グローバル外部パススルー ネットワーク ロードバランサのロギングとモニタリング

このドキュメントでは、グローバル外部パススルー ネットワーク ロードバランサに Cloud Logging と Cloud Monitoring を構成し、使用する方法について説明します。

ロギング

ログは、グローバル外部パススルー ネットワーク ロードバランサのトラブルシューティングとモニタリングに役立つ情報を提供します。ログは接続ごとに集約され、ほぼリアルタイムでエクスポートされます。ログは、ロードバランスされたインスタンスの TCP、UDP、ESP、GRE、ICMP、ICMPv6 の各フローについて、上り（内向き）トラフィックと下り（外向き）トラフィックの両方で生成されます。ログエントリに含まれるフィールドの詳細については、ログフィールドをご覧ください。

ログの使用に追加料金はかかりません。ログのインポート方法に基づいて、Cloud Logging、BigQuery、または Pub/Sub の標準料金が適用されます。ログを有効にしても、ロードバランサのパフォーマンスに影響はありません。

ロギングには次の利点があります。

• グローバル外部パススルー ネットワーク ロードバランサのトラフィック モニタリング。接続ごとのロギングにより、各接続がサービスを提供するバックエンドにどのようにルーティングされるかについての分析情報が得られます。

• ネットワークのトラブルシューティング。トラブルシューティングには、グローバル外部パススルー ネットワーク ロードバランサのログを利用できます。

外部クライアントから VM へのフローのサンプルログ形式

クライアントからバックエンド インスタンスへの接続のグローバル外部パススルー ネットワーク ロードバランサのログの形式は次のとおりです。

• connection.clientIp: 203.0.113.7
• connection.serverIp: 136.124.69.214（AG0）または 136.124.83.205（AG1）
• bytesSent: 1256
• bytesReceived: 4521

ログのサンプリングと収集

Cloud de Confiance は、ロードバランサのバックエンド VM で送受信されたパケットをサンプリングします。サンプリングされたパケットは、ログを生成するために処理されます。

すべてのパケットがサンプリングされるわけではありません。 Cloud de Confiance は、物理ホスト上のトラフィック量に応じてパケットのサブセットをサンプリングします。最も低いサンプリング レートは、1,024 パケット中 1 パケットです。サンプリング レートは Cloud de Confianceによって動的に制御されます。サンプリング レートは調整できません。

パケット サンプリングは、ファイアウォール ルールと次のように相互作用します。

• 下り（外向き）ファイアウォール ルールが適用される前にパケットがサンプリングされます。
• 上り（内向き）ファイアウォール ルールが適用された後にパケットがサンプリングされます。

パケット サンプリングの後、 Cloud de Confiance はサンプリングされたパケットを次のように処理します。

1. 集計: サンプリングされたパケットは 5 秒間隔で集計され、単一のフローエントリが生成されます。

2. 構成可能な（セカンダリ）ログ サンプリング: 2 番目のサンプリング プロセスで、フローをサンプリングします。logConfig.sampleRate パラメータに従って、ログエントリとして出力されるフロー部分の割合を制御します。logConfig.sampleRate が 1.0（100%）の場合、サンプリングされたパケットがすべて処理されます。

3. Logging への書き込み: ログエントリが Cloud Logging に書き込まれます。

任意の項目

ログレコードには必須フィールドとオプション フィールドがあります。ログフィールド セクションには、オプション フィールドと必須フィールドが表示されます。すべての必須フィールドは常に含まれます。保持するオプション フィールドはカスタマイズできます。

• [すべてのオプションのフィールドを含める] を選択すると、ログレコード形式のすべてのオプションのフィールドがフローログに含まれます。新しいオプション フィールドがレコード形式に追加されると、フローログに新しいフィールドが自動的に含まれます。

• [すべてのオプションを除外する] を選択すると、すべてのオプションのフィールドが省略されます。

• [カスタム] を選択する場合は、親フィールドに含めるオプション フィールド（例: serverInstance）またはフルネーム（例: serverInstance.vm）を指定できます。

新しいオプション フィールドがレコード形式に追加された場合、これらのフィールドが指定した親フィールド内の新しいフィールドである場合を除き、これらのフィールドはログに含まれません。

