Informazioni sui record dei log di flusso VPC

Questa pagina descrive il formato dei record dei log di flusso VPC, inclusi i campi di base e dei metadati disponibili. Inoltre, spiega come utilizzare il filtro dei log in modo da generare solo i log che soddisfano determinati criteri.

Formato dei record

I record di log contengono campi di base, che sono i campi principali di ogni record di log, e campi di metadati che aggiungono ulteriori informazioni. I campi dei metadati possono essere omessi per risparmiare sui costi di archiviazione.

Alcuni campi di log sono in un formato multicampo, con più di un dato in un determinato campo. Ad esempio, il campo connection è nel formato IpConnection, che contiene l'indirizzo IP e la porta di origine e di destinazione, oltre al protocollo, in un unico campo. Questi campi multicampo sono descritti sotto la tabella del formato dei record.

I valori per i campi dei metadati non si basano sul percorso del piano dati; si tratta di approssimazioni e potrebbero essere mancanti o errati. A differenza dei campi metadati, i valori per i campi di base vengono presi direttamente dalle intestazioni dei pacchetti.

Formato del campo IpConnection

Formato del campo GatewayDetails

Formato del campo GkeDetails

Formato del campo ClusterDetails

Formato del campo PodDetails

Formato del campo WorkloadDetails

Formato del campo ServiceDetails

Esempio:

Se sono presenti due servizi, il campo Servizio avrà il seguente aspetto:

service: [
 0: {
  service_name: "my-lb-service"
  service_namespace: "default"
 }
 1: {
  service_name: "my-lb-service2"
  service_namespace: "default"
 }
]

Se sono presenti più di due servizi, il campo Servizio avrà il seguente aspetto:

service: [
 0: {
  service_name: "MANY_SERVICES"
 }
]

Formato del campo GoogleServiceDetails

Formato del campo InstanceDetails

Formato del campo GeographicDetails

Formato del campo VpcDetails

Formato del campo InternetRoutingDetails

Formato del campo AsPath

Formato del campo AsDetails

Formato del campo LoadBalancingDetails

Formato del campo NetworkServiceDetails

Formato del campo PrivateServiceConnectDetails

Formato del campo PrivateServiceConnectEndpointDetails

Formato del campo PrivateServiceConnectAttachmentDetails

Annotazioni dei metadati

I record dei log contengono campi di base e campi di metadati. La sezione Formato del record elenca i campi che sono metadati di tipo e quelli di base. Tutti i campi di base sono sempre inclusi. Puoi personalizzare i campi dei metadati da conservare.

• Se selezioni tutti i metadati, tutti i campi dei metadati nel formato dei record dei log di flusso VPC sono inclusi nei log di flusso. Quando vengono aggiunti nuovi campi di metadati al formato del record, i log dei flussi includono automaticamente i nuovi campi.

• Se non selezioni nessun metadato, vengono omessi tutti i campi dei metadati.

• Se selezioni i metadati personalizzati, puoi specificare i campi dei metadati da includere in base al campo principale, ad esempio src_vpc, o in base ai nomi completi, ad esempio src_vpc.project_id

  Quando vengono aggiunti nuovi campi di metadati al formato del record, questi vengono esclusi dai log di flusso, a meno che non si trovino all'interno di un campo principale che hai specificato di includere.

  • Se specifichi metadati personalizzati utilizzando i campi principali, quando vengono aggiunti nuovi campi di metadati al formato del record all'interno di quel campo principale, i log flusso includeranno automaticamente i nuovi campi.

  • Se specifichi i metadati personalizzati utilizzando il nome completo del campo, i nuovi campi di metadati aggiunti al campo principale vengono esclusi dai log del flusso.

Per informazioni sulla personalizzazione dei campi dei metadati, consulta le istruzioni dell'API o di Google Cloud CLI per abilitare i log di flusso VPC quando crei una subnet.

Annotazioni dei metadati GKE

I flussi con un endpoint in un cluster GKE possono essere annotati con annotazioni dei metadati GKE, che possono includere dettagli del cluster, del pod e del servizio dell'endpoint.

