Flow Analyzer – Übersicht

Mit Flow Analyzer können Sie Ihre VPC-Traffic-Flüsse (Virtual Private Cloud) schnell und effizient nachvollziehen, ohne komplexe SQL-Abfragen zum Analysieren von VPC-Flusslogs schreiben zu müssen. Mit Flow Analyzer können Sie eine detaillierte Analyse des Netzwerkverkehrs mit 5-Tupel-Granularität (Quell-IP, Ziel-IP, Quellport, Zielport und Protokoll) durchführen.

Flow Analyzer wurde mit Observability Analytics entwickelt und basiert auf BigQuery. Er ermöglicht eine detaillierte Analyse des eingehenden und ausgehenden Traffics Ihrer VM-Instanzen. Sie können Ihre Netzwerkbereitstellung überwachen, Fehler beheben und optimieren, um die Leistung zu verbessern und die Sicherheit zu erhöhen. So können Sie die Compliance sicherstellen und Kosten sparen.

Flow Analyzer analysiert VPC-Flusslogdaten, die in einem Log-Bucket gespeichert sind (Eintragsformat). Wenn Sie Flow Analyzer verwenden möchten, müssen Sie ein Projekt mit einem Log-Bucket auswählen, der VPC-Flusslogs enthält. Weitere Informationen finden Sie in der Übersicht über VPC-Flusslogs. VPC-Flusslogs können für das Netzwerkmonitoring, forensische Untersuchungen, Sicherheitsanalysen in Echtzeit sowie zur Kostenoptimierung verwendet werden.

Flow Analyzer führt Abfragen für die Felder aus, die in VPC-Flusslogs enthalten sind. Weitere Informationen finden Sie unter Wichtige Eigenschaften von VPC-Flusslogs.

In Flow Analyzer können Sie Folgendes tun:

  • Von VPC-Flusslogs gemeldete Logs abfragen
  • SQL-Filter verwenden, um Abfragen zu verfeinern
  • Abfrageergebnisse nach Gesamttraffic, aggregierten Paketen, Paketverlusten oder Latenz sortieren
  • Traffic für einen bestimmten Zeitraum ansehen
  • Die fünf wichtigsten Flüsse mit dem höchsten Traffic, den meisten Paketverlusten oder der höchsten Latenz für den ausgewählten Zeitraum ansehen
  • Ressourcen mit dem höchsten Traffic, den meisten Paketverlusten oder der höchsten Latenz für den ausgewählten Zeitraum ansehen
  • Traffic-Details für bestimmte Quell- und Zielpaare in den Abfrageergebnissen ansehen

Funktionsweise

Mit VPC-Flusslogs werden Stichproben von Paketen in Ihrem VPC-Netzwerk erfasst, um Flusslogs zu generieren. Diese können in Cloud Logging gespeichert oder über Pub/Sub an unterstützte Ziele wie BigQuery oder eine Drittanbieterplattform weitergeleitet werden.

Wenn Flusslogs in Buckets mit aktivierter Observability Analytics in Cloud Logging gespeichert werden, können Sie Flow Analyzer verwenden, um Ihre Traffic-Daten abzufragen und zu visualisieren.

Abfragekomponenten

Wenn Sie Ihre Traffic-Flüsse analysieren und nachvollziehen möchten, müssen Sie eine Abfrage für VPC-Flusslogs ausführen. Mit Flow Analyzer können Sie die Abfrage erstellen, die Anzeigeoptionen anpassen und die Trafficflüsse aufschlüsseln, um sie anzusehen und zu überwachen.

Traffic-Zusammenfassung

Wenn Sie VPC-Trafficflüsse analysieren möchten, müssen Sie den Aggregationsansatz bestimmen, um die Flüsse zwischen den Ressourcen zu filtern. Flow Analyzer organisiert die Flusslogs für die Aggregation so:

  • Quelle und Ziel: Diese Option verwendet die SRC- und DEST-Informationen in den VPC-Flusslogs. In dieser Ansicht wird der Traffic von der Quelle zum Ziel zusammengefasst.
  • Client und Server: Bei dieser Option wird versucht, den Initiator der Verbindung zu finden. Eine Ressource mit der kleineren Portnummer wird als Server angesehen. Außerdem werden Ressourcen mit der Definition gke_service als Server betrachtet, da Dienste keine Anfragen initiieren. In dieser Ansicht wird der Traffic in beide Richtungen zusammengefasst.

