使用数据包镜像

控制台

1. 在 Google Cloud 控制台中，转到数据包镜像页面。

   转到“数据包镜像”页面

2. 点击创建政策。

3. 输入有关政策的以下信息，然后点击继续。

   1. 输入政策的名称。
   2. 选择镜像的来源和收集器目的地所在的区域。数据包镜像政策必须与来源和目的地位于同一区域。
   3. 忽略优先级字段。目前无法对其进行调整。
   4. 在创建政策时，选择已启用以激活该政策。

4. 选择镜像的来源和收集器目的地所在的 VPC 网络，然后点击继续。

   来源和目的地可以位于相同或不同的 VPC 网络中。

   • 如果它们位于同一个 VPC 网络中，请选择镜像的来源和目的地在同一 VPC 网络中 (Mirrored sources and destination are in the same VPC network)，然后选择网络。
   • 如果它们位于不同的网络中，请选择镜像的来源和收集器目标在不同的对等互连 VPC 网络中，然后选择镜像的来源网络，再选择收集器目标网络。

5. 选择镜像的来源，然后点击继续。您可以选择一个或多个来源。 Google Cloud 会镜像与您的至少一个选定来源匹配的所有实例。

   • 子网：选择一个或多个子网。Google Cloud 会对选定子网中现有的实例和将来出现的实例进行镜像。
   • 网络标记：指定一个或多个网络标记。 Google Cloud 会镜像至少具有一个指定标记的实例。
   • 实例名称：选择要镜像的特定实例。

6. 选择已针对数据包镜像进行了配置的内部直通网络负载均衡器，然后点击继续。Google Cloud 会将镜像的流量发送到内部直通网络负载均衡器后面的实例。

   对于共享 VPC，如果收集器目的地和镜像的来源在同一共享 VPC 网络中，则必须选择收集器目的地所在的项目，然后选择负载均衡器。

7. 如需选择要镜像的流量，请执行以下操作：

   • 如需镜像所有 IPv4 流量，请选择镜像所有 IPv4 流量（默认）。
   • 如需镜像所有 IPv4 和 IPv6 流量，请选择镜像过滤的流量，然后执行以下操作：
     • 选择允许所有协议。
     • 选择允许所有 IPv4 范围 (0.0.0.0/0)。
     • 选择允许所有 IPv6 范围 (::/0)。
     • 选择允许入站流量和出站流量。

   • 如需限制镜像的流量，请选择镜像过滤的流量，然后执行以下操作：

     • 如需按协议限制镜像的流量，请选择允许特定协议，然后选择相应协议。如果您没有看到要镜像其流量的协议，请选择其他协议，然后在其他协议字段中输入相应协议。有效值为 tcp、udp、esp、ah、ipip、sctp 或 IANA 协议编号。如需为 IPv6 指定 ICMP，请输入 58。

     • 对于 IPv4 范围过滤条件，请执行以下操作：

       • 如需镜像所有 IPv4 流量，请选择允许所有 IPv4 范围 (0.0.0.0/0)。
       • 如需镜像特定 IPv4 地址范围的流量，请选择允许特定 IPv4 范围。在 IPv4 范围字段中，输入单个 IPv4 地址范围，然后按 Enter 键。您可以在您输入的每个范围后按 Enter 键添加多个 IPv4 范围。

     • 对于 IPv6 范围过滤条件，请执行以下操作：

       • 如需过滤掉所有 IPv6 流量，请选择无。
       • 如需镜像所有 IPv6 流量，请选择允许所有 IPv6 范围 (::/0)。
       • 如需镜像特定 IPv6 地址范围的流量，请选择允许特定 IPv6 范围。在 IPv6 范围字段中，输入单个 IPv6 地址范围，然后按 Enter 键。您可以在您输入的每个范围后按 Enter 键添加多个 IPv6 范围。

8. 选择要镜像的流量的流量方向。

9. 如需创建数据包镜像政策，请点击提交。

gcloud

如需创建数据包镜像政策，请使用 packet-mirrorings create 命令。

gcloud compute packet-mirrorings create POLICY_NAME \
    --region=REGION \
    --network=NETWORK_NAME \
    --collector-ilb=FORWARDING_RULE_NAME \
    [--mirrored-subnets=SUBNET,[SUBNET,...]] \
    [--mirrored-tags=TAG,[TAG,...]] \
    [--mirrored-instances=INSTANCE,[INSTANCE,...]] \
    [--filter-cidr-ranges=CIDR_RANGE,[CIDR_RANGE,...]] \
    [--filter-protocols=PROTOCOL,[PROTOCOL,...]] \
    [--filter-direction=DIRECTION]

