Présentation de Flow Analyzer

Flow Analyzer vous permet de comprendre rapidement et efficacement vos flux de trafic de cloud privé virtuel (VPC) sans avoir à écrire de requêtes SQL complexes pour analyser les journaux de flux VPC. Flow Analyzer vous permet d'effectuer une analyse avisée du trafic réseau avec un niveau de précision de 5 tuples (adresse IP source, adresse IP de destination, port source, port de destination et protocole).

Développé à l'aide de l'analyse de l'observabilité et optimisé par BigQuery, Flow Analyzer permet d'analyser en profondeur le trafic entrant et sortant de vos instances de VM. Il vous permet de surveiller, de dépanner et d'optimiser votre déploiement réseau pour améliorer les performances et la sécurité, ce qui vous aide à assurer la conformité et à réduire les coûts.

Flow Analyzer analyse les données des journaux de flux VPC stockées dans un bucket de journaux (format d'enregistrement). Pour utiliser Flow Analyzer, vous devez sélectionner un projet avec un bucket de journaux contenant des journaux de flux VPC. Pour en savoir plus, consultez la présentation des journaux de flux VPC. Les journaux de flux VPC peuvent être utilisés pour la surveillance des réseaux, l'investigation, l'analyse de la sécurité en temps réel et l'optimisation des dépenses.

Flow Analyzer exécute des requêtes sur les champs inclus dans les journaux de flux VPC. Pour en savoir plus, consultez Propriétés clés des journaux de flux VPC.

Dans Flow Analyzer, vous pouvez effectuer les opérations suivantes :

  • Interroger les journaux signalés par les journaux de flux VPC
  • Utiliser des filtres SQL pour affiner vos requêtes
  • Trier les résultats de la requête par trafic total, paquets agrégés, pertes de paquets ou latence
  • Afficher le trafic pour une période spécifique
  • Affichez les cinq flux présentant le trafic, les pertes de paquets ou la latence les plus élevés pour la période sélectionnée.
  • Affichez les ressources présentant le trafic, les pertes de paquets ou la latence les plus élevés pour la période sélectionnée.
  • Afficher les détails du trafic pour des paires de sources et de destinations spécifiques dans les résultats de votre requête

Fonctionnement

Les journaux de flux VPC échantillonnent les paquets de votre réseau VPC pour générer des journaux de flux, qui peuvent être stockés dans Cloud Logging ou acheminés vers des destinations compatibles, telles que BigQuery ou une plate-forme tierce via Pub/Sub.

Lorsque les journaux de flux sont stockés dans des buckets pour lesquels l'analyse de l'observabilité est activée dans Cloud Logging, vous pouvez utiliser Flow Analyzer pour interroger et visualiser vos données de trafic.

Composants de requête

Pour analyser et comprendre vos flux de trafic, vous devez exécuter une requête sur les journaux de flux VPC. Flow Analyzer vous aide à créer la requête, à personnaliser les options d'affichage et à explorer les données pour afficher et surveiller vos flux de trafic.

Agrégation du trafic

Pour analyser les flux de trafic VPC, vous devez déterminer l'approche d'agrégation permettant de filtrer les flux entre les ressources. Flow Analyzer organise les journaux de flux pour l'agrégation de la manière suivante :

  • Source et destination : cette option utilise les informations SRC et DEST incluses dans les journaux de flux VPC. Cette vue agrège le trafic de la source vers la destination.
  • Client et serveur : cette option tente de trouver l'initiateur de la connexion. La ressource avec le numéro de port le plus petit est considérée comme le serveur. Il considère également les ressources avec la définition gke_service comme des serveurs, car les services n'initient pas de requêtes. Cette vue regroupe le trafic dans les deux sens.

Sélecteur de période

La période par défaut est d'une heure, mais vous pouvez sélectionner des options de durée prédéfinies, spécifier une heure de début et de fin personnalisée, ou centrer la période autour d'un code temporel spécifique à l'aide du sélecteur de période. Par exemple, si vous souhaitez afficher les données de la semaine précédente, sélectionnez Semaine précédente dans le sélecteur de période.

