關於虛擬私有雲流量記錄

• 如果是 VM 和無伺服器端點，回報者可以是 SRC 或 DEST。
• 如果是 Cloud Interconnect 的 VLAN 連結和 Cloud VPN 通道等閘道，回報者可以是 SRC_GATEWAY 或 DEST_GATEWAY。

如果啟用 TCP 連線記錄，且在匯總間隔期間觀察到傳出 SYN 或 SYN-ACK 封包，系統就會為 VM 和無伺服器端點填入這個欄位。如果連線橫跨多個匯總時間間隔，則只有在擷取 SYN 或 SYN-ACK 的時間間隔內，系統才會填入這個欄位。

可以是下列任一值：

• EGRESS：回報者傳送 SYN 封包 (reporter 為 SRC)，啟動 TCP 連線。
• INGRESS：回報者傳送 SYN-ACK 封包 (reporter 為 DEST)，回應傳入的 SYN 封包。

• 如果是 TCP 流量，測得的延遲時間是指從傳送 SEQ 到收到對應 ACK 之間經過的時間。
• 如果是 Falcon 流量，延遲時間是指硬體測量的 RTT。

未填入：

• TCP 連線記錄記錄連線事件，但沒有樣本資料封包時
• 捨棄的流量 (disposition=DROPPED)

• 僅測量 TCP 流量
• 為 VM 和無伺服器端點填入
• 未填入：
  • VLAN 連結和 Cloud VPN 通道
  • TCP 連線記錄記錄連線事件，但沒有樣本資料封包時
  • 捨棄的流量 (disposition=DROPPED)

測得的 RTT 是指從傳送 SEQ 到收到對應 ACK 之間經過的時間。

• 來源閘道是流量的回報者。
• 流量的目的地是回報者，且符合下列任一條件：
  • 來源閘道與流量目的地在同一個專案中。
  • 虛擬私有雲流量記錄是在組織層級設定，且未停用跨專案註解³。

• 目的地閘道是流量的回報者。
• 流程來源為回報者，且符合下列任一條件：
  • 目的地閘道與流量來源位於同一個專案。
  • 虛擬私有雲流量記錄是在組織層級設定，且未停用跨專案註解³。

• 來源 VM 是流量的報告者。
• 流量的目的地是回報者，且符合下列任一條件：
  • 來源 VM 或來源 VM 連結的虛擬私有雲網路，與流量目的地在同一個專案。
  • 虛擬私有雲流量記錄是在組織層級設定，且未停用跨專案註解³。

• 目的地 VM 是流量的報告者。
• 流程來源為回報者，且符合下列任一條件：
  • 目的地 VM 或目的地 VM 連結的虛擬私有雲網路，與流量來源位於相同專案。
  • 虛擬私有雲流量記錄是在組織層級設定，且未停用跨專案註解³。

• 來源資源是流量的回報者。
• 流程的目的地是回報者，且符合下列任一條件：
  • 來源資源或來源資源附加的虛擬私有雲網路，與流量目的地在同一個專案。
  • 虛擬私有雲流量記錄是在組織層級設定，且未停用跨專案註解³。

• 目的地資源是流量的報告者。
• 流程來源為回報者，且符合下列任一條件：
  • 目的地資源或目的地資源附加的虛擬私有雲網路，與流量來源位於相同專案。
  • 虛擬私有雲流量記錄是在組織層級設定，且未停用跨專案註解³。

• 流量回報者是負載平衡器的用戶端，且負載平衡器類型為 APPLICATION_LOAD_BALANCER、PROXY_NETWORK_LOAD_BALANCER、PASSTHROUGH_NETWORK_LOAD_BALANCER 或 PROTOCOL_FORWARDING。
• 流量的回報者是負載平衡器的後端，且負載平衡器類型為 PASSTHROUGH_NETWORK_LOAD_BALANCER 或 PROTOCOL_FORWARDING。

