流日志数据格式

流日志流量摘要包含以下信息:

• 字节/包计数，分别用于 RX (接收) 和 TX (传输)。
• 连接是在时间窗口中启动还是停止。

由于流日志在有限的时间范围内反映网络流量，因此长时间运行的连接可能会导致发出多个流日志。 对于 vNIC, 都会发出按时间顺序排列的流量日志（不包括故障）。 这些流日志显示在一个或多个 Object Storage 对象中。

流日志中的 initiator_ip 定义为到达 vNIC的其连接的第一个包中显示的 source_ip。 在实现级别，此包通常是导致将新连接添加到连接表的包。 同样，流日志中的 target_ip 设置为同一包中的 dest_ip 字段。

如果连接发起方 vNIC 和连接目标 vNIC 都启用流日志，那么两个 vNICs上的流日志中的发起方和目标 IP 及端口字段相同。

示例：假设客户向网络服务器发送了 HTTP 请求。 客户端 vNIC 上此 HTTP 请求的流量日志显示客户端的IP地址为 initiator_ip。 服务器端 vNIC 的相应流量日志与 initiator_ip 相同。

流日志中的 start_time 和 end_time 反映:

• 捕获时间-查询数据路径元素以获取流量计数器的时间。
• 数据路径时间-数据路径元素本身中保留的时间。

流日志可能不会反映流日志 start_time 与 end_time 之间的所有流量 (例如，数据路径中的流量)。 换言之，可能是 vNIC 在捕获窗口结束时发送和接收的包仅反映在具有后续 start_time 窗口的流日志中。

流日志反映连接上的实际流量: 如果在捕获窗口中的连接上未发生流量，那么不会在该窗口的 Object Storage 对象中显示该流量的流日志。 表示连接的流日志序列可能映射到一系列非连续 Object Storage对象。

对象中的流日志数组不需要按任何特定顺序排序。

已拒绝的流量:

• 特定流日志汇总了已拒绝的流量或已接受的流量，但这两者都不相同。
• 连接的流日志序列可能在已接受的流日志和已拒绝的流日志之间存在时间窗口重叠。
• 未与现有连接关联的已拒绝包 (例如，安全组或网络 ACL 拒绝连接启动)。
• 已拒绝现有连接上的包 (例如，与 TCP 状态机不匹配的流量，或者网络 ACL 规则已更改中间连接)。
• 被拒绝的包将根据它们是传入的还是传出的，写入单独的流日志。

如果安全组或网络 ACL 规则阻止了流的包，那么会将这些流标记为“已拒绝”。

流日志对象格式

按以下命名约定将流日志写入用户指定的 Object Storage 存储区:

ibm_vpc_flowlogs_v1/account={account}/region={region}/vpc-id={vpc-id}/subnet-id={subnet-id}/endpoint-type=vnics/instance-id={vsi-id}/vnic-id={vnic-id}/record-type={all|ingress|egress}/year={xxxx}/month={yy}/day={zz}/hour={hh}/stream-id={stream-id}/{sequence-number}.gz

其中：

• {stream-id} 是 ISO 8601 格式 yyyymmddThhmmssZ (全球标准时间) 的日期和时间字符串，定义为创建 directory 中第一个对象的时间。
• {sequence-number} 是流中对象的运行计数器，表示为 8 个字符的零填充字段 (%08d)。
• {all|ingress|egress} 显示了流包含的流量类型。
• {xxxx} 是四位数格式的年份。
• {yy} 是采用两位数，零前导格式的月份。
• {zz} 是采用两位数，零前导格式的月份中的日期。
• {hh} 是零前导格式的小时 (例如 00-24)。

路径中任何包含 URL 不安全字符的实例均已 URL 编码。

流日志的 Object Storage 对象包含单个有效 JSON 对象。 Object Storage 对象已 .gz 压缩。

下表中指定的对象头字段将写入 Object Storage 对象元数据。

    {
        "version": "0.0.1",
        "collector_crn": "crn",
        "attached_endpoint_type": "vnic",
        "network_interface_id": "crn",
        "instance_crn": "crn",
        "vpc_crn": "crn"
        "capture_end_time": "2008-09-15T15:53:00Z",
        "capture_start_time": "2008-09-15T15:00:00Z",
        "state": "ok",
        "number_of_flow_logs" : 1,
        "flow_logs": [
            {
                "start_time": "2008-09-15T15:53:00",
                "end_time": "2008-09-15T15:40:00",
                "direction": "O",
                "action": "accepted",
                "initiator_ip": "1.2.3.4",
                "initiator_port": 20033,
                "target_ip": "5.6.7.8",
                "target_port": 80,
                "transport_protocol": 6,
                "ether_type": "IPv4",
                "was_initiated": true,
                "was_terminated": false,
                "bytes_from_initiator": 12000,
                "packets_from_initiator": 2212,
                "bytes_from_target": 323232,
                "packets_from_target": 3232
                "cumulative_packets_from_initiator": 2212,
                "cumulative_packets_from_target": 3232,
                "cumulative_bytes_from_target": 323232,
                "cumulative_bytes_from_initiator": 12000,
            }
        ],
    }