關於虛擬私有雲流量記錄檔

本頁說明 VPC 流量記錄格式，包括可用的基礎欄位和中繼資料欄位。並說明如何使用記錄檔篩選功能，只產生符合特定條件的記錄檔。

記錄格式

記錄包含做為每個記錄核心欄位的幾個基礎欄位，以及用來新增其他資訊的中繼資料欄位。您可能會省略中繼資料欄位，以節省儲存費用。

某些記錄欄位採用多欄位格式，也就是指定欄位會包含多項資料。舉例來說，connection 欄位採用的格式是 IpConnection，也就是一個欄位同時包含來源和目的地 IP 位址及通訊埠，外加通訊協定等資料。記錄格式表下方說明這些多欄位格式的欄位。

中繼資料欄位的值並非根據資料平面路徑計算得出，而是近似值，可能會遺漏或不正確。與中繼資料欄位不同，基本欄位的值會直接取自封包標頭。

IpConnection 欄位格式

GatewayDetails 欄位格式

GkeDetails 欄位格式

ClusterDetails 欄位格式

PodDetails 欄位格式

WorkloadDetails 欄位格式

ServiceDetails 欄位格式

範例：

如果有兩項服務，服務欄位會如下所示：

service: [
 0: {
  service_name: "my-lb-service"
  service_namespace: "default"
 }
 1: {
  service_name: "my-lb-service2"
  service_namespace: "default"
 }
]

如果服務超過兩項，服務欄位會如下所示：

service: [
 0: {
  service_name: "MANY_SERVICES"
 }
]

GoogleServiceDetails 欄位格式

InstanceDetails 欄位格式

InstanceGroupDetails 欄位格式

GeographicDetails 欄位格式

VpcDetails 欄位格式

InternetRoutingDetails 欄位格式

AsPath 欄位格式

AsDetails 欄位格式

LoadBalancingDetails 欄位格式

NetworkServiceDetails 欄位格式

PrivateServiceConnectDetails 欄位格式

PrivateServiceConnectEndpointDetails 欄位格式

PrivateServiceConnectAttachmentDetails 欄位格式

中繼資料註解

記錄包含基礎欄位和中繼資料欄位。「記錄格式」部分會列出哪些欄位是類型中繼資料，哪些是類型基礎。系統一律會納入所有基本欄位。您可以自訂要保留的中繼資料欄位。

• 如果您選取所有中繼資料，流程記錄就會包含虛擬私有雲流量記錄格式的所有中繼資料欄位。將新的中繼資料欄位新增至記錄格式時，流程記錄會自動納入新欄位。

• 如果未選取任何中繼資料，系統會略過所有中繼資料欄位。

• 如果您選取自訂中繼資料，可以透過父項欄位 (例如 src_vpc) 或完整名稱 (例如 src_vpc.project_id) 指定要納入的中繼資料欄位。

  當新的中繼資料欄位新增至記錄格式時，系統會將這些欄位排除在流程記錄檔外，除非這些欄位位於您指定要納入的父項欄位中。

  • 如果您使用父項欄位指定自訂中繼資料，當新的中繼資料欄位新增至該父項欄位的記錄格式時，流程記錄會自動納入這些新欄位。

  • 如果您使用欄位的完整名稱指定自訂中繼資料，系統就會將新增至父項欄位的中繼資料欄位排除在流程記錄中。

如要瞭解如何自訂中繼資料欄位，請參閱「啟用虛擬私有雲流量記錄」或「更新虛擬私有雲流量記錄設定」。

GKE 中繼資料註解

在 GKE 叢集中有端點的流程可以加上 GKE 中繼資料註解，其中可包含端點的叢集、Pod 和 Service 詳細資料。

GKE 服務註解

傳送至 ClusterIP、NodePort 或 LoadBalancer 的流量可接收服務註解。如果傳送至 NodePort 或 LoadBalancer，流程會在連線的兩個中繼上接收 Service 註解。

直接傳送至 Pod 服務通訊埠的流量，會在目的端點上加上服務註解。

傳送至 Pod 服務通訊埠的流量，如果 Pod 在同一個服務通訊埠上支援多個服務，則會在目的地端點上標註多個服務。這項功能僅限於兩項服務。如果超過這個數量，端點會加上特殊的 MANY_SERVICES 標記。

網路流量中的 Pod 註解

根據預設，Pod 和網際網路之間的流量不會收到 Pod 註解。對於傳送至網際網路的封包，虛擬私有雲流量記錄無法新增 Pod 註解，因為在 VPC 流量記錄看到封包之前，偽裝代理程式會將 Pod IP 位址轉譯為節點 IP 位址。

