ULL VPC ネットワークの Packet Mirroring
Packet Mirroring は、超低レイテンシ（ULL）Virtual Private Cloud（VPC）ネットワークからトラフィックのクローンを作成し、分析用にアプライアンスに転送します。デフォルトでは、このサービスは対象となるすべての ULL VPC ネットワークからのトラフィックを自動的にミラーリングします。この機能を無効にすることはできません。
ULL VPC ネットワークのパケット ミラーリングは、ゾーンで有効にするゾーン サービスです。このサービスを使用して、次のタスクのトラフィックを複製して送信できます。
- ネットワーク トラフィックをモニタリングして、パケットロスを検出し、レイテンシを測定します。
- ネットワーク トラフィックを分析して、侵入やその他のセキュリティ上の脅威を検出します。
- コンプライアンスとレポート作成のためにトラフィックをモニタリングします。たとえば、市場取引トラフィックがタイムリーに実行されていることを確認します。
主な機能
ULL VPC ネットワークの Packet Mirroring には、次の機能があります。
ULL VPC ネットワーク専用: コア ULL VPC ネットワーク アプリケーションのレイテンシとパフォーマンスに影響しません。このサービスは、デフォルトで、対象となるすべての ULL VPC ネットワークからのすべてのトラフィックを自動的にミラーリングします。
包括的なトラフィック キャプチャ: ULL VPC ネットワーク内のすべての Compute Engine インスタンスとの間で送受信されるすべての IP トラフィックをミラーリングします。Packet Mirroring は、すべてのゾーン NIC ポイントでトラフィックをキャプチャします。その結果、各パケットは下り（外向き）と上り（内向き）で 1 回ずつ、合計 2 回ミラーリングされます。
柔軟なデプロイ: コレクタは、コレクタ リソース（
UllMirroringCollector）を作成する同じプロジェクト内の VPC ネットワークからミラーリングされたトラフィックを受信します。コレクタ アプライアンス（compute.Instance）は、UllMirroringCollectorと同じプロジェクトにある必要はありません。コレクタ インスタンス（コレクタ アプライアンスとも呼ばれます）は、ミラーリングされたネットワーク トラフィックを受信、保存、分析するように構成する
compute.Instanceです。
きめ細かいトラフィック フィルタリング: 各コレクタのフィルタ ルールをサポートします。フィルタ ルールを使用して、特定のトラフィック フローを分離し、ミラーリング コレクタに送信されるデータ量を減らします。
スケーラブルな収集: Google Cloud 内部パススルー ネットワーク ロードバランサを使用して、ミラーリングされたトラフィックをコレクタ インスタンスのグループに分散します。
ULL パケット ミラーリングのコンポーネント
ULL Packet Mirroring コレクタ（
UllMirroringCollector）: ミラーリングされたパケットを受信するために、交換事業者のエンジン（UllMirroringEngine）に接続するお客様所有のリソース。コレクタは、ミラーリングされたトラフィックをコレクタ インスタンスに転送する内部パススルー ネットワーク ロードバランサを参照します。UllMirroringCollectorの状態によって、コレクタがパケットを受信するかどうかが決まります。状態は次のいずれかになります。ACTIVE（デフォルト）: フィルタリング ルールを適用します。INACTIVE: フィルタリング ルールを無視し、トラフィックを受信しません。
ULL Packet Mirroring コレクタ フィルタールール（
UllMirroringCollectorRule）:UllMirroringCollectorの顧客所有の子リソース。ULL Packet Mirroring コレクタに到達するミラーリングされたトラフィックを制御できます。フィルタを設定して、パケットがコレクタに転送されるために満たす必要のある特定の条件を定義できます。デフォルトでは、
UllMirroringCollectorRuleリソースはUllMirroringCollectorリソースに接続されておらず、トラフィックはミラーリングされません。
セキュリティとプライバシー
ULL VPC ネットワークの Packet Mirroring は、Google Cloud セキュリティ フレームワークと統合されています。
転送データの暗号化
Google Cloud は、インフラストラクチャとコレクタ アプライアンスの間で転送されるミラーリングされたトラフィックを自動的に暗号化します。このサービスは、Generic Network Virtualization Encapsulation（GENEVE）を使用してネットワーク パケットをカプセル化します。
ロギングとモニタリング
データ プライバシーを維持するため、ULL VPC ネットワークの Packet Mirroring ではパケット ペイロードは保持されません。デバッグまたはヘルス モニタリングのために、サービスはパケット ヘッダーのみを一時的にログに記録します。これらのヘッダーは保存時に暗号化されます。
限られた運用シナリオでは、次の理由により、 Google Cloud がパケット ヘッダーを一時的にログに記録することがあります。
サービスのデバッグ: ソフトウェアのバグを診断したり、予期しないサービスの動作を調査したりするために、 Google Cloud が問題を解決するためにヘッダーをログに記録することがあります。
ネットワークの健全性のモニタリング: Google Cloud は、ネットワークのパフォーマンスと健全性を確保するために、ルーティン オペレーションの一環としてパケット ヘッダーの小さなランダム サンプルを記録することがあります。
Google Cloud がこれらのログを生成する際、次の必須の保護機能によって情報が保護されます。
Google Cloud はパケット ヘッダーのみを保持し、パケットの実際のペイロードをログに記録することはありません。
Google Cloud は、デフォルトですべての一時的に保存されたヘッダー情報を暗号化します。
Google Cloud は、分析の完了に必要な期間のみ情報を保持します。その後、Google Cloud データ削除ポリシーに従って、情報が安全に削除されます。
Google Cloud は、有効なビジネス上の正当な理由を持つ権限のある担当者のみがログデータにアクセスできるように制限し、すべてのアクセス インスタンスをログに記録して監査します。
割り当てと上限
ULL Packet Mirroring コレクタは最大 100 個のルールをサポートします。割り当てはコレクタごとに測定され、各ルールは 1 ユニットを表します。
100 個を超えるルールを作成すると、API は
ResourceExhaustedエラーを返します。各ルールで、繰り返しフィールド内のアイテムの数は 10 を超えてはなりません。
制限事項
- 1 つのパケットを最大 2 つの ULL Packet Mirroring コレクタ リソースにミラーリングできます。