Vous pouvez également définir vos préférences de fuseau horaire à l'aide du sélecteur de période.

Filtres de base

Les filtres de base vous permettent de définir le champ d'application d'une requête. Seuls les flux correspondant aux filtres que vous sélectionnez sont affichés dans les résultats de la requête. Vous pouvez sélectionner des filtres pour les éléments suivants :

  • Source et Destination (si l'agrégation du trafic est définie sur Source - Destination)
  • Client et Serveur (si l'option Agrégation du trafic est définie sur Client - Serveur)
  • Paramètres de flux

Dans chaque liste Filtre, vous pouvez ajouter plusieurs expressions de filtre. Si vous sélectionnez plusieurs valeurs pour le même filtre, un opérateur OR est utilisé. Si vous sélectionnez plusieurs filtres, l'opérateur AND (ET) est utilisé.

Par exemple, si vous sélectionnez deux valeurs d'adresse IP (10.10.0.10 et 10.10.0.20) et deux valeurs de pays (usa et fra), la logique de filtrage suivante est appliquée à la requête : (IP=10.10.0.10 OR IP=10.10.0.20) AND (Country=usa OR Country=fra).

Pour créer et exécuter des requêtes à l'aide de filtres de base, consultez Créer et exécuter une requête.

Filtres SQL

Pour créer des requêtes complexes, vous pouvez utiliser des filtres SQL. Les requêtes complexes vous permettent d'effectuer les tâches suivantes :

  1. Comparer des valeurs de champ entre elles
  2. Créer une logique booléenne complexe à l'aide d'opérations AND/OR et OR imbriquées
  3. Effectuer des opérations complexes sur des adresses IP à l'aide de fonctions BigQuery

Les requêtes de filtre SQL utilisent la syntaxe SQL BigQuery. Pour en savoir plus, consultez la syntaxe SQL de BigQuery.

Pour afficher la syntaxe et des exemples d'expressions de filtre, cliquez sur Syntaxe et exemples d'expressions de filtre.

Pour créer et exécuter des requêtes à l'aide de filtres SQL, consultez Créer et exécuter une requête SQL.

Résultats de la requête

Par défaut, les résultats de la requête incluent les composants suivants :

  • Le graphique Flux de données les plus élevés affiche les cinq flux de trafic les plus élevés au fil du temps, ainsi que le reste du trafic. Ce graphique vous permet d'identifier des tendances, comme des pics de trafic.
  • Le tableau Tous les flux de données : affiche les principaux flux de trafic jusqu'à 5 000 lignes agrégées sur la durée sélectionnée. Ce tableau affiche les champs sélectionnés pour organiser les flux lors de la définition des filtres de la requête.

Si vous sélectionnez Latence dans Options d'affichage, les options Flux à latence la plus élevée et Tous les flux de latence s'affichent à la place. Si vous sélectionnez Paquets perdus, Flow Analyzer affiche le graphique Pertes les plus élevées et le tableau Tous les flux de paquets perdus.

Options d'affichage

Après avoir exécuté une requête, vous pouvez affiner vos résultats à l'aide des options d'affichage. Vos sélections mettent à jour le graphique et le tableau.

Flow Analyzer propose trois modes pour personnaliser l'affichage des données :

  • Volume de données (par défaut) : affiche les octets et les paquets envoyés.
  • Pertes de paquets : affiche le taux et le nombre de pertes pour les octets et les paquets.
  • Latence : affiche le délai aller-retour (DAR).

Pour en savoir plus, consultez Personnaliser les options d'affichage.

Volume de données

Les options suivantes sont disponibles pour le mode d'affichage Volume de données.

Types de métriques

Vous pouvez choisir d'afficher l'un des types de métriques suivants.

  • Octets envoyés : contient des informations sur les volumes de charge utile et n'inclut pas les en-têtes. Cette valeur de métrique peut être égale à zéro, car certains paquets ne contiennent que des en-têtes et n'incluent aucune charge utile.

  • Paquets envoyés : indique le nombre de paquets envoyés de la source vers la destination.

Pour les deux types de métriques, vous pouvez choisir des agrégations de métriques supplémentaires.