親フィールドを使用してカスタムのオプション フィールドを指定した場合、その親フィールド内のレコード形式に新しいオプション フィールドが追加されると、ログには新しいフィールドが自動的に含まれます。たとえば、optionalFieldA を含めると、optionalFieldA.subField1 という名前で新しいログがフィールドに自動的に追加されます。

オプション フィールドをカスタマイズする手順については、新しいバックエンド サービスでロギングを有効にするをご覧ください。

レスポンス パケットの送信元 IP アドレスの要件

ロギングは、これらのパケットの送信元 IP アドレスがロードバランサの転送ルールの IP アドレスと一致する場合にのみ、バックエンド VM からのレスポンス パケットをサンプリングします。TCP 接続の場合、レスポンス パケットの送信元は常にリクエスト パケットの宛先と一致している必要があります。ただし、他のプロトコルでは、レスポンス パケットが異なる送信元 IP アドレスを使用する場合があります。詳細については、リクエスト パケットと戻りパケットの IP アドレスをご覧ください。

グローバル外部パススルー ネットワーク ロードバランサのロギングで使用されるパケット サンプリング プロセスでは、バックエンド VM からのレスポンス パケットのソースがグローバル外部パススルー ネットワーク ロードバランサの転送ルールの IP アドレスと一致しない場合、それらのレスポンス パケットは省略されます。

新しいバックエンド サービスでロギングを有効にする

    gcloud compute backend-services create BACKEND_SERVICE \
        --global \
        --load-balancing-scheme=EXTERNAL_PASSTHROUGH \
        --enable-logging \
        --logging-sample-rate=SAMPLE_RATE \
        --logging-optional=LOGGING_OPTIONAL \
        --logging-optional-fields=OPTIONAL_FIELDS
    

    POST https://compute.s3nsapis.fr/compute/v1/projects/`PROJECT_ID`/global/backendServices
    

    {
    "name": "BACKEND_SERVICE",
    "loadBalancingScheme": "EXTERNAL_PASSTHROUGH",
    "logConfig": {
       "enable": true,
       "sampleRate": SAMPLE_RATE
      }
    }
    

    {
    "name": "BACKEND_SERVICE",
    "loadBalancingScheme": "EXTERNAL_PASSTHROUGH",
    "logConfig": {
       "enable": true,
       "sampleRate": SAMPLE_RATE,
       "optionalMode": "INCLUDE_ALL_OPTIONAL"
      }
    }
    

    {
    "name": "BACKEND_SERVICE",
    "loadBalancingScheme": "EXTERNAL_PASSTHROUGH",
    "logConfig": {
       "enable": true,
       "sampleRate": SAMPLE_RATE,
       "optionalMode": "CUSTOM",
       "optionalFields": ["field1","field2",...]
      }
    }
    

既存のバックエンド サービスでロギングを有効にする

    gcloud compute backend-services update BACKEND_SERVICE \
        --global \
        --enable-logging \
        --logging-sample-rate=SAMPLE_RATE \
        --logging-optional=LOGGING_OPTIONAL \
        --logging-optional-fields=OPTIONAL_FIELDS
    

      PATCH https://compute.s3nsapis.fr/compute/v1/projects/`PROJECT_ID`/global/backendServices/`BACKEND_SERVICE`
     

     "logConfig": {
       "enable": true,
       "sampleRate": SAMPLE_RATE,
       "optionalMode": "EXCLUDE_ALL_OPTIONAL"
      }
     

    {
    "name": "BACKEND_SERVICE",
    "loadBalancingScheme": "EXTERNAL_PASSTHROUGH",
    "logConfig": {
       "enable": true,
       "sampleRate": SAMPLE_RATE,
       "optionalMode": "INCLUDE_ALL_OPTIONAL"
      }
    }
    

    {
    "name": "BACKEND_SERVICE",
    "loadBalancingScheme": "EXTERNAL_PASSTHROUGH",
    "logConfig": {
       "enable": true,
       "sampleRate": SAMPLE_RATE,
       "optionalMode": "CUSTOM",
       "optionalFields": ["field1","field2",...]
      }
    }
    

既存のバックエンド サービスでロギングを無効にする

    gcloud compute backend-services update BACKEND_SERVICE \
        --global \
        --no-enable-logging

