Acerca de los registros de flujo de VPC

En esta página se describe el formato de los registros de flujo de VPC, incluidos los campos base y de metadatos disponibles. También se explica cómo puedes usar el filtrado de registros para que solo se generen los registros que cumplan determinados criterios.

Formato de registro

Los registros de registro contienen campos base, que son los campos principales de cada registro de registro, y campos de metadatos que añaden información adicional. Los campos de metadatos se pueden omitir para ahorrar costes de almacenamiento.

Algunos campos de registro tienen un formato de varios campos, con más de un dato en un campo determinado. Por ejemplo, el campo connection tiene el formato IpConnection y contiene la dirección IP y el puerto de origen y de destino, además del protocolo, en un solo campo. Estos campos multifield se describen debajo de la tabla de formato de registro.

Los valores de los campos de metadatos no se basan en la ruta del plano de datos, sino que son aproximaciones y pueden faltar o ser incorrectos. A diferencia de los campos de metadatos, los valores de los campos base se toman directamente de los encabezados de los paquetes.

Formato de campo IpConnection

Formato del campo GatewayDetails

Formato del campo GkeDetails

Formato del campo ClusterDetails

Formato del campo PodDetails

Formato del campo WorkloadDetails

Formato del campo ServiceDetails

Ejemplo:

Si hay dos servicios, el campo Servicio tendrá este aspecto:

service: [
 0: {
  service_name: "my-lb-service"
  service_namespace: "default"
 }
 1: {
  service_name: "my-lb-service2"
  service_namespace: "default"
 }
]

Si hay más de dos servicios, el campo Servicio tendrá este aspecto:

service: [
 0: {
  service_name: "MANY_SERVICES"
 }
]

Formato del campo GoogleServiceDetails

Formato de campo InstanceDetails

Formato del campo InstanceGroupDetails

Formato del campo GeographicDetails

Formato del campo VpcDetails

Formato del campo InternetRoutingDetails

Formato de campo AsPath

Formato del campo AsDetails

Formato del campo LoadBalancingDetails

Formato del campo NetworkServiceDetails

Formato del campo PrivateServiceConnectDetails

Formato del campo PrivateServiceConnectEndpointDetails

Formato del campo PrivateServiceConnectAttachmentDetails

Anotaciones de metadatos

Los registros de registro contienen campos base y campos de metadatos. En la sección Formato de registro se indica qué campos son de metadatos de tipo y cuáles son de tipo base. Todos los campos base se incluyen siempre. Puedes personalizar los campos de metadatos que quieras conservar.

• Si seleccionas todos los metadatos, se incluirán todos los campos de metadatos del formato de registro de flujo de VPC en los registros de flujo. Cuando se añaden nuevos campos de metadatos al formato de registro, los registros de flujo incluyen automáticamente los nuevos campos.

• Si no selecciona ningún metadato, se omitirán todos los campos de metadatos.

• Si seleccionas metadatos personalizados, puedes especificar los campos de metadatos que quieras incluir por el campo principal, como src_vpc, o por sus nombres completos, como src_vpc.project_id.

  Cuando se añaden nuevos campos de metadatos al formato de registro, se excluyen de los registros de flujo, a menos que estén dentro de un campo principal que hayas especificado que se incluya.

  • Si especificas metadatos personalizados mediante campos principales, cuando se añadan nuevos campos de metadatos al formato de registro de ese campo principal, los registros de flujo incluirán automáticamente los nuevos campos.

  • Si especifica metadatos personalizados con el nombre completo del campo, los nuevos campos de metadatos que se añadan al campo principal se excluirán de los registros de flujo.

Para obtener información sobre cómo personalizar los campos de metadatos, consulta Habilitar registros de flujo de VPC o Actualizar la configuración de registros de flujo de VPC.

Anotaciones de metadatos de GKE

Los flujos que tienen un endpoint en un clúster de GKE se pueden anotar con anotaciones de metadatos de GKE, que pueden incluir detalles del clúster, el pod y el servicio del endpoint.

Anotaciones de servicio de GKE

El tráfico enviado a ClusterIP, NodePort o LoadBalancer puede recibir anotaciones de servicio. Si se envía a un NodePort o a un LoadBalancer, el flujo recibe la anotación de Service en ambos saltos de la conexión.

El tráfico enviado directamente al puerto de servicio de un pod se anota con una anotación de servicio en el endpoint de destino.

El tráfico enviado al puerto de servicio de un pod en el que el pod respalda más de un servicio en el mismo puerto de servicio se anota con varios servicios en el endpoint de destino. Esta opción está limitada a dos servicios. Si hay más, el endpoint se anotará con un marcador especial MANY_SERVICES.

Anotaciones de pods en el tráfico de Internet

El tráfico entre un pod e Internet no recibe anotaciones de pod de forma predeterminada. Los registros de flujo de VPC no pueden añadir anotaciones de pods porque, para que los paquetes lleguen a Internet, el agente de enmascaramiento traduce la dirección IP del pod a la dirección IP del nodo antes de que los registros de flujo de VPC vean el paquete.