请替换以下内容：

• POLICY_NAME：数据包镜像政策的名称。
• REGION：镜像的来源和收集器目的地所在的区域。
• NETWORK_NAME：镜像的来源所在的网络。
• FORWARDING_RULE_NAME：配置为镜像收集器的转发规则的名称。Google Cloud 会将所有镜像的流量发送到关联的内部直通网络负载均衡器。
• SUBNET：要镜像的一个或多个子网的名称。您可以使用逗号分隔列表提供多个子网。Google Cloud 会对该子网中现有的实例和将来出现的实例进行镜像。
• TAG：一个或多个网络标记。 Google Cloud 会对具有该网络标记的实例进行镜像。您可使用逗号分隔列表提供多个标记。
• INSTANCE：要镜像的一个或多个实例的完全限定 ID。您可以使用逗号分隔列表提供多个实例。
• CIDR_RANGE：要镜像的一个或多个 IPv4 或 IPv6 CIDR 范围。如果未指定 CIDR 范围，则与指定协议匹配的所有 IPv4 流量会被镜像。如果 CIDR 范围和协议均未指定，则所有 IPv4 流量都会被镜像。 如需镜像所有 IPv4 和 IPv6 流量，请使用 0.0.0.0/0,::/0。您可以同时添加 IPv4 和 IPv6 CIDR 范围。您可以使用逗号分隔列表提供多个范围。
• PROTOCOL：要镜像的一个或多个协议。有效值为 tcp、udp、icmp、esp、ah、ipip、sctp 或 IANA 协议编号。如果未指定协议，则与指定 CIDR 范围匹配的所有流量会被镜像。如果协议和 CIDR 范围均未指定，则所有 IPv4 流量都会被镜像。如需为 IPv6 指定 ICMP，请使用 58。您可以使用逗号分隔列表提供多个协议。
• DIRECTION：要镜像的流量的方向（相对于虚拟机）。默认情况下，此值设置为 both，这意味着同时镜像入站流量和出站流量。您可以限制捕获的流量：指定 ingress 以仅捕获入站数据包，或指定 egress 以仅捕获出站数据包。

Terraform

您可以使用 Terraform 资源创建数据包镜像政策。

resource "google_compute_packet_mirroring" "default" {
  region      = "europe-west1"
  name        = "my-mirroring"
  description = "My packet mirror"
  network {
    url = google_compute_network.ilb_network.id
  }
  collector_ilb {
    url = google_compute_forwarding_rule.default.id
  }
  mirrored_resources {
    tags = ["foo"]
    instances {
      url = google_compute_instance.vm_test.id
    }
  }
  filter {
    ip_protocols = ["tcp"]
    cidr_ranges  = ["0.0.0.0/0"]
    direction    = "BOTH"
  }
}

如需了解如何应用或移除 Terraform 配置，请参阅基本 Terraform 命令。

API

如需创建数据包镜像政策，请向 packetMirrorings.insert 方法发出 POST 请求。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/packetMirrorings
{
  "name": "POLICY_NAME",
  "enable": "ENABLED",
  "network": {
    "url": "NETWORK_URL"
  },
  "priority": PRIORITY,
  "mirroredResources": {
    "subnetworks": [
      {
        "url": "SUBNET_URL"
      }
    ],
    "tags": [
      "TAG"
    ],
    "instances": [
      {
        "url": "INSTANCE"
      }
    ]
  },
  "collectorIlb": {
    "url": "FORWARDING_RULE_URL"
  },
  "filter": {
    "IPProtocols": [
      "PROTOCOL"
    ],
    "cidrRanges": [
      "CIDR_RANGE"
    ],
    "direction": "DIRECTION"
  }
}

