Utilizar el registro de políticas de red

Esta página explica cómo habilitar el registro de políticas de red en un clúster de GKE y cómo exportar registros.

Descripción general

Las políticas de red son firewalls a nivel de pod; especifican el tráfico de red que los pods pueden enviar y recibir. Los registros de políticas de red registran los eventos de políticas de red. Puede registrar todos los eventos o elegir registrarlos según los siguientes criterios:

  • Conexiones permitidas.
  • Conexiones denegadas.
  • Conexiones permitidas por políticas específicas.
  • Conexiones denegadas a pods en espacios de nombres específicos.

Habilitar el registro

El registro de políticas de red no está habilitado de forma predeterminada. Para obtener información sobre cómo habilitar el registro y seleccionar los eventos que se registrarán, consulte "Usar el registro de políticas de red" en la documentación de Google Kubernetes Engine.

Acceso a los registros

Los registros de políticas de red se suben automáticamente a Cloud Logging . Puedes acceder a ellos mediante el Explorador de registros o con la CLI de Google Cloud. También puedes exportar registros desde Cloud Logging al receptor que prefieras.

nube g 

gcloud logging read --project "PROJECT_NAME" 'resource.type="k8s_node" \
    resource.labels.location="CLUSTER_LOCATION" \
    resource.labels.cluster_name="awsClusters/CLUSTER_NAME" \
    logName="projects/PROJECT_NAME/logs/policy-action"'

Reemplace lo siguiente:

  • PROJECT_NAME : tu Google Cloud proyecto
  • CLUSTER_LOCATION : el Google Cloud Ubicación desde la que se administra su clúster
  • CLUSTER_NAME : el nombre de su clúster

Registro en la nube

  1. Vaya a la página del Explorador de registros en Google Cloud consola.

    Ir al Explorador de registros

  2. Haga clic en Generador de consultas .

  3. Utilice la siguiente consulta para encontrar todos los registros de políticas de red:

    resource.type="k8s_node"
resource.labels.location="CLUSTER_LOCATION"
resource.labels.cluster_name="awsClusters/CLUSTER_NAME"
logName="projects/PROJECT_NAME/logs/policy-action"

    Reemplace lo siguiente:

    • CLUSTER_LOCATION : el Google Cloud Ubicación desde la que se administra su clúster
    • CLUSTER_NAME : el nombre de su clúster.
    • PROJECT_NAME : tu Google Cloud proyecto.

Para aprender a utilizar el Explorador de registros, consulte Uso del Explorador de registros .

También puede crear una consulta con el Generador de consultas . Para consultar los registros de políticas de red, seleccione "policy-action" en la lista desplegable "Nombre del registro" . Si no hay registros disponibles, "policy-action" no aparecerá en la lista desplegable.

Acceso local a los registros de políticas de red

Si tiene acceso al sistema de archivos de un nodo, los registros de políticas de red están disponibles en cada nodo en el archivo local /var/log/network/policy_action.log* . Los nodos rotan los archivos de registro cuando el archivo de registro actual alcanza los 10 MB. Se almacenan hasta cinco archivos de registro anteriores.

¿Qué sigue?