Debido al enmascaramiento, las anotaciones de Pod solo se pueden ver si los destinos están en los destinos predeterminados sin enmascaramiento o en una lista nonMasqueradeCIDRs personalizada. Si incluyes destinos de Internet en una lista nonMasqueradeCIDRs personalizada, debes proporcionar una forma de traducir las direcciones IP de los pods internos antes de que se envíen a Internet. En los clústeres privados y no privados, puedes usar Cloud NAT. Consulta más detalles sobre la interacción con GKE.

Anotaciones entre proyectos

Si los registros de flujo de VPC están habilitados a nivel de organización, los flujos que atraviesen VPC compartida, emparejamiento entre redes de VPC y Network Connectivity Center se anotarán con anotaciones entre proyectos. Las anotaciones entre proyectos están habilitadas de forma predeterminada. Puedes inhabilitar estas anotaciones si quieres.

• Si las anotaciones entre proyectos están habilitadas, los registros de registro de los flujos entre recursos de diferentes proyectos incluyen información sobre ambos lados del flujo.
• Si las anotaciones entre proyectos están inhabilitadas, los registros de registro solo incluyen información sobre el reportero del flujo.

Si VPC Flow Logs está habilitado a nivel de proyecto, los flujos entre recursos de diferentes proyectos no se anotan con anotaciones entre proyectos.

Filtrado de registros

Cuando habilitas los registros de flujo de VPC, puedes definir un filtro basado en campos de metadatos y de base que solo conserve los registros que coincidan con el filtro. Todos los demás registros se descartan antes de escribirse en Logging.

Puede filtrar por cualquier subconjunto de campos de la sección Formato de registro, excepto por los siguientes:

• rtt_msec
• bytes_sent
• packets_sent
• start_time
• end_time

El filtrado de registros de flujo de VPC usa CEL, un lenguaje de expresiones insertado para expresiones lógicas basadas en atributos. Las expresiones de filtro de los registros de flujo de VPC tienen un límite de 2048 caracteres. Para obtener más información, consulta Operadores lógicos de CEL admitidos.

Para obtener más información sobre CEL, consulta la introducción a CEL y la definición del lenguaje. La función de filtro de generación admite un subconjunto limitado de la sintaxis de CEL.

Para crear una configuración de registros de flujo de VPC que use el filtrado de registros, consulta Habilitar registros de flujo de VPC. Para configurar el filtrado de registros en una configuración de registros de flujo de VPC, consulta Actualizar la configuración de registros de flujo de VPC.

Operadores lógicos de CEL admitidos

Ejemplos de filtros de registro

Si has habilitado los registros de flujo de VPC para una subred mediante la API de Compute Engine, usa el comando gcloud compute networks subnets update para configurar el filtrado (ejemplos 1-3).

Para el resto de las configuraciones de registros de flujo de VPC, usa el gcloud network-management vpc-flow-logs-configs updatecomando (ejemplos del 4 al 6). Las expresiones de filtro de los ejemplos 1 a 3 se pueden usar con el comando gcloud network-management vpc-flow-logs-configs update.

Ejemplo 1. Limita la recogida de registros a una VM específica llamada my-vm. En este caso, solo se registran los registros en los que el campo src_instance, según la fuente del tráfico, es my-vm o el campo dst_instance, según el destino del tráfico, es my-vm.

gcloud compute networks subnets update my-subnet \
    --logging-filter-expr="(src_instance.vm_name == 'my-vm' && reporter=='SRC') || (dest_instance.vm_name == 'my-vm' && reporter=='DEST')"

Ejemplo 2: Limita la recogida de registros a los paquetes cuyas direcciones IP de origen estén en la subred 10.0.0.0/8.

gcloud compute networks subnets update my-subnet \
    --logging-filter-expr="inIpRange(connection.src_ip, '10.0.0.0/8')"

Ejemplo 3: Limita la recogida de registros al tráfico externo a una red de VPC.

gcloud compute networks subnets update my-subnet \
    --logging-filter-expr '!(has(src_vpc.vpc_name) && has(dest_vpc.vpc_name))'

Ejemplo 4: Limita la recogida de registros a una vinculación de VLAN o un túnel VPN de Cloud de destino específicos, my-gateway.

gcloud network-management vpc-flow-logs-configs update my-config \
    --location=global \
    --filter-expr="dest_gateway.name == 'my-gateway'"

Ejemplo 5: Limita la recogida de registros a las vinculaciones de VLAN.

gcloud network-management vpc-flow-logs-configs update my-config \
    --location=global \
    --filter-expr="dest_gateway.type == 'INTERCONNECT_ATTACHMENT'"

Ejemplo 6: Limita la recogida de registros a una red de VPC de origen específica, my-network.

gcloud beta network-management vpc-flow-logs-configs update my-config \
    --location=global \
    --filter-expr="src_vpc.vpc_name == 'my-network'"

Siguientes pasos

• Configurar registros de flujo de VPC
• Acceder a los registros de flujo