Espelhamento de pacotes para redes VPC ULL

O Espelhamento de pacotes clona o tráfego das redes de nuvem privada virtual (VPC) de latência ultrabaixa (ULL) e o encaminha para seus dispositivos para análise. Por padrão, o serviço espelha automaticamente todo o tráfego de cada rede VPC ULL qualificada. Não é possível desativar esse recurso.

O espelhamento de pacotes para redes VPC ULL é um serviço zonal que você ativa para uma zona. Você pode usar o serviço para replicar e enviar tráfego para as seguintes tarefas:

  • Observe o tráfego de rede para detectar perda de pacotes e medir a latência.
  • Analisar o tráfego de rede para detectar intrusões e outras ameaças à segurança.
  • Observe o tráfego para conformidade e geração de relatórios, como verificar a execução oportuna do tráfego de negociação de mercado.

Principais recursos

O Espelhamento de Pacotes para redes VPC ULL oferece os seguintes recursos:

  • Criado especificamente para a rede VPC ULL: sem impacto na latência e no desempenho dos aplicativos principais da rede VPC ULL. Por padrão, o serviço espelha automaticamente todo o tráfego de cada rede VPC de ULL qualificada.

  • Captura abrangente de tráfego: espelha todo o tráfego de IP de e para todas as instâncias do Compute Engine em redes VPC de ULL. O Espelhamento de pacotes captura o tráfego em todos os pontos de NIC zonais. Como resultado, cada pacote é espelhado duas vezes: uma na saída e outra na entrada.

  • Implantação flexível: o coletor recebe tráfego espelhado de redes VPC no mesmo projeto em que você cria o recurso de coletor (UllMirroringCollector). O appliance coletor (compute.Instance) não precisa estar no mesmo projeto que o UllMirroringCollector.

    Uma instância de coletor, também conhecida como dispositivo coletor, é um compute.Instance que você configura para receber, armazenar e analisar o tráfego de rede espelhado.

  • Filtragem granular de tráfego: oferece suporte a regras de filtragem para cada coletor. Use regras de filtro para isolar fluxos de tráfego específicos e reduzir o volume de dados enviados aos coletores de espelhamento.

  • Coleta escalonável: usa balanceadores de carga de rede de passagem interna do Google Cloud para distribuir o tráfego espelhado a um grupo de instâncias de coletor.

Componentes do espelhamento de pacotes do ULL

  • Coletor de espelhamento de pacotes da ULL (UllMirroringCollector): o recurso de propriedade do cliente que você conecta ao mecanismo do operador de troca (UllMirroringEngine) para receber pacotes espelhados. O coletor faz referência a um balanceador de carga de rede de passagem interna que encaminha o tráfego espelhado para as instâncias do coletor.

    O estado de UllMirroringCollector determina se o coletor recebe pacotes. O estado pode ser um dos seguintes:

    • ACTIVE (padrão): aplica regras de filtragem.
    • INACTIVE: ignora as regras de filtragem e não recebe tráfego.

  • Regra de filtro do coletor de espelhamento de pacotes ULL (UllMirroringCollectorRule): o recurso filho de propriedade do cliente de UllMirroringCollector que permite controlar o tráfego espelhado que chega ao coletor de espelhamento de pacotes ULL. É possível configurar filtros e definir as condições específicas que um pacote precisa atender para ser encaminhado ao seu coletor.

    Por padrão, nenhum recurso UllMirroringCollectorRule é anexado a um recurso UllMirroringCollector, e o tráfego não é espelhado.

Segurança e privacidade

O espelhamento de pacotes para redes VPC ULL se integra à Google Cloud estrutura de segurança.

Criptografia em trânsito

OGoogle Cloud criptografa automaticamente o tráfego espelhado enquanto ele está em trânsito entre a infraestrutura e seus dispositivos coletores. O serviço também encapsula pacotes de rede usando o Generic Network Virtualization Encapsulation (GENEVE).

Geração de registros e monitoramento

Para manter a privacidade dos dados, o espelhamento de pacotes para redes VPC de ULL não mantém payloads de pacotes. Para depuração ou monitoramento de integridade, o serviço registra temporariamente apenas cabeçalhos de pacotes, que são criptografados em repouso.

Em determinados cenários operacionais limitados,o Google Cloud pode registrar temporariamente cabeçalhos de pacotes pelos seguintes motivos:

  • Depuração de serviços: para diagnosticar bugs de software ou investigar comportamentos inesperados do serviço,o Google Cloud pode registrar cabeçalhos para resolver o problema.

  • Monitoramento da integridade da rede: Google Cloud pode registrar uma pequena amostra aleatória de cabeçalhos de pacotes como parte das operações de rotina para garantir o desempenho e a integridade da rede.

Quando o Google Cloud gera esses registros, as seguintes proteções obrigatórias protegem suas informações:

  • Google Cloud mantém apenas os cabeçalhos de pacote e nunca registra o payload real dos seus pacotes.

  • Google Cloud criptografa todas as informações de cabeçalho armazenadas temporariamente por padrão.

  • Google Cloud mantém as informações apenas pelo tempo necessário para concluir a análise. Em seguida, ela exclui as informações com segurança de acordo com as Google Cloud políticas de exclusão de dados.

  • Google Cloud restringe o acesso aos dados registrados a funcionários autorizados com uma justificativa comercial válida e registra e audita todas as instâncias de acesso.

Cotas e limites

  • Um coletor de espelhamento de pacotes ULL aceita até 100 regras. A cota é medida por coletor, e cada regra representa uma unidade.

    Se você criar mais de 100 regras, a API vai retornar um erro ResourceExhausted.

  • Para cada regra, o número de itens em qualquer campo repetido não pode exceder 10.

Limitações

  • É possível espelhar um único pacote em até dois recursos do coletor de espelhamento de pacotes ULL.

A seguir