ULL VPC 네트워크의 패킷 미러링
패킷 미러링은 초저지연 시간 (ULL) 가상 프라이빗 클라우드 (VPC) 네트워크의 트래픽을 클론하고 분석을 위해 어플라이언스로 전달합니다. 기본적으로 서비스는 자격 요건을 충족하는 모든 ULL VPC 네트워크의 모든 트래픽을 자동으로 미러링하며 이 기능을 사용 중지할 수 없습니다.
ULL VPC 네트워크의 패킷 미러링은 영역에 대해 사용 설정하는 영역 서비스입니다. 이 서비스를 사용하여 다음 작업의 트래픽을 복제하고 전송할 수 있습니다.
- 네트워크 트래픽을 관찰하여 패킷 손실을 감지하고 지연 시간을 측정합니다.
- 네트워크 트래픽을 분석하여 침입 및 기타 보안 위협을 감지합니다.
- 시장 거래 트래픽의 적시 실행을 확인하는 등 규정 준수 및 보고를 위해 트래픽을 관찰합니다.
주요 특징
ULL VPC 네트워크의 패킷 미러링은 다음 기능을 제공합니다.
ULL VPC 네트워크용으로 설계: 핵심 ULL VPC 네트워크 애플리케이션의 지연 시간과 성능에 영향을 미치지 않습니다. 이 서비스는 기본적으로 모든 적격 ULL VPC 네트워크의 모든 트래픽을 자동으로 미러링합니다.
포괄적인 트래픽 캡처: ULL VPC 네트워크의 모든 Compute Engine 인스턴스에서 송수신되는 모든 IP 트래픽을 미러링합니다. 패킷 미러링은 모든 영역 NIC 지점에서 트래픽을 캡처합니다. 따라서 각 패킷은 이그레스에서 한 번, 인그레스에서 한 번씩 두 번 미러링됩니다.
유연한 배포: 수집기는 수집기 리소스 (
UllMirroringCollector)를 만드는 동일한 프로젝트의 VPC 네트워크에서 미러링된 트래픽을 수신합니다. 수집기 어플라이언스 (compute.Instance)는UllMirroringCollector와 동일한 프로젝트에 있을 필요가 없습니다.수집기 인스턴스(수집기 어플라이언스라고도 함)는 미러링된 네트워크 트래픽을 수신, 저장, 분석하도록 구성하는
compute.Instance입니다.
세부적인 트래픽 필터링: 각 수집기의 필터 규칙을 지원합니다. 필터 규칙을 사용하여 특정 트래픽 흐름을 격리하고 미러링 수집기로 전송되는 데이터 볼륨을 줄입니다.
확장 가능한 수집: Google Cloud 내부 패스 스루 네트워크 부하 분산기를 사용하여 미러링된 트래픽을 수집기 인스턴스 그룹에 분산합니다.
ULL 패킷 미러링 구성요소
ULL 패킷 미러링 수집기 (
UllMirroringCollector): 미러링된 패킷을 수신하기 위해 교환 운영자의 엔진 (UllMirroringEngine)에 연결하는 고객 소유 리소스입니다. 수집기는 미러링된 트래픽을 수집기 인스턴스로 전달하는 내부 패스 스루 네트워크 부하 분산기를 참조합니다.UllMirroringCollector상태에 따라 수집기가 패킷을 수신하는지 여부가 결정됩니다. 상태는 다음 중 하나일 수 있습니다.ACTIVE(기본값): 필터링 규칙을 적용합니다.INACTIVE: 필터링 규칙을 무시하고 트래픽을 수신하지 않습니다.
ULL 패킷 미러링 수집기 필터 규칙 (
UllMirroringCollectorRule): ULL 패킷 미러링 수집기에 도달하는 미러링된 트래픽을 제어할 수 있는UllMirroringCollector의 고객 소유 하위 리소스입니다. 필터를 설정하고 패킷이 수집기로 전달되기 위해 충족해야 하는 특정 조건을 정의할 수 있습니다.기본적으로
UllMirroringCollectorRule리소스는UllMirroringCollector리소스에 연결되지 않으며 트래픽은 미러링되지 않습니다.
보안 및 개인 정보 보호
ULL VPC 네트워크의 패킷 미러링은Google Cloud 보안 프레임워크와 통합됩니다.
전송 중인 데이터 암호화
Google Cloud 는 인프라와 수집기 어플라이언스 간에 전송되는 동안 미러링된 트래픽을 자동으로 암호화합니다. 이 서비스는 일반 네트워크 가상화 캡슐화 (GENEVE)를 사용하여 네트워크 패킷도 캡슐화합니다.
로깅 및 모니터링
데이터 개인 정보 보호를 위해 ULL VPC 네트워크의 패킷 미러링은 패킷 페이로드를 유지하지 않습니다. 디버깅 또는 상태 모니터링을 위해 서비스는 저장 시 암호화된 패킷 헤더만 일시적으로 로깅합니다.
일부 제한된 운영 시나리오에서 Google Cloud 는 다음과 같은 이유로 패킷 헤더를 일시적으로 로깅할 수 있습니다.
서비스 디버깅: 소프트웨어 버그를 진단하거나 예기치 않은 서비스 동작을 조사하기 위해 Google Cloud 에서 문제를 해결하기 위해 헤더를 로깅할 수 있습니다.
네트워크 상태 모니터링: Google Cloud 은 네트워크 성능과 상태를 보장하기 위한 일상적인 작업의 일환으로 패킷 헤더의 작은 무작위 샘플을 로깅할 수 있습니다.
Google Cloud 에서 이러한 로그를 생성할 때 다음 필수 보호 조치가 정보를 보호합니다.
Google Cloud 는 패킷 헤더만 유지하고 패킷의 실제 페이로드는 로깅하지 않습니다.
Google Cloud 는 기본적으로 임시로 저장된 모든 헤더 정보를 암호화합니다.
Google Cloud 분석을 완료하는 데 필요한 시간 동안만 정보를 보관합니다. 그런 다음Google Cloud 데이터 삭제 정책에 따라 정보를 안전하게 삭제합니다.
Google Cloud 유효한 비즈니스 근거가 있는 승인된 인력으로 기록된 데이터에 대한 액세스를 제한하고 모든 액세스 인스턴스를 기록하고 감사합니다.
할당량 및 한도
ULL 패킷 미러링 수집기는 최대 100개의 규칙을 지원합니다. 할당량은 수집기별로 측정되며 각 규칙은 하나의 단위를 나타냅니다.
규칙을 100개 이상 만들면 API에서
ResourceExhausted오류를 반환합니다.각 규칙에서 반복되는 필드의 항목 수는 10개를 초과해서는 안 됩니다.
제한사항
- 최대 2개의 ULL 패킷 미러링 수집기 리소스로 단일 패킷을 미러링할 수 있습니다.