• 流量回報者為用戶，並使用指定已發布服務或全域 Google API 的 Private Service Connect 端點。
• 流量回報者是供應商，並使用內部直通式網路負載平衡器或內部通訊協定轉送。

服務類型：GOOGLE_API 或 GOOGLE_VPC_HOSTED_SERVICE。

• GOOGLE_API：這種類型適用於下列 Google API 和服務：
  • 從具有外部 IP 位址的 VM 存取 Google API
  • 透過 Private Google Access 存取的 Google API，或地端部署主機的 Private Google Access
  • 透過 Private Service Connect 端點存取的全域 Google API
• GOOGLE_VPC_HOSTED_SERVICE：這種類型用於虛擬私有雲託管的服務，例如：
  • 透過公開 IP 連線存取的 Google 服務，例如 Cloud SQL
  • 透過 Private Service Connect 發布的 Google 服務
  • 透過私人服務存取權發布的 Google 服務

服務名稱。例如：pubsub.googleapis.com。

限制：

• 如果 Google API 要求需要超過 60 秒才能完成，可能就不會顯示服務名稱。
• 如果 VM 或閘道使用相同的 5 元組連線至多項服務，記錄檔只會隨機選取並列出其中一項服務的名稱。

存取方法。如果是 GOOGLE_API 類型，連線欄位可以是下列其中一項：

• PUBLIC_IP (如果 API 是從具有外部 IP 位址的 VM 存取)
• PRIVATE_GOOGLE_ACCESS 或 DIRECT_CONNECTIVITY (如果透過 Private Google Access 存取 API)
• PRIVATE_SERVICE_CONNECT_FOR_GOOGLE_APIS (如果透過 Private Service Connect 端點存取 API)

如果是 GOOGLE_VPC_HOSTED_SERVICE 類型，連線欄位可以是下列其中一項：

• PUBLIC_IP (如果透過公開 IP 連線存取服務)
• PRIVATE_SERVICES_ACCESS (如果透過私人服務存取權存取服務)
• PRIVATE_SERVICE_CONNECT_ENDPOINT 或 PRIVATE_SERVICE_CONNECT_INTERFACE (如果透過 Private Service Connect 存取服務)

私人網域或 Private Service Connect API 套件。private_domain 欄位可以是下列其中一項：

• PRIVATE_GOOGLE_ACCESS 存取方法：private.googleapis.com 或 restricted.googleapis.com
• DIRECT_CONNECTIVITY 存取方法： restricted.googleapis.com
• PRIVATE_SERVICE_CONNECT_FOR_GOOGLE_APIS 存取方法：all-apis 或 vpc-sc

• 為 TCP 和 UDP 流量填入
• 不適用於 ICMP、ESP、GRE 和 RDMA 流量

• 為 TCP 和 UDP 流量填入
• 不適用於 ICMP、ESP、GRE 和 RDMA 流量

• 為 TCP、UDP、ICMP、ESP 和 GRE 流量填入
• 不會填入 RDMA 流程

• 如果流量的回報端是負載平衡器的用戶端，這個欄位會設為 CLIENT。
• 如果流量的回報端是負載平衡器的後端，這個欄位會設為 BACKEND。

系統評估了輸出防火牆規則，並執行「deny」動作，因此捨棄了傳出流量。

建議：如要允許這類流量，請調整防火牆規則。

發生與端點無關的對應衝突，因此傳出流量遭到捨棄。

建議：請參閱下列 Cloud NAT 說明文件：

• 同時重複使用通訊埠和端點獨立對應
• 封包遭到捨棄，原因：端點獨立性衝突

NAT 連線追蹤表格已達容量上限，因此系統捨棄了傳出流量。

建議：查看每個 VM 的網路位址轉譯 (NAT) 連線限制和網路位址轉譯 (NAT) 逾時。

Cloud NAT 閘道已用盡可指派給 VM 的 NAT 2 元組 (通訊埠)，因此捨棄傳出流量。因此，VM 網路介面無法使用閘道傳送封包。

建議：請確認 NAT IP 位址和每個 VM 的通訊埠分配數量充足。詳情請參閱「IP 位址和通訊埠」。

由於沒有符合目的地的路徑，因此傳出流量遭到捨棄。

建議：使用 Cloud de Confiance 控制台的「Effective Routes」(有效路徑) 專區，查看虛擬私有雲網路中的路徑。您也可以建立及執行 Connectivity Tests。