Zeitraumauswahl

Der Standardzeitraum beträgt eine Stunde. Sie können jedoch aus voreingestellten Zeitoptionen auswählen, eine benutzerdefinierte Start- und Endzeit angeben oder den Zeitraum mithilfe der Zeitraumauswahl auf einen bestimmten Zeitstempel zentrieren. Wenn Sie beispielsweise die Daten der letzten Woche aufrufen möchten, wählen Sie in der Zeitraumauswahl Letzte Woche aus.

Sie können Ihre Zeitzoneneinstellungen auch über die Zeitraumauswahl festlegen.

Einfache Filter

Mit einfachen Filtern können Sie den Umfang einer Abfrage definieren. In den Abfrageergebnissen werden nur die Abläufe angezeigt, die den von Ihnen ausgewählten Filtern entsprechen. Sie können Filter für Folgendes auswählen:

  • Quelle und Ziel (wenn Traffic-Zusammenfassung auf Quelle – Ziel festgelegt ist)
  • Client und Server (wenn Traffic-Aggregation auf Client – Server festgelegt ist)
  • Flow-Parameter

In jeder Filterliste können Sie mehrere Filterausdrücke hinzufügen. Wenn Sie mehrere Werte für denselben Filter auswählen, wird ein ODER-Operator verwendet. Wenn Sie mehrere Filter auswählen, wird ein AND-Operator verwendet.

Wenn Sie beispielsweise die zwei IP-Adresswerte 10.10.0.10 und 10.10.0.20 sowie die zwei Länderwerte usa und fra auswählen, wird die folgende Filterlogik auf die Abfrage angewendet: (IP=10.10.0.10 OR IP=10.10.0.20) AND (Country=usa OR Country=fra).

Informationen zum Erstellen und Ausführen von Abfragen mit einfachen Filtern finden Sie unter Abfrage erstellen und ausführen.

SQL-Filter

Zum Erstellen komplexer Abfragen können Sie SQL-Filter verwenden. Mit komplexen Abfragen können Sie beispielsweise folgende Aufgaben ausführen:

  1. Feldwerte miteinander vergleichen
  2. Komplexe boolesche Logik mit AND/OR- und verschachtelten OR-Vorgängen erstellen
  3. Komplexe Vorgänge für IP-Adressen mit BigQuery-Funktionen ausführen

Für die SQL-Filterabfragen wird die BigQuery-SQL-Syntax verwendet. Weitere Informationen finden Sie in der BigQuery-SQL-Syntax.

Klicken Sie auf Syntax und Beispiele für Filterausdruck, um die Syntax und Beispiele für Filterausdrücke aufzurufen.

Informationen zum Erstellen und Ausführen von Abfragen mit SQL-Filtern finden Sie unter SQL-Abfrage erstellen und ausführen.

Abfrageergebnisse

Die Abfrageergebnisse enthalten standardmäßig die folgenden Komponenten:

  • Im Diagramm Höchste Datenflüsse werden die fünf höchsten Traffic-Flüsse im Zeitverlauf im Vergleich zum restlichen Traffic dargestellt. Mit diesem Diagramm lassen sich Trends wie Traffic-Spitzen erkennen.
  • Die Tabelle Alle Datenflüsse: Zeigt die wichtigsten Traffic-Flüsse bis zu 5.000 Zeilen,aggregiert über den ausgewählten Zeitraum. In dieser Tabelle werden die Felder angezeigt, die zum Organisieren der Abläufe ausgewählt wurden, während die Filter für die Abfrage definiert wurden.

Wenn Sie unter Anzeigeoptionen die Option Latenz auswählen, werden stattdessen Flüsse mit der höchsten Latenz und Alle Latenzflüsse angezeigt. Wenn Sie Paketverluste auswählen, zeigt Flow Analyzer das Diagramm Höchste Verluste und die Tabelle Alle Paketverlustflüsse an.

