Utilizzo del logging dei criteri di rete

Questa pagina spiega come attivare la registrazione dei criteri di rete in un cluster GKE e come esportare i log.

Panoramica

I criteri di rete sono firewall a livello di pod e specificano il traffico di rete che i pod possono inviare e ricevere. I log dei criteri di rete registrano gli eventi dei criteri di rete. Puoi registrare tutti gli eventi o scegliere di registrare gli eventi in base ai seguenti criteri:

  • Connessioni consentite.
  • Connessioni negate.
  • Connessioni consentite da criteri specifici.
  • Connessioni negate ai pod in spazi dei nomi specifici.

Abilita il logging

La registrazione dei criteri di rete non è abilitata per impostazione predefinita. Per informazioni su come attivare il logging e selezionare gli eventi da registrare, consulta Utilizzare il logging dei criteri di rete nella documentazione di Google Kubernetes Engine.

Accedere ai log

I log dei criteri di rete vengono caricati automaticamente in Cloud Logging. Puoi accedere ai log tramite Logs Explorer o con Google Cloud CLI. Puoi anche esportare i log da Cloud Logging nel sink che preferisci.

gcloud

gcloud logging read --project "PROJECT_NAME" 'resource.type="k8s_node" \
    resource.labels.location="CLUSTER_LOCATION" \
    resource.labels.cluster_name="awsClusters/CLUSTER_NAME" \
    logName="projects/PROJECT_NAME/logs/policy-action"'

Sostituisci quanto segue:

  • PROJECT_NAME: il tuo Google Cloud project
  • CLUSTER_LOCATION: la Google Cloud posizione da cui viene gestito il cluster
  • CLUSTER_NAME: il nome del cluster

Cloud Logging

  1. Vai alla pagina Esplora log nella Google Cloud console.

    Vai a Esplora log

  2. Fai clic su Query Builder.

  3. Utilizza la seguente query per trovare tutti i record dei log dei criteri di rete:

    resource.type="k8s_node"
resource.labels.location="CLUSTER_LOCATION"
resource.labels.cluster_name="awsClusters/CLUSTER_NAME"
logName="projects/PROJECT_NAME/logs/policy-action"

    Sostituisci quanto segue:

    • CLUSTER_LOCATION: la Google Cloud posizione da cui viene gestito il cluster
    • CLUSTER_NAME: il nome del tuo cluster.
    • PROJECT_NAME: il tuo Google Cloud progetto.

Per scoprire come utilizzare Esplora log, consulta Utilizzo di Esplora log.

Puoi anche creare una query utilizzando Query Builder. Per eseguire query sui log dei criteri di rete, seleziona policy-action nell'elenco a discesa Nome log. Se non sono disponibili log, policy-action non viene visualizzato nell'elenco a discesa.

Accesso locale ai log dei criteri di rete

Se hai accesso al file system di un nodo, i log dei criteri di rete sono disponibili su ogni nodo nel file locale /var/log/network/policy_action.log*. I nodi girano i file di log quando il file di log corrente raggiunge i 10 MB. Vengono archiviati fino a cinque file di log precedenti.

Passaggi successivi