Informazioni sui record dei log di flusso VPC

Questa pagina descrive il formato dei record dei log di flusso VPC, inclusi i campi di base e dei metadati disponibili. Spiega anche come utilizzare il filtro dei log in modo che vengano generati solo i log che corrispondono a determinati criteri.

Formato del record

I record di log contengono campi di base, che sono i campi principali di ogni record di log, e campi di metadati che aggiungono informazioni aggiuntive. I campi dei metadati possono essere omessi per risparmiare sui costi di archiviazione.

Alcuni campi di log sono in formato multi-campo, con più di un dato in un determinato campo. Ad esempio, il campo connection è nel formato IpConnection, che contiene l'indirizzo IP e la porta di origine e di destinazione, oltre al protocollo, in un unico campo. Questi campi con più campi sono descritti sotto la tabella del formato del record.

I valori dei campi dei metadati non si basano sul percorso del data plane; sono approssimazioni e potrebbero essere mancanti o errati. A differenza dei campi dei metadati, i valori dei campi di base vengono presi direttamente dalle intestazioni dei pacchetti.

Formato campo IpConnection

Formato del campo GatewayDetails

Formato del campo GkeDetails

Formato del campo ClusterDetails

Formato del campo PodDetails

Formato del campo WorkloadDetails

Formato del campo ServiceDetails

Esempio:

Se sono presenti due servizi, il campo Servizio ha il seguente aspetto:

service: [
 0: {
  service_name: "my-lb-service"
  service_namespace: "default"
 }
 1: {
  service_name: "my-lb-service2"
  service_namespace: "default"
 }
]

Se sono presenti più di due servizi, il campo Servizio ha il seguente aspetto:

service: [
 0: {
  service_name: "MANY_SERVICES"
 }
]

Formato del campo GoogleServiceDetails

Formato del campo InstanceDetails

Formato del campo InstanceGroupDetails

Formato del campo GeographicDetails

Formato del campo VpcDetails

Formato del campo InternetRoutingDetails

Formato campo AsPath

Formato del campo AsDetails

Formato del campo LoadBalancingDetails

Formato del campo NetworkServiceDetails

Formato del campo PrivateServiceConnectDetails

Formato del campo PrivateServiceConnectEndpointDetails

Formato del campo PrivateServiceConnectAttachmentDetails

Annotazioni dei metadati

I record di log contengono campi di base e campi di metadati. La sezione Formato record elenca i campi che sono metadati di tipo e quelli che sono di tipo base. Tutti i campi di base sono sempre inclusi. Puoi personalizzare i campi dei metadati che vuoi conservare.

• Se selezioni tutti i metadati, tutti i campi dei metadati nel formato di record dei log di flusso VPC vengono inclusi nei log di flusso. Quando vengono aggiunti nuovi campi di metadati al formato del record, i log di flusso includono automaticamente i nuovi campi.

• Se non selezioni metadati, tutti i campi dei metadati vengono omessi.

• Se selezioni i metadati personalizzati, puoi specificare i campi dei metadati da includere in base al campo principale, ad esempio src_vpc, o in base ai nomi completi, ad esempio src_vpc.project_id.

  Quando vengono aggiunti nuovi campi di metadati al formato del record, questi vengono esclusi dai log di flusso, a meno che non si trovino all'interno di un campo principale che hai specificato di includere.

  • Se specifichi metadati personalizzati utilizzando i campi principali, quando vengono aggiunti nuovi campi di metadati al formato del record all'interno di quel campo principale, i log di flusso includeranno automaticamente i nuovi campi.

  • Se specifichi metadati personalizzati utilizzando il nome completo del campo, i nuovi campi di metadati aggiunti al campo principale vengono esclusi dai log del flusso.

Per informazioni su come personalizzare i campi dei metadati, consulta Abilita log di flusso VPC o Aggiorna la configurazione dei log di flusso VPC.

Annotazioni dei metadati GKE

I flussi che hanno un endpoint in un cluster GKE possono essere annotati con annotazioni dei metadati GKE, che possono includere dettagli del cluster, del pod e del servizio dell'endpoint.

Annotazioni del servizio GKE

Il traffico inviato a un servizio ClusterIP, NodePort o LoadBalancer può ricevere annotazioni del servizio. Se inviato a un servizio NodePort o LoadBalancer, il flusso riceve l'annotazione del servizio su entrambi gli hop della connessione.

Il traffico inviato direttamente alla porta di servizio di un pod viene annotato con un'annotazione di servizio sull'endpoint di destinazione.

Il traffico inviato alla porta di servizio di un pod in cui il pod supporta più di un servizio sulla stessa porta di servizio viene annotato con più servizi sull'endpoint di destinazione. Questo limite è di due servizi. Se ce ne sono di più, l'endpoint verrà annotato con un marcatore speciale MANY_SERVICES.

Annotazioni dei pod sul traffico internet

Il traffico tra un pod e internet non riceve annotazioni del pod per impostazione predefinita. I log di flusso VPC non possono aggiungere annotazioni del pod perché, per i pacchetti su internet, l'agente di mascheramento traduce l'indirizzo IP del pod nell'indirizzo IP del nodo prima che i log di flusso VPC vedano il pacchetto.