Agrégation de métriques

Vous pouvez afficher l'agrégation des métriques de différentes manières.

Si vous sélectionnez Octets envoyés comme métrique et Source et destination comme agrégation de trafic, les options suivantes sont disponibles :

  • Trafic total : cette option est toujours activée par défaut et affiche le trafic total pour la période choisie.
  • Taux de trafic moyen : affiche le taux de trafic moyen (en octets par seconde) pour la période choisie, calculé uniquement pour les périodes d'alignement pendant lesquelles le trafic a été observé. Pour en savoir plus, consultez Période d'alignement.
  • Taux de trafic médian : affiche le taux de trafic médian (en octets par seconde) pour la période choisie, calculé uniquement pour les périodes d'alignement au cours desquelles le trafic a été observé. Pour en savoir plus, consultez Période d'alignement.
  • Taux de trafic au 95e centile : affiche le taux de trafic au 95e centile en octets par seconde pour la période choisie, calculé uniquement pour les périodes d'alignement pendant lesquelles le trafic a été observé. Pour en savoir plus, consultez Période d'alignement.
  • Taux maximal de trafic : indique le taux maximal de trafic en octets par seconde pour la période choisie.

Si vous sélectionnez Paquets envoyés comme métrique et Source et destination comme agrégation de trafic, les options suivantes sont disponibles :

  • Paquets agrégés : affiche le nombre de paquets envoyés pour la période choisie. Cette option est activée par défaut.
  • Taux moyen de paquets : affiche le taux moyen de paquets pour la période choisie, calculé uniquement pour les périodes d'alignement au cours desquelles le trafic a été observé. Pour en savoir plus, consultez Période d'alignement.
  • Taux médian de paquets : affiche le taux médian de paquets pour la période choisie, calculé uniquement pour les périodes d'alignement au cours desquelles le trafic a été observé. Pour en savoir plus, consultez Période d'alignement.
  • Taux de paquets au 95e centile : affiche le taux de paquets au 95e centile pour la période choisie, calculé uniquement pour les périodes d'alignement au cours desquelles le trafic a été observé. Pour en savoir plus, consultez Période d'alignement.
  • Taux de paquets maximal : affiche le taux de paquets maximal pour la période choisie.

Point d'échantillonnage

Pour la communication réseau entre VM, les journaux de flux sont disponibles (avec échantillonnage appliqué) au niveau des VM qui envoient et reçoivent du trafic. Si les deux VM de point de terminaison se trouvent dans des sous-réseaux pour lesquels les journaux de flux VPC sont activés, le même flux est consigné deux fois. Vous pouvez choisir l'une des quatre approches suivantes pour déterminer quels journaux de flux VPC contribuent aux métriques calculées et comment ils sont évalués :

  • Point de terminaison source : nombre d'octets ou de paquets envoyés signalé au point de terminaison source d'un flux.
  • Point de terminaison de destination : nombre d'octets ou de paquets envoyés signalé au point de terminaison de destination d'un flux.
  • Somme des points de terminaison source et de destination : somme des octets ou des paquets envoyés signalés par les deux points de terminaison d'un flux.
  • Moyenne des points de terminaison source et de destination : moyenne des octets ou des paquets envoyés signalés par les deux points de terminaison d'un flux si les informations sur la source et la destination sont disponibles dans les journaux de flux VPC.

Déduplication du trafic

Pour éviter que le trafic signalé au niveau des VM source et de destination ne soit comptabilisé deux fois, vous pouvez choisir l'option d'échantillonnage Moyenne des points de terminaison source et de destination. Flow Analyzer identifie les flux équivalents au cours de chaque période d'alignement et calcule les moyennes des valeurs des métriques rapportées (nombre d'octets et nombre de paquets).

Pour les périodes d'alignement où des flux équivalents sont signalés à la fois au niveau de la source et de la destination, tout le trafic attribué à une période d'alignement donnée est divisé par deux.

Pertes de paquets

Les options suivantes sont disponibles pour le mode d'affichage Paquets supprimés.