请替换以下内容：

• PROJECT_ID：要在其中创建政策的项目的 ID。
• REGION：镜像的来源和收集器目的地所在的区域。
• POLICY_NAME：数据包镜像政策的名称。
• ENABLED：此政策是否生效。选项为 TRUE 和 FALSE。 默认为 TRUE。
• NETWORK_URL：镜像的来源所在网络的网址。
• PRIORITY：转发规则的优先级，用于在有多条匹配规则时决定顺序。有效范围为 0 到 65,535，默认值为 1,000。
• SUBNET_URL：要镜像的子网的网址。Google Cloud 会对该子网中现有的实例和将来出现的实例进行镜像。 您可以使用逗号分隔列表提供多个子网。
• TAG：网络标记。Google Cloud 会对具有该网络标记的实例进行镜像。您可以使用逗号分隔列表提供多个标记。
• INSTANCE：要镜像的实例的完全限定 ID。您可以使用逗号分隔列表提供多个实例。
• FORWARDING_RULE_URL：配置为镜像收集器的转发规则的网址。Google Cloud 会将所有镜像的流量发送到关联的内部直通网络负载均衡器。
• PROTOCOL：一个或多个协议。选项为 tcp、udp、icmp、esp、ah、ipip、sctp 或 IANA 协议编号。如果未指定协议，则与指定 CIDR 范围匹配的所有流量会被镜像。如果 CIDR 范围和协议均未指定，则所有 IPv4 流量都会被镜像。如需为 IPv6 指定 ICMP，请输入 58。您可以使用以下格式提供多个协议："icmp", "udp"。
• CIDR_RANGE：要镜像的一个或多个 IPv4 或 IPv6 CIDR 范围。如果未指定 CIDR 范围，则与指定协议匹配的所有 IPv4 流量会被镜像。如果 CIDR 范围和协议均未指定，则所有 IPv4 流量都会被镜像。 如需镜像所有 IPv4 和 IPv6 流量，请使用 "0.0.0.0/0", "::/0"。您可以同时添加 IPv4 和 IPv6 CIDR 范围。您可以使用以下格式提供多个 CIDR 范围："192.0.2.0/24", "2001:0DB8::/32"。
• PROTOCOL：要镜像的一个或多个协议。
• DIRECTION：要镜像的流量的方向。选项为 INGRESS、EGRESS 或 BOTH。默认值为 BOTH。

控制台

1. 在 Google Cloud 控制台中，转到数据包镜像页面。

   转到“数据包镜像”页面

2. 在数据包镜像政策列表中，点击您要修改的政策。

3. 在“政策详情”页面上，点击修改。

4. 修改您要更新的字段。控制台遵循与您创建政策时所用步骤相同的流程。如需了解各字段，请参阅创建数据包镜像政策。

gcloud

如需更新现有数据包镜像政策，请使用 packet-mirrorings update 命令。

gcloud compute packet-mirrorings update POLICY_NAME [--async] \
  [--collector-ilb=FORWARDING_RULE_NAME] [--description=DESCRIPTION] [--enable] \
  [--filter-direction=DIRECTION] [--region=REGION] \
  [--add-filter-cidr-ranges=[CIDR_RANGE,...] | --clear-filter-cidr-ranges \
    | --remove-filter-cidr-ranges=[CIDR_RANGE,...] \
    | --set-filter-cidr-ranges=[CIDR_RANGE,...]] \
  [--add-filter-protocols=[PROTOCOL,...] | --clear-filter-protocols \
    | --remove-filter-protocols=[PROTOCOL,...] \
    | --set-filter-protocols=[PROTOCOL,...]] \
  [--add-mirrored-instances=[INSTANCE,...] | --clear-mirrored-instances \
    | --remove-mirrored-instances=[INSTANCE,...] \
    | --set-mirrored-instances=[INSTANCE,...]] \
  [--add-mirrored-subnets=[SUBNET,...] | --clear-mirrored-subnets \
    | --remove-mirrored-subnets=[SUBNET,...] \
    | --set-mirrored-subnets=[SUBNET,...]] \
  [--add-mirrored-tags=[TAG,...] | --clear-mirrored-tags \
    | --remove-mirrored-tags=[TAG,...] | --set-mirrored-tags=[TAG,...]]

