שימוש ברישום ביומן של מדיניות הרשת

בדף הזה מוסבר איך להפעיל רישום ביומן של מדיניות הרשת באשכול GKE ואיך לייצא את היומנים.

סקירה כללית

כללי מדיניות של רשת הם חומות אש ברמת ה-Pod. הם מציינים את תעבורת הרשת ש-Pods יכולים לשלוח ולקבל. ביומנים של מדיניות הרשת נרשמים אירועים שקשורים למדיניות הרשת. אתם יכולים לרשום ביומן את כל האירועים, או לבחור לרשום אירועים על סמך הקריטריונים הבאים:

  • חיבורים מותרים.
  • חיבורים שנדחו.
  • חיבורים שמותרים לפי מדיניות ספציפית.
  • החיבורים נדחים ל-Pods במרחבי שמות ספציפיים.

הפעלת רישום ביומן

רישום ביומן של מדיניות הרשת מושבת כברירת מחדל. במאמר שימוש ברישום ביומן של מדיניות הרשת במסמכי התיעוד של Google Kubernetes Engine מוסבר איך להפעיל את הרישום ביומן ולבחור אילו אירועים לרשום ביומן.

גישה ליומנים

יומני מדיניות הרשת מועלים אוטומטית ל-Cloud Logging. אפשר לגשת ליומנים דרך הכלי Logs Explorer או באמצעות Google Cloud CLI. אפשר גם לייצא יומנים מ-Cloud Logging אל ה-sink שתבחרו.

gcloud

gcloud logging read --project "PROJECT_NAME" 'resource.type="k8s_node" \
    resource.labels.location="CLUSTER_LOCATION" \
    resource.labels.cluster_name="awsClusters/CLUSTER_NAME" \
    logName="projects/PROJECT_NAME/logs/policy-action"'

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_NAME: הפרויקט ב- Google Cloud
  • ‫CLUSTER_LOCATION: Google Cloud המיקום שבו האשכול מנוהל
  • ‫CLUSTER_NAME: השם של האשכול

Cloud Logging

  1. נכנסים לדף Logs Explorer במסוף Google Cloud .

    כניסה לדף Logs Explorer

  2. לוחצים על Query builder (כלי ליצירת שאילתות).

  3. כדי למצוא את כל הרשומות ביומן של מדיניות הרשת, משתמשים בשאילתה הבאה:

    resource.type="k8s_node"
resource.labels.location="CLUSTER_LOCATION"
resource.labels.cluster_name="awsClusters/CLUSTER_NAME"
logName="projects/PROJECT_NAME/logs/policy-action"

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫CLUSTER_LOCATION: Google Cloud המיקום שבו האשכול מנוהל
    • ‫CLUSTER_NAME: השם של האשכול.
    • ‫PROJECT_NAME: הפרויקט ב- Google Cloud .

מידע נוסף על השימוש ב-Logs Explorer מופיע במאמר שימוש ב-Logs Explorer.

אפשר גם ליצור שאילתה באמצעות בונה השאילתות. כדי להריץ שאילתה לגבי יומנים של מדיניות הרשת, בוחרים באפשרות policy-action ברשימה הנפתחת שם היומן. אם אין יומנים זמינים, האפשרות policy-action לא מופיעה ברשימה הנפתחת.

גישה מקומית ליומני מדיניות הרשת

אם יש לכם גישה למערכת הקבצים של צומת, יומני מדיניות הרשת זמינים בכל צומת בקובץ המקומי /var/log/network/policy_action.log*. הצמתים מסובבים את קובצי היומן כשהקובץ הנוכחי מגיע ל-10MB. מערכת שומרת עד חמישה קובצי יומן קודמים.

המאמרים הבאים