Mise en miroir de paquets pour les réseaux VPC à latence ultra-faible

La mise en miroir de paquets clone le trafic de vos réseaux de cloud privé virtuel (VPC) à latence ultra-faible et le transfère vers vos appliances pour analyse. Par défaut, le service met automatiquement en miroir tout le trafic de chaque réseau VPC ULL éligible. Vous ne pouvez pas désactiver cette fonctionnalité.

La mise en miroir de paquets pour les réseaux VPC à latence ultra-faible est un service zonal que vous activez pour une zone. Vous pouvez utiliser le service pour répliquer et envoyer du trafic pour les tâches suivantes :

  • Observez le trafic réseau pour détecter la perte de paquets et mesurer la latence.
  • Analysez le trafic réseau pour détecter les intrusions et autres menaces pour la sécurité.
  • Observer le trafic pour la conformité et les rapports, par exemple en vérifiant l'exécution en temps voulu du trafic des transactions sur le marché.

Principales fonctionnalités

La mise en miroir de paquets pour les réseaux VPC à latence ultra-faible offre les fonctionnalités suivantes :

  • Conçu spécialement pour le réseau VPC ULL : aucun impact sur la latence et les performances de vos applications principales du réseau VPC ULL. Par défaut, le service met automatiquement en miroir tout le trafic de chaque réseau VPC ULL éligible.

  • Capture complète du trafic : met en miroir tout le trafic IP vers et depuis chaque instance Compute Engine des réseaux VPC ULL. La mise en miroir de paquets capture le trafic à tous les points d'interface réseau zonaux. Par conséquent, chaque paquet est mis en miroir deux fois : une fois en sortie et une fois en entrée.

  • Déploiement flexible : le collecteur reçoit le trafic mis en miroir des réseaux VPC du même projet dans lequel vous créez la ressource de collecteur (UllMirroringCollector). L'appliance de collecteur (compute.Instance) n'a pas besoin de se trouver dans le même projet que UllMirroringCollector.

    Une instance de collecteur, également appelée appliance de collecteur, est un compute.Instance que vous configurez pour recevoir, stocker et analyser le trafic réseau mis en miroir.

  • Filtrage précis du trafic : compatible avec les règles de filtrage pour chaque collecteur. Utilisez des règles de filtrage pour isoler des flux de trafic spécifiques et réduire le volume de données envoyées à vos collecteurs de mise en miroir.

  • Collecte évolutive : utilise des équilibreurs de charge réseau passthrough internes Google Cloud pour distribuer le trafic mis en miroir à un groupe d'instances de collecteur.

Composants de la mise en miroir de paquets ULL

  • Collecteur de mise en miroir de paquets ULL (UllMirroringCollector) : ressource appartenant au client à laquelle vous vous connectez au moteur de l'opérateur d'échange (UllMirroringEngine) pour recevoir les paquets mis en miroir. Le collecteur fait référence à un équilibreur de charge réseau passthrough interne qui transfère le trafic mis en miroir vers vos instances de collecteur.

    L'état de UllMirroringCollector détermine si le collecteur reçoit des paquets. L'état peut être l'un des suivants :

    • ACTIVE (par défaut) : applique les règles de filtrage.
    • INACTIVE : ignore les règles de filtrage et ne reçoit pas de trafic.

  • Règle de filtrage du collecteur de mise en miroir de paquets ULL (UllMirroringCollectorRule) : ressource enfant appartenant au client de UllMirroringCollector qui vous permet de contrôler le trafic mis en miroir atteignant le collecteur de mise en miroir de paquets ULL. Vous pouvez configurer des filtres et définir les conditions spécifiques qu'un paquet doit remplir pour être transféré à votre collecteur.

    Par défaut, aucune ressource UllMirroringCollectorRule n'est associée à une ressource UllMirroringCollector, et le trafic n'est pas mis en miroir.

Sécurité et confidentialité

La mise en miroir de paquets pour les réseaux VPC ULL s'intègre au framework de sécuritéGoogle Cloud .

Chiffrement en transit

Google Cloud chiffre automatiquement le trafic mis en miroir lorsqu'il transite entre l'infrastructure et vos appliances de collecte. Le service encapsule également les paquets réseau à l'aide de l'encapsulation GENEVE (Generic Network Virtualization Encapsulation).

Journalisation et surveillance

Pour préserver la confidentialité des données, la mise en miroir de paquets pour les réseaux VPC à latence ultra-faible ne conserve pas les charges utiles des paquets. Pour le débogage ou la surveillance de l'état, le service enregistre temporairement uniquement les en-têtes de paquets, qui sont chiffrés au repos.

Dans certains scénarios opérationnels limités, Google Cloud peut enregistrer temporairement les en-têtes de paquets pour les raisons suivantes :

  • Débogage des services : pour diagnostiquer les bugs logiciels ou examiner le comportement inattendu des services, Google Cloud peut enregistrer les en-têtes pour résoudre le problème.

  • Surveillance de l'état du réseau : Google Cloud peut enregistrer un petit échantillon aléatoire d'en-têtes de paquets dans le cadre des opérations de routine pour assurer les performances et l'état du réseau.

Lorsque Google Cloud génère ces journaux, les mesures de protection obligatoires suivantes protègent vos informations :

  • Google Cloud ne conserve que les en-têtes de paquets et n'enregistre jamais la charge utile réelle de vos paquets.

  • Google Cloud chiffre par défaut toutes les informations d'en-tête stockées temporairement.

  • Google Cloud ne conserve les informations que le temps nécessaire pour effectuer l'analyse. Il supprime ensuite les informations de manière sécurisée, conformément auxGoogle Cloud règles de suppression des données.

  • Google Cloud limite l'accès aux données enregistrées au personnel autorisé disposant d'une justification professionnelle valide, et enregistre et audite chaque instance d'accès.

Quota et limites

  • Un collecteur de mise en miroir de paquets à très faible latence peut accepter jusqu'à 100 règles. Le quota est mesuré par collecteur, où chaque règle représente une unité.

    Si vous créez plus de 100 règles, l'API renvoie une erreur ResourceExhausted.

  • Pour chaque règle, le nombre d'éléments dans un champ répété ne doit pas dépasser 10.

Limites

  • Vous pouvez mettre en miroir un seul paquet vers un maximum de deux ressources de collecteur de mise en miroir de paquets à très faible latence.

Étapes suivantes