请替换以下内容：

• POLICY_NAME：要修改的数据包镜像政策的名称。
• FORWARDING_RULE_NAME：配置为收集器的转发规则的名称。Google Cloud 会将所有镜像的流量发送到关联的内部直通网络负载均衡器。
• DESCRIPTION：数据包镜像政策的说明。
• DIRECTION：要将数据包镜像政策应用到的流量的方向。选项为 egress、ingress 或 both。
• REGION：政策所在的区域。
• CIDR_RANGE：要镜像的一个或多个 IPv4 或 IPv6 CIDR 范围。如果未指定 CIDR 范围，则与指定协议匹配的所有 IPv4 流量会被镜像。如果 CIDR 范围和协议均未指定，则所有 IPv4 流量都会被镜像。 如需镜像所有 IPv4 和 IPv6 流量，请使用 0.0.0.0/0,::/0。您可以同时添加 IPv4 和 IPv6 CIDR 范围。您可以使用逗号分隔列表提供多个范围。
• PROTOCOL：要镜像的一个或多个协议。有效值为 tcp、udp、icmp、esp、ah、ipip、sctp 或 IANA 协议编号。如果未指定协议，则与指定 CIDR 范围匹配的流量会被镜像。如果协议和 CIDR 范围均未指定，则所有 IPv4 流量都会被镜像。如需为 IPv6 指定 ICMP，请使用 58。您可以使用逗号分隔列表提供多个协议。
• INSTANCE：要镜像的一个或多个虚拟机实例的完全限定 ID。您可以使用逗号分隔列表提供多个实例。
• SUBNET：一个或多个子网。您可以使用逗号分隔列表提供多个子网。Google Cloud 会对该子网中现有的实例和将来出现的实例进行镜像。
• TAG：一个或多个网络标记。 您可使用逗号分隔列表提供多个标记。

API

如需更新数据包镜像政策，请向 packetMirrorings.patch 方法发出 POST 请求。

PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/packetMirrorings/POLICY_NAME
{
  "name": "POLICY_NAME",
  "description": "DESCRIPTION",
  "priority": "PRIORITY",
  "collectorIlb": {
    "url": "FORWARDING_RULE_URL"
  },
  "mirroredResources": {
    "subnetworks": [
      {
        "url": "SUBNET_URL"
      }
    ],
    "instances": [
      {
        "url": "INSTANCE_URL"
      }
    ],
    "tags": [
      "NETWORK_TAGS"
    ]
  },
  "filter": {
    "cidrRanges": [
      "CIDR_RANGE"
    ],
    "IPProtocols": [
      "PROTOCOL"
    ],
    "direction": "DIRECTION"
  },
  "enable": "ENABLED"
}

请替换以下内容：

• PROJECT_ID：政策所在项目的 ID。
• REGION：数据包镜像政策的区域。
• POLICY_NAME：要修改的数据包镜像政策的名称。
• DESCRIPTION：政策的可选说明。
• PRIORITY：政策的优先级，用于在有多项匹配政策时确定顺序。默认值为 1,000。有效范围为 0 到 65,535。
• FORWARDING_RULE_URL：启用了数据包镜像的转发规则的网址。Google Cloud 会将所有镜像的流量发送到关联的内部直通网络负载均衡器。
• SUBNET_URL：子网的网址。Google Cloud 会对该子网中现有的实例和将来出现的实例进行镜像。您可以使用逗号分隔列表提供多个子网。
• INSTANCE_URL：要镜像的虚拟机实例的网址。您可以使用逗号分隔列表提供多个实例。
• NETWORK_TAGS：网络标记。Google Cloud 会对具有一个或多个网络标记的实例进行镜像。您可以使用逗号分隔列表提供多个标记。
• CIDR_RANGE：要镜像的一个或多个 IPv4 或 IPv6 CIDR 范围。如果未指定 CIDR 范围，则与指定协议匹配的所有 IPv4 流量会被镜像。如果 CIDR 范围和协议均未指定，则所有 IPv4 流量都会被镜像。 如需镜像所有 IPv4 和 IPv6 流量，请使用 "0.0.0.0/0", "::/0"。您可以同时添加 IPv4 和 IPv6 CIDR 范围。您可以使用以下格式提供多个 CIDR 范围："192.0.2.0/24", "2001:DB8::/32"。
• IP_PROTOCOL：一个或多个协议。选项为 tcp、udp、icmp、esp、ah、ipip、sctp 或 IANA 协议编号。如果未指定协议，则与指定 CIDR 范围匹配的所有流量会被镜像。如果 CIDR 范围和协议均未指定，则所有 IPv4 流量都会被镜像。如需为 IPv6 指定 ICMP，请使用 58。您可以使用以下格式提供多个协议："icmp", "udp"。
• DIRECTION：要镜像的流量的方向。选项为 INGRESS、EGRESS 或 BOTH。默认值为 BOTH。
• ENABLED：指示政策是否处于启用状态。选项为 TRUE 或 FALSE。

