globais
- Gerenciamento do ciclo de vida e de operações centrado na rede
- Suspender (parar) e continuar (início) a atividade do coletor
- Armazena convenientemente saída de coletor em IBM Cloud® Object Storage
- Nenhum impacto no desempenho da rede
- Tolerância a falhas integrada
- A precificação é medida por GB de metadados que são coletados por destino de log de fluxo
Configurando coletores de log de fluxo
É possível configurar coletores de log de fluxo com diferentes escopos de coleta. Por exemplo, um coletor que tem como destino uma VPC e agrega dados em trânsito de todas as interfaces de rede dentro dessa VPC. Ou, um coletor que tem como destino uma instância de servidor virtual e agrega dados em trânsito somente das interfaces de rede dessa instância de servidor virtual. Após a coleta dos dados, os registros de fluxo são armazenados em um bucket do IBM Cloud® Object Storage, que você configura ao criar o coletor de registros de fluxo.
É possível configurar a granularidade de um coletor de log de fluxo para os escopos de destino a seguir. Tenha em mente que se você criar um log de fluxo para uma sub-rede ou um VPC, cada interface de rede nessa sub-rede ou nesse VPC será monitorada.
| Target | Quais dados são coletados |
|---|---|
| VPC | Coleta dados para todas as interfaces de rede em um VPC específico. |
| Sub-rede | Coleta dados para todas as interfaces de rede em uma sub-rede específica. |
| Instância | Coleta dados para todas as interfaces de rede em um servidor virtual específico. |
| Interface | Coleta dados para uma interface de rede específica em um servidor virtual específico. |
Durante cada intervalo de envio do coletor, há dois registros de fluxo (entrada e saída) por interface de rede que são gravados no bucket designado do Object Storage.
Melhor granularidade vence
Cada destino de log de fluxo pode ter um único coletor de log de fluxo, o que pode levar a sobreposições. Aqui estão exemplos, com a granularidade mais baixa listada primeiro:
- Uma interface de instância de servidor virtual pode ter um coletor de log de fluxo.
- A instância de servidor virtual à qual a interface está conectada pode ter um coletor de log de fluxo separado.
- A sub-rede à qual a instância de servidor virtual está conectada pode ter seu próprio coletor de log de fluxo.
- O VPC do qual a sub-rede faz parte pode ter o seu próprio coletor de log de fluxo.
Se existir uma sobreposição, o coletor do log de fluxo mais direcionado terá precedência. Essa prioridade é importante porque cada coletor de logs de fluxo pode registrar dados em um bucket do Object Storage diferente, e o local onde os dados dos logs de fluxo são armazenados pode mudar ao longo do ciclo de vida de uma instância de servidor virtual.
Introdução
Para começar a usar coletores de log de fluxo, siga estas etapas:
- Preencha quaisquer pré-requisitos antes de pedir os logs do IBM Cloud Flow Logs.
- Decida sobre o escopo de coleta e crie um ou mais coletores de log de fluxo.
- Revise os logs de fluxo que foram gerados. Consulte Visualizando objetos de log de fluxo para obter detalhes.
A criação ou exclusão de um log de fluxo não impacta o desempenho da rede. Os dados do log de fluxo são coletados fora do caminho de seu tráfego de rede para que ele não afete a latência ou o rendimento da rede.
Casos de uso de logs de fluxo
Com o IBM Cloud Flow Logs for VPC, será possível validar se as conexões de rede e os dados estão chegando aos destinos com sucesso e, se não estiverem, solucionar o problema. Isso é útil ao diagnosticar regras do grupo de segurança, fluxos negados e assim por diante.
Caso de uso 1: A definição da granularidade mais precisa traz vantagens
O diagrama a seguir mostra as maneiras possíveis de configurar coletores de log de fluxo. Este exemplo destaca os diferentes destinos de log de fluxo definidos na mesma VPC, representando quais coletores obtêm os dados de suas instâncias associadas. Por exemplo:
-
O coletor de log de fluxo VPC (azul) é um coletor abrangente. Quaisquer instâncias que estiverem na VPC agora ou no futuro fluirão para o Depósito-E se nenhum outro coletor tiver como destino o depósito.
-
O coletor de log de fluxo Sub-rede (verde) também é um coletor abrangente, mas para uma sub-rede específica em uma VPC. Quaisquer instâncias nessa sub-rede ou que estiverem nela no futuro fluirão para o Depósito-C.
-
O coletor de log de fluxo Instância (vermelho) é usado quando há necessidade de uma granularidade ainda mais baixa. Por exemplo, suponha que a Instância-5 estivesse usando o Depósito-E e você estivesse tentando solucionar um problema de conectividade em uma instância específica. É possível limitar a resolução de problemas ao criar um coletor de log de fluxo apenas para essa instância, enviando todo o seu tráfego para um depósito separado por um determinado período de tempo.
granularidade mais fina ganha exemplo*A granularidade mais fina ganha
Caso de uso 2: Solução de problemas em grupos de segurança e ACLs de rede
Assim como no caso de uso 1, este caso de uso ilustra como definir a granularidade dos coletores de logs de fluxo para diferentes escopos-alvo. Ele também vai um passo além para retratar como os logs de fluxo podem ajudá-lo a solucionar problemas usando grupos de segurança e ACLs de rede (NACLs).
Cenário:
- A NACL 2 na Sub-rede 3 está impedindo a execução de um servidor da web lá. Observe que essa ACL de rede permite o ingresso, mas nega o egresso.
- Uma instância de servidor virtual na Sub-rede 2 (NACL 1 permite ingresso e egresso) tenta consultar o servidor da web que você está executando na Sub-rede 3.
- A consulta termina e você vê que o tráfego foi aceito no caminho de ingresso para a Sub-rede 3 na instância de servidor virtual 31.
- Quando a instância de servidor virtual 31 recebe a solicitação, ela gera uma resposta e tenta enviá-la. Infelizmente, a resposta não pode ser retornada e a sua conexão é interrompida na Sub-rede 2 até que ela atinja tempo limite.
- Os logs de fluxo mostram que a solicitação foi enviada e que ela foi aceita na instância de servidor virtual 31. Os logs de fluxo mostram que o tráfego de resposta foi rejeitado.
Caso de uso 3: Detecção de vulnerabilidades em portas
Considere um cenário no qual um invasor inicia conexões com diferentes portas TCP. Sucessivamente, essas conexões são bloqueadas pelo filtro de grupo de segurança. Os registros de fluxo coletam todos os fluxos que foram rejeitados pelo grupo de segurança e os reportam para IBM Cloud® Object Storage.
