Mirroring pacchetto per reti VPC ULL

Mirroring pacchetto clona il traffico dalle reti Virtual Private Cloud (VPC) a latenza ultra bassa (ULL) e lo inoltra alle appliance per l'analisi. Per impostazione predefinita, il servizio esegue automaticamente il mirroring di tutto il traffico da ogni rete VPC ULL idonea. Non puoi disattivare questa funzionalità.

Mirroring pacchetto per le reti VPC ULL è un servizio zonale che puoi attivare per una zona. Puoi utilizzare il servizio per replicare e inviare il traffico per le seguenti attività:

  • Osserva il traffico di rete per rilevare la perdita di pacchetti e misurare la latenza.
  • Analizza il traffico di rete per rilevare intrusioni e altre minacce alla sicurezza.
  • Osserva il traffico per la conformità e la generazione di report, ad esempio per verificare l'esecuzione tempestiva del traffico di trading di mercato.

Funzionalità principali

Il mirroring pacchetto per le reti VPC ULL fornisce le seguenti funzionalità:

  • Progettato appositamente per la rete VPC ULL: nessun impatto su latenza e prestazioni delle applicazioni della rete VPC ULL principale. Per impostazione predefinita, il servizio esegue automaticamente il mirroring di tutto il traffico proveniente da ogni rete VPC ULL idonea.

  • Acquisizione completa del traffico: esegue il mirroring di tutto il traffico IP da e verso ogni istanza Compute Engine nelle reti VPC ULL. Il mirroring pacchetto acquisisce il traffico in tutti i punti NIC zonali. Di conseguenza, ogni pacchetto viene duplicato due volte: una volta in uscita e una volta in entrata.

  • Deployment flessibile: l'agente di raccolta riceve il traffico sottoposto a mirroring dalle reti VPC nello stesso progetto in cui crei la risorsa agente di raccolta (UllMirroringCollector). L'appliance agente di raccolta (compute.Instance) non deve trovarsi nello stesso progetto di UllMirroringCollector.

    Un'istanza del collector, nota anche come appliance collector, è un compute.Instance che configuri per ricevere, archiviare e analizzare il traffico di rete sottoposto a mirroring.

  • Filtraggio granulare del traffico: supporta le regole di filtro per ogni agente di raccolta. Utilizza le regole di filtro per isolare flussi di traffico specifici e ridurre il volume di dati inviati ai raccoglitori di mirroring.

  • Raccolta scalabile: utilizza bilanciatori del carico di rete passthrough interni Google Cloud per distribuire il traffico sottoposto a mirroring a un gruppo di istanze del raccoglitore.

Componenti del servizio Mirroring pacchetto ULL

  • Collector di mirroring pacchetto ULL (UllMirroringCollector): la risorsa di proprietà del cliente a cui ti connetti al motore dell'operatore di scambio (UllMirroringEngine) per ricevere i pacchetti sottoposti a mirroring. L'agente di raccolta fa riferimento a un bilanciatore del carico di rete passthrough interno che inoltra il traffico sottoposto a mirroring alle istanze dell'agente di raccolta.

    Lo stato di UllMirroringCollector determina se l'agente di raccolta riceve pacchetti. Lo stato può essere uno dei seguenti:

    • ACTIVE (valore predefinito): applica le regole di filtraggio.
    • INACTIVE: ignora le regole di filtraggio e non riceve traffico.

  • Regola di filtro del raccoglitore di Mirroring pacchetto ULL (UllMirroringCollectorRule): la risorsa secondaria di proprietà del cliente di UllMirroringCollector che ti consente di controllare il traffico sottoposto a mirroring che raggiunge il raccoglitore di Mirroring pacchetto ULL. Puoi configurare i filtri e definire le condizioni specifiche che un pacchetto deve soddisfare per essere inoltrato al tuo agente di raccolta.

    Per impostazione predefinita, nessuna risorsa UllMirroringCollectorRule è collegata a una risorsa UllMirroringCollector e il traffico non viene sottoposto a mirroring.

Sicurezza e privacy

Il mirroring pacchetto per le reti VPC ULL si integra con il framework di sicurezzaGoogle Cloud .

Crittografia dei dati in transito

Google Cloud cripta automaticamente il traffico sottoposto a mirroring durante il transito tra l'infrastruttura e gli appliance di raccolta. Il servizio incapsula anche i pacchetti di rete utilizzando l'incapsulamento GENEVE (Generic Network Virtualization Encapsulation).

Logging e monitoraggio

Per mantenere la privacy dei dati, Mirroring pacchetto per le reti VPC ULL non conserva i payload dei pacchetti. Per il debug o il monitoraggio dell'integrità, il servizio registra temporaneamente solo le intestazioni dei pacchetti, che vengono criptate a riposo.

In alcuni scenari operativi limitati, Google Cloud potrebbe temporaneamente registrare le intestazioni dei pacchetti per i seguenti motivi:

  • Debug del servizio: per diagnosticare bug del software o esaminare comportamenti imprevisti del servizio, Google Cloud potrebbe registrare le intestazioni per risolvere il problema.

  • Monitoraggio dell'integrità della rete: Google Cloud potrebbe registrare un piccolo campione casuale di intestazioni di pacchetti nell'ambito delle operazioni di routine per garantire le prestazioni e l'integrità della rete.

Quando Google Cloud genera questi log, le seguenti misure di protezione obbligatorie proteggono le tue informazioni:

  • Google Cloud conserva solo le intestazioni dei pacchetti e non registra mai il payload effettivo dei pacchetti.

  • Google Cloud cripta per impostazione predefinita tutte le informazioni dell'intestazione memorizzate temporaneamente.

  • Google Cloud conserva le informazioni solo per il tempo necessario a completare l'analisi. Dopodiché, elimina in modo sicuro le informazioni in conformità con le norme di eliminazione dei datiGoogle Cloud .

  • Google Cloud limita l'accesso ai dati registrati al personale autorizzato con una giustificazione aziendale valida e registra e controlla ogni istanza di accesso.

Quota e limiti

  • Un agente di raccolta di Mirroring pacchetto ULL supporta fino a 100 regole. La quota viene misurata per agente di raccolta, dove ogni regola rappresenta un'unità.

    Se crei più di 100 regole, l'API restituisce un errore ResourceExhausted.

  • Per ogni regola, il numero di elementi in qualsiasi campo ripetuto non deve superare 10.

Limitazioni

  • Puoi eseguire il mirroring di un singolo pacchetto fino a due risorse di raccolta del mirroring pacchetto ULL.

Passaggi successivi