Types de métriques

Vous pouvez choisir d'afficher l'un des types de métriques suivants :

  • Paquets envoyés (par défaut) : affiche le nombre de paquets perdus.
  • Octets envoyés : affiche le nombre d'octets perdus.

Chronologie

Vous pouvez choisir comment les pertes de paquets sont calculées et affichées sur la chronologie dans le graphique Pertes les plus élevées :

  • Taux de perte (%) (par défaut) : affiche le pourcentage de paquets ou d'octets perdus au cours de la période d'alignement sélectionnée.
  • Nombre de pertes : affiche le nombre de paquets ou d'octets perdus au cours de la période d'alignement sélectionnée.

Point d'échantillonnage

Lors de l'analyse des pertes de paquets, Flow Analyzer affiche les données de perte de paquets signalées par la source ou la destination d'un flux (par défaut). Vous pouvez ajuster les points d'échantillonnage pour afficher les données provenant uniquement de la source (pertes de sortie) ou de la destination (pertes d'entrée).

De plus, la table Tous les flux de suppression de paquets inclut une colonne Motif de suppression pour vous aider à résoudre les problèmes. Cliquez sur un motif de suppression pour afficher plus d'informations sur le trafic supprimé, y compris sa cause sous-jacente.

Latence

Les options suivantes sont disponibles pour le mode d'affichage Latence.

Type de métrique

Flow Analyzer utilise les données RTT des journaux de flux VPC pour fournir une analyse de la latence du trafic TCP.

Métriques de classement

Vous pouvez classer vos flux de trafic à l'aide des métriques suivantes. Cette sélection définit l'ordre de tri dans le tableau Tous les flux de latence et détermine les flux affichés dans le graphique Flux de latence les plus élevés.

  • Moyenne : trie les flux en fonction de la latence moyenne la plus élevée (inclut les pics de latence).
  • Max : classe les flux en fonction du pic de latence le plus élevé.
  • Médiane : trie les flux en fonction de la latence médiane la plus élevée (exclut les pics de latence).
  • P95 : trie les flux en fonction de la latence la plus élevée au 95e centile.
  • P99 : classe les flux en fonction de la latence la plus élevée au 99e centile.
  • Écart-type : classe les flux en fonction de la variation (incohérence) la plus élevée de la latence.

Point d'échantillonnage

La latence est signalée pour les points de terminaison source et de destination. Vous pouvez afficher les valeurs de latence pour chaque côté des flux de trafic.

Agrégation de métriques

Les options suivantes sont disponibles pour agréger les données de latence :

  • Agrégation du graphique : définit la méthode de calcul du graphique Flux de latence les plus élevés et est appliquée aux données sélectionnées en fonction de la métrique de classement que vous choisissez. Vous pouvez choisir Moyenne, Max, Médiane, P95 ou P99 comme méthode de calcul de la latence.

    Par exemple, si vous classez les flux par latence médiane tout en définissant l'agrégation du graphique sur Latence maximale, le graphique affiche les pics de latence les plus élevés pour les cinq flux ayant la latence médiane la plus élevée.

  • Agrégation de table : sélectionne les métriques qui, en plus de la métrique de classement choisie, sont affichées sous forme de colonnes dans la table Tous les flux de latence.

Vous pouvez également exclure les flux à faible volume de l'analyse de la latence.

Période d'alignement

Vous pouvez choisir une période de 5 secondes à 1 jour pour les détails du graphique. Le mode automatique sélectionne la période d'alignement optimale en fonction de la durée de la période sélectionnée.

Chaque point de la chronologie représente des données agrégées pour une période spécifique. La durée de cette période est appelée période d'alignement.

Les performances diminuent avec la diminution de la valeur de la période d'alignement. Pour des valeurs plus élevées de la période d'alignement, le graphique devient moins précis. Il se peut que vous ne puissiez pas voir les pics de courte durée avec des valeurs plus élevées.

Pour les longues durées, une période d'alignement plus courte n'est pas utile. Par exemple, si vous sélectionnez un alignement d'une minute pour une période de 30 jours, Flow Analyzer génère plus de 43 000 points de données. Comme cela représente 10 fois plus que les pixels d'affichage 4K, vous ne pourrez pas voir tous les détails, et certaines options sont désactivées pour les longues durées.

