Paketspiegelung für ULL-VPC-Netzwerke

Bei der Paketspiegelung wird Traffic aus Ihren VPC-Netzwerken (Virtual Private Cloud) mit extrem niedriger Latenz geklont und zur Analyse an Ihre Appliances weitergeleitet. Standardmäßig spiegelt der Dienst automatisch den gesamten Traffic aus jedem infrage kommenden ULL-VPC-Netzwerk. Sie können diese Funktion nicht deaktivieren.

Die Paketspiegelung für ULL-VPC-Netzwerke ist ein zonenbasierter Dienst, den Sie für eine Zone aktivieren. Sie können den Dienst verwenden, um Traffic für die folgenden Aufgaben zu replizieren und zu senden:

  • Netzwerkverkehr beobachten, um Paketverluste zu erkennen und die Latenz zu messen.
  • Netzwerkverkehr analysieren, um Eindringlinge und andere Sicherheitsbedrohungen zu erkennen.
  • Beobachten Sie den Traffic im Hinblick auf Compliance und Berichterstellung, z. B. um die rechtzeitige Ausführung von Markthandels-Traffic zu überprüfen.

Wichtige Features

Die Paketspiegelung für ULL-VPC-Netzwerke bietet die folgenden Funktionen:

  • Speziell für das ULL-VPC-Netzwerk entwickelt: Keine Auswirkungen auf die Latenz und Leistung Ihrer wichtigsten ULL-VPC-Netzwerkanwendungen. Der Dienst spiegelt standardmäßig automatisch den gesamten Traffic aus jedem infrage kommenden ULL-VPC-Netzwerk.

  • Umfassende Erfassung von Traffic: Spiegelt den gesamten IP-Traffic zu und von jeder Compute Engine-Instanz in ULL-VPC-Netzwerken. Bei der Paketspiegelung wird der Traffic an allen zonalen NIC-Punkten erfasst. Daher wird jedes Paket zweimal gespiegelt: einmal beim ausgehenden Traffic und einmal beim eingehenden Traffic.

  • Flexible Bereitstellung: Der Collector empfängt gespiegelten Traffic von VPC-Netzwerken im selben Projekt, in dem Sie die Collector-Ressource (UllMirroringCollector) erstellen. Die Collector-Appliance (compute.Instance) muss sich nicht im selben Projekt wie die UllMirroringCollector befinden.

    Eine Collector-Instanz, auch als Collector-Appliance bezeichnet, ist ein compute.Instance, das Sie so konfigurieren, dass gespiegelter Netzwerkverkehr empfangen, gespeichert und analysiert wird.

  • Granulare Traffic-Filterung: Unterstützt Filterregeln für jeden Collector. Mit Filterregeln können Sie bestimmte Traffic-Flows isolieren und das Datenvolumen reduzieren, das an Ihre Mirroring-Collector gesendet wird.

  • Skalierbare Erfassung: Hier werden Google Cloud interne Passthrough-Network Load Balancer verwendet, um gespiegelten Traffic auf eine Gruppe von Collector-Instanzen zu verteilen.

Komponenten der ULL-Paketspiegelung

  • ULL Paketspiegelungs-Collector (UllMirroringCollector): Die Ressource, die dem Kunden gehört und die Sie mit der Engine des Exchange-Betreibers (UllMirroringEngine) verbinden, um gespiegelte Pakete zu empfangen. Der Collector verweist auf einen internen Passthrough-Network Load Balancer, der gespiegelten Traffic an Ihre Collector-Instanzen weiterleitet.

    Der Status von UllMirroringCollector bestimmt, ob der Collector Pakete empfängt. Der Status kann einer der folgenden sein:

    • ACTIVE (Standard): Filterregeln werden angewendet.
    • INACTIVE: Filterregeln werden ignoriert und es wird kein Traffic empfangen.

  • ULL Paketspiegelungs-Collector-Filterregel (UllMirroringCollectorRule): Die unternehmenseigene untergeordnete Ressource von UllMirroringCollector, mit der Sie den gespiegelten Traffic steuern können, der den ULL Paketspiegelungs-Collector erreicht. Sie können Filter einrichten und die spezifischen Bedingungen definieren, die ein Paket erfüllen muss, um an Ihren Collector weitergeleitet zu werden.

    Standardmäßig sind einer UllMirroringCollector-Ressource keine UllMirroringCollectorRule-Ressourcen zugewiesen und der Traffic wird nicht gespiegelt.

Sicherheit und Datenschutz

Die Paketspiegelung für ULL-VPC-Netzwerke ist in dasGoogle Cloud -Sicherheitsframework integriert.

Verschlüsselung während der Übertragung

Google Cloud verschlüsselt gespiegelten Traffic automatisch, während er zwischen der Infrastruktur und Ihren Collector-Appliances übertragen wird. Der Dienst kapselt Netzwerkpakete auch mit Generic Network Virtualization Encapsulation (GENEVE).

Logging und Monitoring

Aus Datenschutzgründen werden bei der Paketspiegelung für ULL-VPC-Netzwerke keine Paketnutzlasten gespeichert. Zur Fehlerbehebung oder Systemdiagnose protokolliert der Dienst vorübergehend nur Paketheader, die im Ruhezustand verschlüsselt sind.

In bestimmten eingeschränkten Betriebsszenarien kann Google Cloud aus folgenden Gründen vorübergehend Paketheader protokollieren:

  • Fehlerbehebung bei Diensten: Zur Diagnose von Softwarefehlern oder zur Untersuchung von unerwartetem Dienstverhalten Google Cloud können Header protokolliert werden,um das Problem zu beheben.

  • Monitoring des Netzwerkzustands: Google Cloud Im Rahmen des Routinebetriebs werden möglicherweise kleine, zufällige Stichproben von Paketheadern protokolliert, um die Netzwerkleistung und den Netzwerkzustand zu gewährleisten.

Wenn Google Cloud diese Logs generiert, schützen die folgenden obligatorischen Sicherheitsmaßnahmen Ihre Informationen:

  • Google Cloud behält nur Paketheader bei und protokolliert niemals die eigentliche Nutzlast Ihrer Pakete.

  • Google Cloud verschlüsselt standardmäßig alle temporär gespeicherten Headerinformationen.

  • Google Cloud behält Informationen nur so lange bei, wie es für die Durchführung der Analyse erforderlich ist. Anschließend werden die Informationen gemäß denGoogle Cloud Richtlinien zur Datenlöschung sicher gelöscht.

  • Google Cloud beschränkt den Zugriff auf die protokollierten Daten auf autorisiertes Personal mit einer gültigen geschäftlichen Begründung und protokolliert und prüft jeden Zugriff.

Kontingent und Limits

  • Ein ULL Paketspiegelung-Collector unterstützt bis zu 100 Regeln. Das Kontingent wird pro Collector gemessen. Jede Regel entspricht einer Einheit.

    Wenn Sie mehr als 100 Regeln erstellen, gibt die API einen ResourceExhausted-Fehler zurück.

  • Die Anzahl der Elemente in einem wiederholten Feld darf für jede Regel nicht mehr als 10 betragen.

Beschränkungen

  • Sie können ein einzelnes Paket auf bis zu zwei ULL Paketspiegelung-Collector-Ressourcen spiegeln.

Nächste Schritte