Annotazioni del servizio GKE

Il traffico inviato a un servizio ClusterIP, NodePort o LoadBalancer può ricevere annotazioni del servizio. Se inviato a un NodePort o a un LoadBalancer, il flusso riceve l'annotazione del servizio su entrambi gli hop della connessione.

Il traffico inviato direttamente alla porta di servizio di un pod è annotato con un'annotazione del servizio sull'endpoint di destinazione.

Il traffico inviato alla porta di servizio di un pod in cui il pod supporta più di un servizio sulla stessa porta di servizio viene annotato con più servizi nell'endpoint di destinazione. Questo è limitato a due servizi. Se sono presenti più di 100 elementi, l'endpoint verrà annotato con un indicatore MANY_SERVICES speciale.

Annotazioni dei pod sul traffico internet

Il traffico tra un pod e internet non riceve annotazioni del pod per impostazione predefinita. I log di flusso VPC non possono aggiungere annotazioni dei pod perché, per i pacchetti inviati a internet, l'agente di mascheramento traduce l'indirizzo IP del pod nell'indirizzo IP del nodo prima che i log di flusso VPC vedano il pacchetto.

A causa del travestimento, le annotazioni dei pod sono visibili solo se le destinazioni rientrano nelle destinazioni predefinite senza travestimento o in un elenco nonMasqueradeCIDRs personalizzato. Se includi destinazioni internet in un elenco nonMasqueradeCIDRs personalizzato, devi fornire un modo per tradurre gli indirizzi IP dei pod interni prima che vengano inviati a internet. Puoi utilizzare Cloud NAT sia per i cluster privati che per quelli non privati. Per ulteriori dettagli, consulta la sezione Interazione con GKE.

Filtro dei log

Quando attivi i log di flusso VPC, puoi impostare un filtro in base ai campi di base e ai campi dei metadati che conserva solo i log corrispondenti al filtro. Tutti gli altri log vengono eliminati prima di essere scritti in Logging, il che ti consente di risparmiare e di ridurre il tempo necessario per trovare le informazioni che cerchi.

Puoi filtrare in base a qualsiasi sottoinsieme di campi elencati in Formato record, ad eccezione dei seguenti campi:

• rtt_msec
• bytes_sent
• packets_sent
• start_time
• end_time

Il filtro dei log di flusso VPC utilizza CEL, un linguaggio di espressioni incorporato per le espressioni logiche basate sugli attributi. Le espressioni di filtro per i log di flusso VPC hanno un limite di 2048 caratteri. Per ulteriori informazioni, consulta Operatori logici CEL supportati.

Per saperne di più sul CEL, consulta l'introduzione al CEL e la definizione del linguaggio. La funzionalità di filtro di generazione supporta un sottoinsieme limitato della sintassi CEL.

Per informazioni su come creare una sottorete che utilizza il filtro dei log, consulta le istruzioni dell'API o dell'interfaccia a riga di comando gcloud per attivare i log dei flussi VPC quando crei una sottorete.

Per informazioni sulla configurazione del filtro dei log, consulta le istruzioni dell'API o dell'interfaccia a riga di comando gcloud CLI'aggiornamento dei parametri dei log di flusso VPC.

Esempio 1: limita la raccolta dei log a una VM specifica denominata my-vm. In questo caso, vengono registrati solo i log in cui il campo src_instance indicato dall'origine del traffico è my-vm o il campo dst_instance indicato dalla destinazione del traffico è my-vm.

gcloud compute networks subnets update my-subnet \
    --logging-filter-expr="(src_instance.vm_name == 'my-vm' && reporter=='SRC') || (dest_instance.vm_name == 'my-vm' && reporter=='DEST')"

Esempio 2: limita la raccolta dei log ai pacchetti i cui indirizzi IP di origine si trovano nella subnet 10.0.0.0/8.

gcloud compute networks subnets update my-subnet \
    --logging-filter-expr="inIpRange(connection.src_ip, '10.0.0.0/8')"

Esempio 3: limita la raccolta dei log al traffico esterno a un VPC.

gcloud compute networks subnets update my-subnet \
    --logging-filter-expr '!(has(src_vpc.vpc_name) && has(dest_vpc.vpc_name))'

Operatori logici CEL supportati

Passaggi successivi

• Configurare i log di flusso VPC
• Log di flusso di accesso