流日志是Azure中一项不算偏门,但是也不是很热门的功能,之所以要拿出来介绍下,还是因为实际使用中很多时候确实能帮到一些忙
流日志和data flow之类的东西其实没什么关系,虽然名字上看起来像是个数据分析里用到的产品,但是实际上还是属于infrastructure功能里的一部分,主要用来记录流入流出安全组中的流量
我们都知道流量在出站和入站之前都是要经过安全组的,不管是子网的安全组还是网卡的安全组,既然要经过安全组,那么就可以对这些流量进行记录,流日志就是用来做这个的。至于它的作用,一方面可以对流量进行记录,审计,筛查,另外一方面,在做一些拍错的时候也会有帮助。
比如之前遇到的一个问题,想记录下两个服务之间做通信时都会用到哪些端口,以便后续精确开通安全组和防火墙用,但是使用不同功能时,用到的端口也是不同的,因此这种情况下,就可以先把流日志打开,然后正常使用一段时间产品,然后分析下流日志就都清楚了
流日志开启的方法相对简单,打开一个NSG,然后找到NSG flow log,选择create
选择用来保存log的存储账号,设置好保存周期
这里有两种格式,v1和v2,一般直接用v2即可,也可以通过traffic analytics的功能以可视化的方式查看log
之后直接部署即可,NSG Flow Log不是实时的,所以大概需要等一段时间,才能到存储账号里找到log,可以看到log是按照订阅,NSG,MAC地址,以及时期时间等一系列属性进行分组的,统一名字都叫PT1H.JSON
但是这个log可以看到对用户的可读性比较差,需要仔细查看每个字段的含义才能理解log里的内容
v2版本的日志主要包括以下属性
- time - 记录事件的时间
- systemId - 网络安全组系统 ID。
- 类别 - 事件的类别。 类别始终是 NetworkSecurityGroupFlowEvent
- resourceid - NSG 的资源 ID。
- operationName - 始终为 NetworkSecurityGroupFlowEvents
- properties - 流属性的集合
- Version - 流日志事件架构的版本号
- flows - 流的集合。 此属性有多个针对不同规则的条目
- rule - 列出流时所依据的规则
- flows - 流的集合
- mac - VM 的 NIC 的 MAC 地址,用于收集流
- flowTuples - 一个字符串,包含逗号分隔格式的流元组的多个属性
- Time Stamp - 此值为时间戳,表示流的发生时间,采用 UNIX epoch 格式
- Source IP - 源 IP
- Destination IP - 目标 IP
- Source Port - 源端口
- Destination Port - 目标端口
- Protocol - 流的协议。 有效值为 T(表示 TCP)和 U(表示 UDP)
- Traffic Flow - 流的方向。 有效值为 I(表示入站)和 O(表示出站)。
- Traffic Decision - 是允许了还是拒绝了流。 有效值为 A(表示已允许)和 D(表示已拒绝)。
- Flow State - 仅限版本 2 - 捕获流的状态。 可能的状态包括 B:创建流时开始。 未提供统计信息。 C:继续执行正在进行的流。 以 5 分钟的时间间隔提供统计信息。 E:在流终止时结束。 已提供统计信息。
- Packets - 源到目标 - 仅限版本 2 自上次更新以来,从源发送到目标的 TCP 数据包的总数。
- Bytes sent - 源到目标 - 仅限版本 2 自上次更新以来,从源发送到目标的 TCP 数据包字节的总数。 数据包字节包括数据包标头和有效负载。
- Packets - 目标到源 - 仅限版本 2 自上次更新以来,从目标发送到源的 TCP 数据包的总数。
- Bytes sent - 目标到源 - 仅限版本 2 自上次更新以来,从目标发送到源的 TCP 数据包字节的总数。 数据包字节包括数据包标头和有效负载。
按照字段一个个匹配的话就可以了解每个log的内容了,当然这种方法无疑是不可取的,还是要用工具来解决问题
标签:log,Flow,TCP,NSG,日志,目标,数据包,Log From: https://blog.51cto.com/mxyit/5967414