主機的封包處理軟體超出 CPU 容量，因此傳出流量遭到捨棄。

建議：如果封包持續遭到捨棄，建議使用頻寬較高 (Tier_1) 的 VM，或將流量分散至更多 VM。

封包來源與 VM 網路介面無關聯，且 IP 轉送功能已關閉，因此傳出流量已捨棄。

建議：如要從 VM 網路介面傳送任意來源的封包，到虛擬私有雲網路內可轉送的目的地，您必須為 VM 啟用 IP 轉送功能。

主機的封包處理軟體無法容納流量，因此傳出流量遭到捨棄。

建議：建議您改用專為大量連線設計的其他機器系列，或將工作負載分配至更多 VM。

主機的封包處理軟體強制執行資源公平性，因此捨棄傳入流量。這種行為通常只會影響第 1 代機器系列。

建議：如果持續發生掉幀情形，建議改用較新或效能較佳的機器系列。

系統評估輸入防火牆規則後，發現其動作為「deny」，因此捨棄了輸入流量。

建議：如要允許這類流量，請調整防火牆規則。

偵測到核對和不符，因此已捨棄傳入流量。封包是從虛擬私有雲網路外部的來源，傳送至與 VM 回報者相關聯的目的地外部 IP 位址。詳情請參閱「輸入至虛擬私有雲網路以外的目的地」。

建議：如果持續發生丟失情形，請檢查來源或網路路徑的健康狀態。

偵測到核對和不符，因此已捨棄傳入流量。封包在虛擬私有雲網路中轉送至與 VM 回報者相關聯的目的地 IP 位址。詳情請參閱「可透過虛擬私有雲網路轉送至目的地的輸入流量」。

建議：如果持續發生丟棄情形，請檢查來源或網路路徑的健康狀態。

Private Service Connect 端點已達到用戶的同時連線數量上限，因此捨棄傳入流量。

建議：請用戶降低連至這個 Private Service Connect 端點的新連線速率，或使用更多用戶端 VM，將連線分散至這個 Private Service Connect 端點。

Private Service Connect NAT 通訊埠耗盡，因此來自 Private Service Connect 用戶的傳入流量遭到捨棄。

建議：請檢查 NAT 子網路大小。

主機的封包處理軟體超出 CPU 容量，因此捨棄傳入流量。

建議：如果封包持續遭到捨棄，建議使用頻寬較高 (Tier_1) 的 VM，或將流量分散至更多 VM。

主機的封包處理軟體無法容納流量，因此捨棄傳入流量。

建議：如果流量過高是因為 VM 層級的連線並行率或流失率過高，請考慮降低 VM 的新連線速率。

可以是下列其中一項：

• cloud_run_service_details
• cloud_run_job_details
• cloud_run_worker_pool_details
• app_engine_service_details

可以是下列其中一項：

• CloudRunServiceDetails
• CloudRunJobDetails
• CloudRunWorkerPoolDetails
• AppEngineServiceDetails

x == y

x != y

比較運算子

範例：connection.protocol == 6

x && y

x || y

布林邏輯運算子

範例：connection.protocol == 6 && src_instance.vm_name == "vm_1"

如果 X 是 IP，且 Y 是包含 X 的 IP 範圍，則傳回 true

範例：inIpRange("1.2.3.1", "1.2.3.0/24")

如果清單包含的物件欄位與指定的鍵/值組合相符，則傳回「是」

範例：dest_gke_details.service.containsFieldValue({'service_name': 'service1', 'service_namespace': 'namespace1'})

如果欄位存在，則傳回 true。