Anzeigeoptionen

Nachdem Sie eine Abfrage ausgeführt haben, können Sie die Ergebnisse mithilfe von Anzeigeoptionen verfeinern. Ihre Auswahl aktualisiert sowohl das Diagramm als auch die Tabelle.

Flow Analyzer bietet drei Modi, mit denen Sie die Darstellung der Daten anpassen können:

  • Datenvolumen (Standard): Zeigt die gesendeten Byte und Pakete an.
  • Paketverluste: Zeigt die Verlustrate und die Anzahl der Verluste für Byte und Pakete an.
  • Latenz: Zeigt die Umlaufzeit (RTT) an.

Weitere Informationen finden Sie unter Anzeigeoptionen anpassen.

Datenvolumen

Für den Anzeigemodus Datenvolumen sind die folgenden Optionen verfügbar.

Messwerttypen

Sie können einen der folgenden Messwerttypen auswählen.

  • Gesendete Byte: Enthält Informationen zu den Nutzlastvolumen und keine Header. Dieser Messwert kann null sein, da einige Pakete nur Header und keine Nutzlast enthalten.

  • Gesendete Pakete: Gibt die Anzahl der Pakete an, die von der Quelle an das Ziel gesendet wurden.

Für beide Messwerttypen können Sie zusätzliche Messwertaggregationen auswählen.

Messwertaggregation

Sie können die Messwertaggregation auf folgende Arten aufrufen.

Wenn Sie Gesendete Byte als Messwert und Quelle und Ziel als Traffic-Aggregation auswählen, sind die folgenden Optionen verfügbar:

  • Gesamter Traffic: Diese Option ist standardmäßig aktiviert und zeigt den gesamten Traffic für den ausgewählten Zeitraum an.
  • Durchschnittliche Trafficrate: Zeigt die durchschnittliche Trafficrate (in Byte pro Sekunde) für den ausgewählten Zeitraum an. Sie wird nur für die Ausrichtungszeiträume berechnet, in denen Traffic beobachtet wurde. Weitere Informationen finden Sie unter Ausrichtungszeitraum.
  • Mittlere Traffic-Rate: Zeigt die mittlere Traffic-Rate (in Byte pro Sekunde) für den ausgewählten Zeitraum an, die nur für die Ausrichtungszeiträume berechnet wird, in denen Traffic beobachtet wurde. Weitere Informationen finden Sie unter Ausrichtungszeitraum.
  • P95-Traffic-Rate: Zeigt die Traffic-Rate des 95. Perzentils in Byte pro Sekunde für den ausgewählten Zeitraum an. Sie wird nur für die Ausrichtungszeiträume berechnet, in denen Traffic beobachtet wurde. Weitere Informationen finden Sie unter Ausrichtungszeitraum.
  • Maximale Traffic-Rate: Zeigt die maximale Traffic-Rate in Byte pro Sekunde für den ausgewählten Zeitraum an.

Wenn Sie Gesendete Pakete als Messwert und Quelle und Ziel als Traffic-Aggregation auswählen, sind die folgenden Optionen verfügbar:

  • Aggregierte Pakete: Zeigt die Anzahl der im ausgewählten Zeitraum gesendeten Pakete an. Standardmäßig aktiviert.
  • Durchschnittliche Paketrate: Zeigt die durchschnittliche Paketrate für den ausgewählten Zeitraum an, die nur für die Ausrichtungszeiträume berechnet wird, in denen der Traffic beobachtet wurde. Weitere Informationen finden Sie unter Ausrichtungszeitraum.
  • Median der Paketrate: Zeigt den Median der Paketrate für den ausgewählten Zeitraum an, der nur für die Ausrichtungszeiträume berechnet wird, in denen der Traffic beobachtet wurde. Weitere Informationen finden Sie unter Ausrichtungszeitraum.
  • P95-Paketrate: Zeigt die 95. Perzentil-Paketrate für den ausgewählten Zeitraum an, die nur für die Ausrichtungszeiträume berechnet wird, in denen der Traffic beobachtet wurde. Weitere Informationen finden Sie unter Ausrichtungszeitraum.
  • Maximale Paketrate: Zeigt die maximale Paketrate für den ausgewählten Zeitraum an.

