流日志数据格式

流日志流量摘要包含以下信息:

• 字节/包计数，分别用于 RX (接收) 和 TX (传输)。
• 连接是在时间窗口中启动还是停止。

由于流日志在有限的时间范围内反映网络流量，因此长时间运行的连接可能会导致发出多个流日志。 对于 vNIC, 都会发出按时间顺序排列的流量日志（不包括故障）。 这些流日志显示在一个或多个 Object Storage 对象中。

流日志中的 initiator_ip 定义为到达 vNIC的其连接的第一个包中显示的 source_ip。 在实现级别，此包通常是导致将新连接添加到连接表的包。 同样，流日志中的 target_ip 设置为同一包中的 dest_ip 字段。

若连接发起方 vNIC 与连接目标 vNIC 均启用了流量日志功能，则两台 vNICs 设备生成的流量日志中，发起方与目标方的 IP 地址及端口字段将完全一致。

示例：假设有一个客户端正在向Web服务器发送 HTTP 请求。 此 HTTP 请求在客户端 vNIC 上的流日志显示，客户端IP地址为 initiator_ip。 服务器端 vNIC 上的对应流日志具有相同的 initiator_ip。

流日志中的 start_time 和 end_time 反映:

• 捕获时间-查询数据路径元素以获取流量计数器的时间。
• 数据路径时间-数据路径元素本身中保留的时间。

流日志可能不会反映流日志 start_time 与 end_time 之间的所有流量 (例如，数据路径中的流量)。 换言之，可能是 vNIC 在捕获窗口结束时发送和接收的包仅反映在具有后续 start_time 窗口的流日志中。

流量日志反映连接上的实际流量：若在捕获窗口内某连接未发生流量，则该窗口的 Object Storage 对象中不会出现该连接的流量日志。 这意味着连接的流日志序列可能映射为一组非连续的 Object Storage 对象序列。

对象中的流日志数组不需要按任何特定顺序排序。

已拒绝的流量:

• 特定流日志汇总了已拒绝的流量或已接受的流量，但这两者都不相同。
• 连接的流日志序列可能在已接受的流日志和已拒绝的流日志之间存在时间窗口重叠。
• 未与现有连接关联的已拒绝包 (例如，安全组或网络 ACL 拒绝连接启动)。
• 已拒绝现有连接上的包 (例如，与 TCP 状态机不匹配的流量，或者网络 ACL 规则已更改中间连接)。
• 被拒绝的包将根据它们是传入的还是传出的，写入单独的流日志。

如果安全组或网络 ACL 规则阻止了流的包，那么会将这些流标记为“已拒绝”。

流日志对象格式

按以下命名约定将流日志写入用户指定的 Object Storage 存储区:

ibm_vpc_flowlogs_v1/account={account}/region={region}/vpc-id={vpc-id}/subnet-id={subnet-id}/endpoint-type=vnics/instance-id={vsi-id}/vnic-id={vnic-id}/record-type={all|ingress|egress}/year={xxxx}/month={yy}/day={zz}/hour={hh}/stream-id={stream-id}/{sequence-number}.gz

其中：

• {stream-id} 是 ISO 8601 格式 yyyymmddThhmmssZ (全球标准时间) 的日期和时间字符串，定义为创建 directory 中第一个对象的时间。
• {sequence-number} 是流中对象的运行计数器，表示为 8 个字符的零填充字段 (%08d)。
• {all|ingress|egress} 显示了流包含的流量类型。
• {xxxx} 是四位数格式的年份。
• {yy} 是采用两位数，零前导格式的月份。
• {zz} 是采用两位数，零前导格式的月份中的日期。
• {hh} 是零前导格式的小时 (例如 00-24)。

路径中出现的任何 URL-unsafe字符都会被 URL 编码。

流日志的 Object Storage 对象包含单个有效 JSON 对象。 Object Storage 对象已 .gz 压缩。

下表中指定的对象头字段将写入 Object Storage 对象元数据。

    {
        "version": "0.0.1",
        "collector_crn": "crn",
        "attached_endpoint_type": "vnic",
        "network_interface_id": "crn",
        "instance_crn": "crn",
        "vpc_crn": "crn"
        "capture_end_time": "2008-09-15T15:53:00Z",
        "capture_start_time": "2008-09-15T15:00:00Z",
        "state": "ok",
        "number_of_flow_logs" : 1,
        "flow_logs": [
            {
                "start_time": "2008-09-15T15:53:00",
                "end_time": "2008-09-15T15:40:00",
                "direction": "O",
                "action": "accepted",
                "initiator_ip": "1.2.3.4",
                "initiator_port": 20033,
                "target_ip": "5.6.7.8",
                "target_port": 80,
                "transport_protocol": 6,
                "ether_type": "IPv4",
                "was_initiated": true,
                "was_terminated": false,
                "bytes_from_initiator": 12000,
                "packets_from_initiator": 2212,
                "bytes_from_target": 323232,
                "packets_from_target": 3232
                "cumulative_packets_from_initiator": 2212,
                "cumulative_packets_from_target": 3232,
                "cumulative_bytes_from_target": 323232,
                "cumulative_bytes_from_initiator": 12000,
            }
        ],
    }