    PATCH https://compute.s3nsapis.fr/compute/v1/projects/`PROJECT_ID`/global/backendServices/`BACKEND_SERVICE`

    {
    "logConfig": {
      "enable": false
     }
    }

ログを表示

ログが Cloud Logging に取り込まれ、ログルーター シンクで除外されていない場合、Cloud Logging API と Google Cloud CLI でログを確認できます。

すべてのグローバル外部パススルー ネットワーク ロードバランサのログを表示するには:

特定のバックエンド サービスのログを表示する

特定のバックエンド サービスのグローバル外部パススルー ネットワーク ロードバランサのログを表示するには:

バックエンド インスタンス グループのログを表示する

特定のバックエンド インスタンス グループのグローバル外部パススルー ネットワーク ロードバランサのログを表示するには:

ログのフィールド

ログレコードには、すべてのログレコードのデフォルト フィールドである必須フィールドと、詳細情報を追加するオプションのフィールドが含まれています。オプション フィールドは、ストレージ コストを節約するために省略できます。

一部のログフィールドはマルチ フィールド形式であり、所定のフィールドに複数のデータが含まれます。たとえば、connection フィールドは IpConnection 形式で、送信元と宛先の IP アドレスとポート、およびプロトコルが 1 つのフィールドに格納されます。これらのマルチ フィールドのフィールドについては、次のレコード形式の表で説明します。

モニタリング対象リソースは loadbalancing.googleapis.com/ExternalNetworkLoadBalancerRule です。

IpConnection フィールドの形式

InstanceDetails フィールドの形式

GeographicDetails フィールドの形式

GkeDetails フィールドの形式

ClusterDetails フィールドの形式

PodDetails フィールドの形式

ServiceDetails フィールドの形式

NetworkTierDetails フィールドの形式

モニタリング

グローバル外部パススルー ネットワーク ロードバランサは、主要な指標を Cloud Monitoring にエクスポートします。

モニタリング指標は次の目的で使用します。

• ロードバランサの構成、使用状況、パフォーマンスを評価する
• 問題のトラブルシューティングを行う
• リソースの使用率とユーザー エクスペリエンスを改善する

Monitoring の事前定義されたダッシュボードに加えて、カスタム ダッシュボードを作成して、アラートをセットアップし、Monitoring API を使用して指標をクエリできます。

Monitoring ダッシュボードを表示する

Monitoring カスタム ダッシュボードを定義する

グローバル外部パススルー ネットワーク ロードバランサの指標に関しては、カスタムの Monitoring ダッシュボードを作成できます。

収集された指標のリストについては、指標とリソースタイプをご覧ください。結果のフィルタリングに使用できる属性のリストについては、フィルタをご覧ください。

Monitoring アラートを定義する

さまざまなグローバル外部パススルー ネットワーク ロードバランサの指標に Monitoring アラートを定義できます。

指標報告の頻度と保持

グローバル外部パススルー ネットワーク ロードバランサの指標は、1 分単位のバッチで Monitoring にエクスポートされます。モニタリング データは 6 週間保持されます。指標はサンプリングされたトラフィックに基づいています（サンプリング レートは動的で、調整できません）。ダッシュボードでは、1 時間（1H）、6 時間（6H）、1 日（1D）、1 週間（1W）、6 週間（6W）のデフォルト間隔でデータ分析の結果を確認できます。6 週間から 60 秒までの任意の間隔を指定して、手動で分析を行うこともできます。

指標とリソースタイプ

このセクションでは、グローバル外部パススルー ネットワーク ロードバランサの指標とリソースタイプについて説明します。

指標

グローバル外部パススルー ネットワーク ロードバランサの次の指標が、Monitoring に報告されます。これらの指標名は、API リクエストの作成時に使用できます。

リソースタイプ

グローバル外部パススルー ネットワーク ロードバランサは、次のリソースタイプを使用します。

• tcp_lb_rule
• udp_lb_rule
• loadbalancing.googleapis.com/ExternalNetworkLoadBalancerRule