Pour en savoir plus sur la façon dont l'échantillonnage est effectué et dont la période d'alignement est déterminée pour afficher les résultats de la requête, consultez Métriques et période d'alignement.

Afficher les détails du flux

Dans le tableau Tous les flux de données, Tous les flux de suppression de paquets ou Tous les flux de latence, cliquez sur Détails pour n'importe quel flux. Le panneau Détails du flux s'affiche. Ce panneau fournit des informations telles que la source, la destination, le trafic, les options d'exploration et les chemins d'accès du système autonome (AS) de sortie.

Vue détaillée

Vous pouvez explorer un flux de trafic sélectionné en le divisant à l'aide d'un champ supplémentaire. Par exemple, si un flux inclut des détails génériques sur un trafic de 1 000 Gio de Google Cloud la zone X vers la zone Y,vous pouvez affiner l'analyse à l'aide d'un autre champ, tel que l'adresse IP source. Les résultats incluent plusieurs adresses IP qui constituent le flux d'origine.

Les champs qui s'affichent dans le composant d'exploration sont sélectionnés comme suit :

  • Lorsque vous accédez aux détails du flux, Flow Analyzer exécute plusieurs requêtes. Chaque requête tente d'explorer le flux sélectionné à l'aide des champs disponibles dans les journaux de flux VPC et qui ne sont pas encore utilisés dans la requête d'origine. Par exemple, si la requête exécutée inclut déjà les détails de l'adresse IP, vous n'avez pas besoin de l'exécuter à nouveau avec ce champ et vous ne pouvez pas l'utiliser pour explorer les données.
  • Si l'une des requêtes supplémentaires renvoie une seule valeur de champ, elle est ajoutée à la section des détails de la source et de la destination, même si elle n'a pas été récupérée précédemment.
  • Si l'un des résultats de la requête inclut plusieurs valeurs de champ, le champ correspondant apparaît dans la liste d'exploration.

Lorsque vous sélectionnez un champ dans la liste d'analyse détaillée, le tableau et le graphique d'analyse détaillée sont mis à jour pour afficher les trois principaux flux de trafic.

Vous pouvez également utiliser le bouton Comparer avec le passé. Sélectionnez cette fonctionnalité pour afficher six lignes : trois lignes pleines pour les trois top talkers de la vue détaillée et trois lignes en pointillés dans les couleurs correspondantes représentant le trafic passé.

Pour explorer les flux de trafic à l'aide de champs supplémentaires, consultez Explorer les flux de trafic.

Vue des chemins AS de sortie

Dans l'onglet Chemins AS de sortie, vous pouvez afficher les chemins AS que les paquets de sortie empruntent pour atteindre des destinations en dehors du réseau de Google Cloud. Un chemin AS peut inclure plusieurs numéros de système autonome (ASN).

Vous contrôlez les détails AS affichés dans l'onglet Chemins AS de sortie à l'aide du filtre Chemin AS de sortie dans la liste Paramètres de flux. Par exemple, les options plus long que et plus court que du champ Comparateur vous permettent de spécifier le nombre de numéros ASN par chemin d'accès AS. Pour afficher les chemins d'AS incluant un ASN spécifique, vous pouvez utiliser l'option possède le premier ASN ou contient un ASN.

Les arêtes du graphique des chemins AS de sortie sont pondérées en fonction du nombre de journaux de flux. Dans un chemin AS du graphique, une arête représente le nombre de journaux de flux contenant les deux ASN que l'arête connecte. Les données affichées sur le graphique des chemins AS de sortie changent en fonction des options de filtre Chemin AS de sortie et de la période que vous sélectionnez lors de l'exécution d'une requête.

Explorer dans Analyse de l'observabilité

Vous pouvez afficher la requête SQL brute dans Analyse de l'observabilité.

Pour une analyse avancée, vous pouvez modifier directement le code SQL utilisé pour visualiser le trafic. La fonctionnalité Explorer dans l'Analyse de journaux vous redirige vers la page Analyse de journaux avec une requête préremplie.

Étapes suivantes