流程日誌資料格式

流程日誌資料流量摘要包含下列資訊:

• 個別針對 RX (接收) 及 TX (傳輸) 的位元組/封包計數。
• 連線是在時間範圍內啟動還是停止。

因為流程日誌在有限時間範圍內反映網路資料流量，長時間執行連線可能會導致產生多個流程日誌。 對於由 a 處理的每個連接vNIC,發出按時間順序排列的流日誌序列（不包括故障）。 這些流程日誌出現在一或多個 Object Storage 物件中。

流程日誌中的 initiator_ip 定義為 source_ip，它會出現在其連線的第一個封包中，到達 vNIC。 在實作層次，此封包通常是導致將新連線新增至連線表格的封包。 同樣地，流程日誌中的 target_ip 會設為該相同封包中的 dest_ip 欄位。

若連線發起方 vNIC 與連線目標方 vNIC 皆啟用流量記錄功能，則兩端流量記錄中的發起方與目標方 IP 及連接埠欄位，在 vNICs 系統中將呈現完全一致的記錄內容。

範例：假設某客戶端正向網頁伺服器發送一則「HTTP」請求。 此 HTTP 請求在客戶端 vNIC 的流量記錄中，顯示客戶端 IP 位址為 initiator_ip. 伺服器端的對應流量記錄位於 vNIC，內容相同 initiator_ip。

流程日誌中的 start_time 和 end_time 反映:

• 擷取時間-在資料路徑元素中查詢資料流量計數器的時間。
• 資料路徑時間-在資料路徑元素本身中維護的時間。

流程日誌可能不會反映流程日誌 start_time 與 end_time 之間的所有資料流量 (例如，在資料路徑中)。 換句話說，vNIC 在擷取時間範圍接近結束時所傳送及接收的封包，可能只會反映在具有後續 start_time 視窗的流程日誌中。

流量記錄反映連接上的實際流量：若某連接在擷取視窗期間未產生流量，則該視窗的 Object Storage 物件中將不會出現對應的流量記錄。 這意味著某個連線的流量日誌序列，可能被映射成一組非連續的 Object Storage 物件序列。

物件內的流程日誌陣列不需要以任何特定順序排序。

拒絕的資料流量:

• 特定流程日誌會彙總拒絕或接受的資料流量，永不兩者。
• 連線的流程日誌序列在接受與拒絕的流程日誌之間可能會有時間範圍重疊。
• 未與現有連線相關聯的拒絕封包 (例如，安全群組或網路 ACL 會拒絕連線起始設定)。
• 現有連線上拒絕的封包 (例如，不符合 TCP 狀態機器的資料流量，或網路 ACL 規則在連線中途變更)。
• 拒絕的封包會根據送入或送出的封包，寫入個別的流程日誌。

如果安全群組或網路 ACL 規則封鎖流程的封包，則會將流程標記為拒絕。

流程日誌物件格式

流程日誌會以下列命名慣例寫入使用者指定的 Object Storage 儲存區:

ibm_vpc_flowlogs_v1/account={account}/region={region}/vpc-id={vpc-id}/subnet-id={subnet-id}/endpoint-type=vnics/instance-id={vsi-id}/vnic-id={vnic-id}/record-type={all|ingress|egress}/year={xxxx}/month={yy}/day={zz}/hour={hh}/stream-id={stream-id}/{sequence-number}.gz

其中：

• {stream-id} 是 ISO 8601 格式的日期和時間字串 yyyymmddThhmmssZ (世界標準時間)，定義為建立 directory 中第一個物件的時間。
• {sequence-number} 是串流內物件的執行中計數器，以 8 個字元、填入零的欄位 (%08d) 表示。
• {all|ingress|egress} 顯示流程包括的資料流量類型。
• {xxxx} 是採用四位數格式的年份。
• {yy} 是採用兩位數前導零格式的月份。
• {zz} 是採用兩位數前導零格式的當月日期。
• {hh} 是前導零格式的小時 (例如，00-24)。

路徑中出現的任何 URL-unsafe 字元皆會進行 URL-encoded 編碼。

流程日誌的 Object Storage 物件包含單一有效 JSON 物件。 Object Storage 物件已 .gz 壓縮。

下表中指定的物件標頭欄位會寫入 Object Storage 物件 meta 資料。

    {
        "version": "0.0.1",
        "collector_crn": "crn",
        "attached_endpoint_type": "vnic",
        "network_interface_id": "crn",
        "instance_crn": "crn",
        "vpc_crn": "crn"
        "capture_end_time": "2008-09-15T15:53:00Z",
        "capture_start_time": "2008-09-15T15:00:00Z",
        "state": "ok",
        "number_of_flow_logs" : 1,
        "flow_logs": [
            {
                "start_time": "2008-09-15T15:53:00",
                "end_time": "2008-09-15T15:40:00",
                "direction": "O",
                "action": "accepted",
                "initiator_ip": "1.2.3.4",
                "initiator_port": 20033,
                "target_ip": "5.6.7.8",
                "target_port": 80,
                "transport_protocol": 6,
                "ether_type": "IPv4",
                "was_initiated": true,
                "was_terminated": false,
                "bytes_from_initiator": 12000,
                "packets_from_initiator": 2212,
                "bytes_from_target": 323232,
                "packets_from_target": 3232
                "cumulative_packets_from_initiator": 2212,
                "cumulative_packets_from_target": 3232,
                "cumulative_bytes_from_target": 323232,
                "cumulative_bytes_from_initiator": 12000,
            }
        ],
    }