由於有偽裝功能，只有在目的地位於預設的非偽裝目的地或自訂 nonMasqueradeCIDRs 清單中時，Pod 註解才會顯示。如果您在自訂 nonMasqueradeCIDRs 清單中加入網際網路目的地，就必須提供一種方式，讓內部 Pod IP 位址在傳送至網際網路前先進行轉譯。您可以使用 Cloud NAT 來設定私人和非私人叢集。詳情請參閱「GKE 互動」。

跨專案註解

如果在組織層級啟用虛擬私有雲流量記錄，透過共用 VPC、虛擬私有雲網路對等互連和網路連線中心的流量會加上跨專案註解。跨專案註解預設為啟用。您可以選擇停用這些註解。

• 如果啟用跨專案註解，不同專案中資源之間的流量記錄記錄會包含流量兩端的資訊。
• 如果跨專案註解已停用，記錄檔只會包含流程回報工具的相關資訊。

如果在專案層級啟用虛擬私有雲流程記錄，不同專案中資源之間的流程就不會加上跨專案註解。

記錄篩選

啟用 VPC 流量記錄後，您可以根據基礎和中繼資料欄位設定篩選器，只保留符合篩選條件的記錄。所有其他記錄都會在寫入 Logging 前遭到捨棄。

您可以篩選「記錄格式」中列出的任何子集欄位，但下列欄位除外：

• rtt_msec
• bytes_sent
• packets_sent
• start_time
• end_time

虛擬私有雲流量記錄檔篩選功能使用 CEL，這是一種以屬性為基礎的邏輯運算式嵌入式運算式語言。虛擬私有雲流量記錄的篩選運算式長度上限為 2,048 個半形字元。詳情請參閱「支援的 CEL 邏輯運算子」。

如要進一步瞭解 CEL，請參閱 CEL 簡介和語言定義。產生篩選器功能支援的 CEL 語法子集有限。

如要建立使用記錄篩選功能的虛擬私有雲流量記錄設定，請參閱「啟用虛擬私有雲流量記錄」。如要為現有的虛擬私有雲流量記錄設定記錄篩選條件，請參閱「更新虛擬私有雲流量記錄設定」。

支援的 CEL 邏輯運算子

記錄檔篩選器範例

如果您使用 Compute Engine API 為子網路啟用虛擬私有雲流量記錄，請使用 gcloud compute networks subnets update 指令設定篩選條件 (範例 1 至 3)。

如要設定其他虛擬私有雲流量記錄，請使用 gcloud network-management vpc-flow-logs-configs update 指令 (範例 4 至 6)。範例 1 至 3 中的篩選運算式可搭配 gcloud network-management vpc-flow-logs-configs update 指令使用。

範例 1：將記錄收集作業限制在名為 my-vm 的特定 VM 上。在這種情況下，只有在流量來源回報的 src_instance 欄位為 my-vm，或流量目的地回報的 dst_instance 欄位為 my-vm 時，系統才會記錄記錄。

gcloud compute networks subnets update my-subnet \
    --logging-filter-expr="(src_instance.vm_name == 'my-vm' && reporter=='SRC') || (dest_instance.vm_name == 'my-vm' && reporter=='DEST')"

範例 2：將記錄收集限制在來源 IP 位址位於 10.0.0.0/8 子網路的封包。

gcloud compute networks subnets update my-subnet \
    --logging-filter-expr="inIpRange(connection.src_ip, '10.0.0.0/8')"

範例 3：將記錄收集作業限制在虛擬私有雲網路外部的流量。

gcloud compute networks subnets update my-subnet \
    --logging-filter-expr '!(has(src_vpc.vpc_name) && has(dest_vpc.vpc_name))'

範例 4：將記錄收集範圍限制在特定目的地 VLAN 連結或 Cloud VPN 通道 my-gateway 中。

gcloud network-management vpc-flow-logs-configs update my-config \
    --location=global \
    --filter-expr="dest_gateway.name == 'my-gateway'"

範例 5：將記錄收集範圍限制為 VLAN 連結。

gcloud network-management vpc-flow-logs-configs update my-config \
    --location=global \
    --filter-expr="dest_gateway.type == 'INTERCONNECT_ATTACHMENT'"

範例 6：將記錄收集範圍限制在特定來源虛擬私有雲網路 my-network。

gcloud beta network-management vpc-flow-logs-configs update my-config \
    --location=global \
    --filter-expr="src_vpc.vpc_name == 'my-network'"

後續步驟

• 設定虛擬私有雲流量記錄
• 存取流程記錄檔