Stichprobenpunkt

Für die VM-zu-VM-Netzwerkkommunikation sind Flusslogs (mit Stichproben) sowohl auf den VMs verfügbar, die Traffic senden, als auch auf den VMs, die Traffic empfangen. Wenn sich beide Endpunkt-VMs in Subnetzen befinden, für die VPC-Flusslogs aktiviert sind, wird derselbe Fluss zweimal gemeldet. Sie können einen der folgenden vier Ansätze auswählen, um zu bestimmen, welche VPC-Flusslogs zu den berechneten Messwerten beitragen und wie sie ausgewertet werden:

  • Quellendpunkt: Die Anzahl der gesendeten Byte oder Pakete, die am Quellendpunkt eines Flows gemeldet werden.
  • Zielendpunkt: Die Anzahl der gesendeten Byte oder Pakete, die am Zielendpunkt eines Flows gemeldet werden.
  • Summe von Quell- und Zielendpunkt: Die Summe der gesendeten Byte oder Pakete, die von beiden Endpunkten eines Flusses gemeldet werden.
  • Durchschnitt des Quell- und Zielendpunkts: Ein Durchschnitt der gesendeten Byte oder Pakete, die von beiden Endpunkten eines Flusses gemeldet werden, wenn sowohl die Quell- als auch die Zielinformationen in VPC-Flusslogs verfügbar sind.

Traffic-Deduplizierung

Damit der Traffic, der auf den Quell- und Ziel-VMs gemeldet wird, nicht doppelt gezählt wird, können Sie die Stichprobenoption Durchschnitt von Quell- und Zielendpunkt auswählen. Flow Analyzer identifiziert äquivalente Abläufe innerhalb jedes Ausrichtungszeitraums und berechnet die Durchschnittswerte der gemeldeten Messwerte (Byte- und Paketanzahl).

Bei Ausrichtungszeiträumen, in denen äquivalente Flüsse sowohl bei SRC als auch bei DEST gemeldet werden, wird der gesamte Traffic, der einem bestimmten Ausrichtungszeitraum zugeordnet ist, durch zwei geteilt.

Paketverluste

Für den Anzeigemodus Paketverluste sind die folgenden Optionen verfügbar.

Messwerttypen

Sie können einen der folgenden Messwerttypen auswählen:

  • Gesendete Pakete (Standard): zeigt die Anzahl der gelöschten Pakete an.
  • Gesendete Bytes: zeigt die Anzahl der gelöschten Bytes an.

Zeitachse

Sie können im Diagramm Höchste Verluste auswählen, wie Paketverluste berechnet und auf der Zeitachse angezeigt werden:

  • Verlustrate (%) (Standard): zeigt den Prozentsatz der Pakete oder Byte an, die im ausgewählten Ausrichtungszeitraum verloren gegangen sind.
  • Anzahl der Verluste: Zeigt die Anzahl der Pakete oder Byte an, die im ausgewählten Ausrichtungszeitraum verworfen wurden.

Stichprobenpunkt

Bei der Analyse von Paketverlusten zeigt der Flow Analyzer Paketverlustdaten an, die entweder von der Quelle oder vom Ziel eines Flows gemeldet werden (Standard). Sie können die Stichprobenpunkte anpassen, um nur Daten von der Quelle (ausgehende Drops) oder dem Ziel (eingehende Drops) aufzurufen.

Außerdem enthält die Tabelle Alle Paketverlust-Flüsse die Spalte Grund für den Verlust, die Ihnen bei der Fehlerbehebung hilft. Klicken Sie auf einen Grund für das Verwerfen, um weitere Informationen zum verworfenen Traffic aufzurufen, einschließlich der zugrunde liegenden Ursache.

Latenz

Für den Anzeigemodus Latenz sind die folgenden Optionen verfügbar.

Messwerttyp

Flow Analyzer verwendet RTT-Daten aus VPC-Flusslogs, um eine Latenzanalyse für TCP-Traffic bereitzustellen.