A causa della rappresentazione, le annotazioni dei pod sono visibili solo se le destinazioni si trovano all'interno delle destinazioni predefinite senza rappresentazione o in un elenco nonMasqueradeCIDRs personalizzato. Se includi destinazioni internet in un elenco nonMasqueradeCIDRs personalizzato, devi fornire un modo per tradurre gli indirizzi IP dei pod interni prima che vengano inviati a internet. Per i cluster privati e non privati, puoi utilizzare Cloud NAT. Per maggiori dettagli, consulta Interazione con GKE.

Annotazioni tra progetti

Se i log di flusso VPC sono abilitati a livello di organizzazione, i flussi tramite VPC condiviso, peering di rete VPC e Network Connectivity Center vengono annotati con annotazioni tra progetti. Le annotazioni tra progetti sono attive per impostazione predefinita. Puoi disattivare queste annotazioni, se vuoi.

• Se le annotazioni tra progetti sono attive, i record di log per i flussi tra risorse in progetti diversi includono informazioni su entrambi i lati del flusso.
• Se le annotazioni tra progetti sono disattivate, i record di log includono informazioni solo sul reporter del flusso.

Se i log di flusso VPC sono abilitati a livello di progetto, i flussi tra le risorse in progetti diversi non sono annotati con annotazioni tra progetti.

Filtro dei log

Quando abiliti i log di flusso VPC, puoi impostare un filtro basato sia sui campi di base sia su quelli dei metadati che conserva solo i log corrispondenti al filtro. Tutti gli altri log vengono eliminati prima di essere scritti in Logging.

Puoi filtrare in base a qualsiasi sottoinsieme di campi elencati in Formato record, ad eccezione dei seguenti campi:

• rtt_msec
• bytes_sent
• packets_sent
• start_time
• end_time

Il filtro dei log di flusso VPC utilizza CEL, un linguaggio di espressioni incorporato per espressioni logiche basate sugli attributi. Le espressioni di filtro per i log di flusso VPC hanno un limite di 2048 caratteri. Per saperne di più, consulta Operatori logici CEL supportati.

Per saperne di più su CEL, consulta l'introduzione a CEL e la definizione del linguaggio. La funzionalità di filtro per generazione supporta un sottoinsieme limitato della sintassi CEL.

Per creare una configurazione dei log di flusso VPC che utilizza il filtro dei log, consulta Abilita i log di flusso VPC. Per configurare il filtro dei log per una configurazione dei log di flusso VPC esistente, consulta Aggiorna la configurazione dei log di flusso VPC.

Operatori logici CEL supportati

Esempi di filtri di log

Se hai abilitato i log di flusso VPC per una subnet utilizzando l'API Compute Engine, utilizza il comando gcloud compute networks subnets update per configurare il filtro (Esempi 1-3).

Per tutte le altre configurazioni dei log di flusso VPC, utilizza il comando gcloud network-management vpc-flow-logs-configs update (Esempi 4-6). Le espressioni di filtro negli esempi 1-3 possono essere utilizzate con il comando gcloud network-management vpc-flow-logs-configs update.

Esempio 1. Limita la raccolta dei log a una VM specifica denominata my-vm. In questo caso, vengono registrati solo i log in cui il campo src_instance segnalato dall'origine del traffico è my-vm o il campo dst_instance segnalato dalla destinazione del traffico è my-vm.

gcloud compute networks subnets update my-subnet \
    --logging-filter-expr="(src_instance.vm_name == 'my-vm' && reporter=='SRC') || (dest_instance.vm_name == 'my-vm' && reporter=='DEST')"

Esempio 2: Limita la raccolta dei log ai pacchetti i cui indirizzi IP di origine si trovano nella subnet 10.0.0.0/8.

gcloud compute networks subnets update my-subnet \
    --logging-filter-expr="inIpRange(connection.src_ip, '10.0.0.0/8')"

Esempio 3: Limita la raccolta dei log al traffico esterno a una rete VPC.

gcloud compute networks subnets update my-subnet \
    --logging-filter-expr '!(has(src_vpc.vpc_name) && has(dest_vpc.vpc_name))'

Esempio 4: Limita la raccolta dei log a un collegamento VLAN di destinazione specifico o a un tunnel Cloud VPN, my-gateway.

gcloud network-management vpc-flow-logs-configs update my-config \
    --location=global \
    --filter-expr="dest_gateway.name == 'my-gateway'"

Esempio 5: Limita la raccolta dei log ai collegamenti VLAN.

gcloud network-management vpc-flow-logs-configs update my-config \
    --location=global \
    --filter-expr="dest_gateway.type == 'INTERCONNECT_ATTACHMENT'"

Esempio 6. Limita la raccolta dei log a una rete VPC di origine specifica, my-network.

gcloud beta network-management vpc-flow-logs-configs update my-config \
    --location=global \
    --filter-expr="src_vpc.vpc_name == 'my-network'"

Passaggi successivi

• Configura log di flusso VPC
• Log di flusso di accesso