控制台

• 在 Google Cloud 控制台中，转到数据包镜像页面。

  转到“数据包镜像”页面

  Google Cloud 控制台会列出您的项目中的所有政策。

gcloud

如需列出项目中或某个特定区域的数据包镜像政策，请使用 packet-mirrorings list 命令。

gcloud compute packet-mirrorings list \
  [--filter="region:(REGION...)"]

将 REGION 替换为包含所要列出政策的区域的名称。

API

如需列出项目中的现有数据包镜像政策，请向 packetMirrorings.list 方法发出 GET 请求。

GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/aggregated/packetMirrorings

将 PROJECT_ID 替换为您的项目 ID。

如需列出特定区域的现有数据包镜像政策，请向 packetMirrorings.list 方法发出 GET 请求。

GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/packetMirrorings

请替换以下内容：

• PROJECT_ID：包含要列出的政策的项目 ID。
• REGION：包含所要列出政策的区域。

控制台

1. 在 Google Cloud 控制台中，转到数据包镜像页面。

   转到“数据包镜像”页面

2. 在数据包镜像政策列表中，选择您要查看的政策。Google Cloud 控制台会显示所选政策的详细信息。

gcloud

如需描述数据包镜像政策，请使用 packet-mirrorings describe 命令。

gcloud compute packet-mirrorings describe POLICY_NAME \
  --region=REGION \

请替换以下内容：

• POLICY_NAME：要描述的数据包镜像政策的名称。
• REGION：政策所在的区域。

API

如需描述数据包镜像政策，请向 packetMirrorings.get 方法发出 GET 请求。

GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/packetMirrorings/POLICY_NAME

请替换以下内容：

• PROJECT_ID：政策所在项目的 ID。
• REGION：政策所在的区域。
• POLICY_NAME：要描述的数据包镜像政策的名称。

控制台

1. 在 Google Cloud 控制台中，转到数据包镜像页面。

   转到“数据包镜像”页面

2. 在数据包镜像政策列表中，选择要停用或启用的政策。

3. 点击停用或启用。

4. 点击停用或启用以确认。

gcloud

如需停用数据包镜像政策，请使用 packet-mirrorings update 命令。

gcloud compute packet-mirrorings update POLICY_NAME \
  --region=REGION \
  --no-enable

请替换以下内容：

• POLICY_NAME：要停用或启用的数据包镜像政策的名称。
• REGION：政策所在的区域。

如需启用数据包镜像政策，请使用 packet-mirrorings update 命令。

gcloud compute packet-mirrorings update POLICY_NAME \
  --region=REGION \
  --enable

请替换以下内容：

• POLICY_NAME：要停用或启用的数据包镜像政策的名称。
• REGION：政策所在的区域。

API

如需停用或启用现有数据包镜像政策，请向 packetMirrorings.patch 方法发出 PATCH 请求。

PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/packetMirrorings/POLICY_NAME
{
  "enable": "FALSE|TRUE"
}

请替换以下内容：

• PROJECT_ID：政策所在项目的 ID。
• REGION：政策所在的区域。
• POLICY_NAME：要停用的数据包镜像政策的名称。

控制台

1. 在 Google Cloud 控制台中，转到数据包镜像页面。

   转到“数据包镜像”页面

2. 在数据包镜像政策列表中，选择您要删除的政策。

3. 点击删除。

4. 点击删除以确认。

gcloud

如需删除数据包镜像政策，请使用 packet-mirrorings delete 命令。

gcloud compute packet-mirrorings delete POLICY_NAME \
  --region=REGION \

请替换以下内容：

• POLICY_NAME：要删除的数据包镜像政策的名称。
• REGION：政策所在的区域。

API

如需删除数据包镜像政策，请向 packetMirrorings.delete 方法发出 DELETE 请求。

DELETE https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/packetMirrorings/POLICY_NAME

请替换以下内容：

• PROJECT_ID：政策所在项目的 ID。
• POLICY_NAME：要删除的数据包镜像政策的名称。
• REGION：政策所在的区域。