Ranking-Messwerte

Sie können Ihre Trafficflüsse anhand der folgenden Messwerte bewerten. Diese Auswahl definiert die Sortierreihenfolge in der Tabelle Alle Latenzflüsse und bestimmt, welche Flüsse im Diagramm Flüsse mit der höchsten Latenz angezeigt werden.

  • Durchschnitt: Sortiert Datenflüsse nach der höchsten durchschnittlichen Latenz (einschließlich Latenzspitzen).
  • Max.: Sortiert Datenflüsse nach der höchsten Latenzspitze.
  • Median: Sortiert Datenflüsse nach der höchsten Medianlatenz (ohne Latenzspitzen).
  • P95: Sortiert Datenflüsse nach der höchsten Latenz für das 95. Perzentil.
  • P99: Sortiert Datenflüsse nach der höchsten Latenz im 99. Perzentil.
  • Standardabweichung: Sortiert Datenflüsse nach der höchsten Abweichung (Inkonsistenz) bei der Latenz.

Stichprobenpunkt

Die Latenz wird sowohl für Quell- als auch für Zielendpunkte gemeldet. Sie können die Latenzwerte für beide Seiten des Traffics aufrufen.

Messwertaggregation

Für die Aggregation von Latenzdaten sind die folgenden Optionen verfügbar:

  • Diagrammaggregation: Definiert die Berechnungsmethode für das Diagramm Flüsse mit der höchsten Latenz und wird auf die Daten angewendet, die basierend auf dem von Ihnen ausgewählten Ranking-Messwert ausgewählt werden. Sie können Durchschnitt, Max, Median, P95 oder P99 als Methode zur Latenzberechnung auswählen.

    Wenn Sie beispielsweise die Abläufe nach Median-Latenz sortieren und die Diagrammaggregation auf Maximale Latenz festlegen, werden im Diagramm die höchsten Latenzspitzen für die fünf Abläufe mit der höchsten Median-Latenz angezeigt.

  • Tabellenaggregation: Wählen Sie aus, welche Messwerte zusätzlich zum ausgewählten Ranking-Messwert als Spalten in der Tabelle Alle Latenzdatenflüsse angezeigt werden sollen.

Sie können auch Abläufe mit geringem Volumen von der Latenzanalyse ausschließen.

Ausrichtungszeitraum

Sie können für den Zeitraum der Details im Diagramm einen Wert zwischen 5 Sekunden und 1 Tag auswählen. Im automatischen Modus wird der optimale Ausrichtungszeitraum in Abhängigkeit von der Länge des ausgewählten Zeitraums ausgewählt.

Jeder Punkt auf der Zeitachse stellt aggregierte Daten für einen bestimmten Zeitraum dar. Die Länge dieses Zeitraums wird als Ausrichtungszeitraum bezeichnet.

Die Leistung nimmt mit der Verringerung des Werts des Ausrichtungszeitraums ab. Bei höheren Werten des Ausrichtungszeitraums wird das Diagramm weniger detailliert. Kurze Spitzen mit höheren Werten werden möglicherweise nicht angezeigt.

Bei langen Zeiträumen ist ein kleinerer Ausrichtungszeitraum nicht hilfreich. Wenn Sie beispielsweise eine Ausrichtung von 1 Minute für einen Zeitraum von 30 Tagen auswählen, generiert Flow Analyzer mehr als 43.000 Datenpunkte. Das ist zehnmal mehr als die 4K-Displaypixel. Sie können also nicht alle Details sehen und einige Optionen sind für lange Zeiträume deaktiviert.

Weitere Informationen dazu, wie die Stichprobenerhebung erfolgt und wie der Ausrichtungszeitraum für die Anzeige der Abfrageergebnisse bestimmt wird, finden Sie unter Messwerte und Ausrichtungszeitraum.

Ablaufdetails ansehen

Klicken Sie in der Tabelle Alle Datenflüsse, Alle Paketverlustflüsse oder Alle Latenzflüsse für einen beliebigen Fluss auf Details. Der Bereich Ablaufdetails wird angezeigt. In diesem Bereich finden Sie Informationen wie Quelle, Ziel, Traffic, Aufschlüsselungsoptionen und Pfade des autonomen Systems (AS) für ausgehenden Traffic.