グローバル外部パススルー ネットワーク ロードバランサは、TCP、UDP、ESP、GRE、ICMP、ICMPv6 トラフィックをサポートします。

リソースタイプを tcp_lb_rule または udp_lb_rule として指定すると、モニタリング対象データを TCP または UDP プロトコルのいずれかに限定できます。リソースタイプを loadbalancing.googleapis.com/ExternalNetworkLoadBalancerRule として指定すると、TCP、UDP、ESP、GRE、ICMP、ICMPv6 など、サポートされているすべてのプロトコルをモニタリングできます。

フィルタ

指標は、グローバル外部パススルー ネットワーク ロードバランサごとに集計されます。集計された指標は、次のディメンションでフィルタ処理できます。

tcp_lb_rule または udp_lb_rule のリソースラベル

クエリはリソースによって制限できます。また、これらの値で結果をグループ化することもできます。

resource.label.<var>LABEL_KEY</var>:

loadbalancing.googleapis.com/ExternalNetworkLoadBalancerRule のリソースラベル

クエリはリソースによって制限できます。また、これらの値で結果をグループ化することもできます。

resource.label.<var>LABEL_KEY</var>:

指標ラベル

クエリは指標ラベルで制限できます。また、これらの値で結果をグループ化することもできます。

metric.label.<var>LABEL_KEY</var>:

API リクエストのモニタリング

Monitoring API の v3 projects.timeSeries.list リクエストを使用して、グローバル外部パススルー ネットワーク ロードバランサに関する任意のクエリを構築できます。さまざまな定義の正確な構造は、一般的なモニタリング フィルタのセマンティクスに従います。

API リクエストの例

• 2019 年 7 月 1 日の UTC 午後 12 時 00 分から午後 12 時 02 分に、プロジェクト内のすべてのグローバル外部パススルー ネットワーク ロードバランサから送信された合計バイト数を 1 分の集計で取得します。

  timeSeries.list のパラメータ:

  • name: projects/PROJECT_ID
  • Filter: resource.type = "tcp_lb_rule" AND metric.name="loadbalancing.googleapis.com/l3/external/egress_bytes_count"
  • interval.start_time: 2019-07-01T12:00:00Z
  • interval.end_time: 2019-07-01T12:02:00Z
  • aggregation.alignmentPeriod: 60s
  • aggregation.crossSeriesReducer: REDUCE_SUM
  • aggregation.perSeriesAligner: ALIGN_SUM

• 2019 年 7 月 1 日の UTC 午後 12 時 19 分から 12 時 20 分の間のプロジェクトでのグローバル外部パススルー ネットワーク ロードバランサ全体の RTT 測定値の中央値を、クライアントの国別に取得します。

  timeSeries.list のパラメータ:

  • name: projects/PROJECT_ID
  • Filter: resource.type = "tcp_lb_rule" AND metric.name="loadbalancing.googleapis.com/l3/external/rtt_latencies"
  • interval.start_time: 2019-07-01T12:19:00Z
  • interval.end_time: 2019-07-01T12:20:00Z
  • aggregation.alignmentPeriod: 60s
  • aggregation.crossSeriesReducer: REDUCE_SUM
  • aggregation.groupByFields: metric.label.client_country
  • aggregation.perSeriesAligner: ALIGN_PERCENTILE_50

• 2019 年 7 月 1 日の UTC 午後 12 時 19 分から 12 時 20 分の間の特定のグローバル外部パススルー ネットワーク ロードバランサからのバイト数の合計を、エンドポイント ゾーンとクライアントの大陸別に取得します。

  timeSeries.list のパラメータ:

  • name: projects/PROJECT_ID
  • Filter: resource.type = "tcp_lb_rule" AND resource.label.load_balancer_name = "netlb-bs-1" AND metric.name="loadbalancing.googleapis.com/l3/external/ingress_bytes_count"
  • interval.start_time: 2019-07-01T12:19:00Z
  • interval.end_time: 2019-07-01T12:20:00Z
  • aggregation.alignmentPeriod: 60s
  • aggregation.crossSeriesReducer: REDUCE_SUM
  • aggregation.groupByFields: metric.label.client_continent
  • aggregation.groupByFields: resource.label.endpoint_zone
  • aggregation.perSeriesAligner: ALIGN_SUM

次のステップ

• グローバル外部パススルー ネットワーク ロードバランサの概要
• 指標、時系列、リソースのモニタリング
• 転送ルールの概要