Aufschlüsselungsansicht

Sie können einen ausgewählten Datenfluss weiter aufschlüsseln, indem Sie ihn mit einem zusätzlichen Feld aufteilen. Wenn ein Fluss beispielsweise allgemeine Details zu 1.000 GiB Traffic von Google Cloud Zone X zu Zone Y enthält, können Sie mithilfe eines anderen Felds wie der Quell-IP-Adresse einen Drilldown ausführen. Die Ergebnisse enthalten mehrere IP-Adressen, die den ursprünglichen Fluss ausmachen.

Die Felder, die in der Aufschlüsselungskomponente angezeigt werden, werden so ausgewählt:

  • Wenn Sie auf die Flussdetails zugreifen, führt Flow Analyzer mehrere Abfragen aus. Bei jeder Abfrage wird versucht, den ausgewählten Fluss mithilfe der Felder aufzuschlüsseln, die in den VPC-Flusslogs verfügbar sind und noch nicht in der ursprünglichen Abfrage verwendet wurden. Wenn die ausgeführte Abfrage beispielsweise bereits die IP-Adressdetails enthält, müssen Sie die Abfrage nicht noch einmal mit diesem Feld ausführen und können mit diesem Feld keinen Drilldown durchführen.
  • Wenn eine der zusätzlichen Abfragen einen einzelnen Feldwert zurückgibt, wird dieser dem Abschnitt mit den Quell- und Zieldetails hinzugefügt, auch wenn er nicht zuvor abgerufen wurde.
  • Wenn eines der Abfrageergebnisse mehr als einen Feldwert enthält, wird das entsprechende Feld in der Aufschlüsselungsliste angezeigt.

Wenn Sie ein Feld in der Aufschlüsselungsliste auswählen, werden die Aufschlüsselungstabelle und das Diagramm aktualisiert, um die drei wichtigsten Traffic-Flüsse anzuzeigen.

Sie können auch die Option Mit Vergangenheit vergleichen verwenden. Wählen Sie diese Funktion aus, um sechs Linien zu sehen: drei durchgezogene Linien für die drei Top Talker aus der Aufschlüsselung und drei gestrichelte Linien in den entsprechenden Farben, die den vergangenen Traffic darstellen.

Weitere Informationen zum Aufschlüsseln von Trafficflüssen mithilfe von mehr Feldern finden Sie unter Trafficflüsse aufschlüsseln.

Ansicht „Ausgehende AS-Pfade“

Auf dem Tab Ausgehende AS-Pfade können Sie die AS-Pfade sehen, die ausgehende Pakete durchlaufen, um Ziele außerhalb des Netzwerks von Google Cloudzu erreichen. Ein AS-Pfad kann mehrere autonome Systemnummern (ASNs) enthalten.

Sie können festlegen, welche AS-Details auf dem Tab Ausgehende AS-Pfade angezeigt werden. Verwenden Sie dazu den Filter Ausgehender AS-Pfad in der Liste Flussparameter. Mit den Optionen länger als und kürzer als im Feld Vergleichsoperator können Sie beispielsweise die Anzahl der ASNs pro AS-Pfad angeben. Wenn Sie AS-Pfade mit einer bestimmten ASN aufrufen möchten, können Sie die Option Hat erste ASN oder Enthält ASN verwenden.

Kanten im Diagramm „Ausgehende AS-Pfade“ werden nach der Anzahl der Flusslogs gewichtet. In einem AS-Pfad im Diagramm stellt eine Kante die Anzahl der Flusslogs dar, die beide ASNs enthalten, die die Kante verbindet. Die im Diagramm „Ausgehende AS-Pfade“ angezeigten Daten ändern sich je nach den Filteroptionen für Ausgehende AS-Pfade und dem Zeitraum, den Sie beim Ausführen einer Abfrage auswählen.

In Observability Analytics untersuchen

Sie können die SQL-Rohabfrage in Observability Analytics ansehen.

Für erweiterte Analysen können Sie den SQL-Code, der zur Visualisierung des Traffics verwendet wird, direkt ändern. Mit der Funktion In Loganalysen ansehen werden Sie zur Seite Loganalysen mit einer vorausgefüllten Abfrage weitergeleitet.

Nächste Schritte