הגדרה של VPC Flow Logs

בדף הזה מוסבר איך להגדיר את התכונה VPC Flow Logs. המאמר הזה מיועד למי שמכיר את המושגים שמתוארים במאמרים VPC Flow Logs ו-About VPC Flow Logs records.

לפני שמתחילים

מגדירים לפחות אחת מהאפשרויות הבאות:

  • מומלץ: Network Management API מאפשר להגדיר יומנים לתיעוד מידע על תעבורת ה-IP של ענן וירטואלי פרטי (VPC) לארגונים, רשתות ענן וירטואלי פרטי (VPC), רשתות משנה, צירופי VLAN ל-Cloud Interconnect ומנהרות Cloud VPN. כדי להשתמש ב-Network Management API, צריך לבצע את הפעולות הבאות:

    1. מפעילים את Network Management API בפרויקט ב- Google Cloud .

      הפעלת Network Management API

    2. חשוב לוודא שהקצו לכם את התפקיד 'אדמין לניהול רשת' (roles/networkmanagement.admin), באופן הבא:

      • ברמת הארגון (חובה אם רוצים להגדיר יומני זרימה של VPC לארגון)
      • ברמת הפרויקט (נדרש אם רוצים להגדיר יומני זרימה של VPC לרשת VPC, לרשת משנה, לצירוף ל-VLAN או למנהרת Cloud VPN)

    3. בנוסף, אם רוצים להגדיר VPC Flow Logs לארגון, צריך לוודא שיש לכם את ההרשאה resourcemanager.organizations.get.

  • באמצעות Compute Engine API אפשר להגדיר יומני זרימה של VPC רק עבור רשתות משנה. אי אפשר לנהל הגדרות שנוצרו באמצעות Compute Engine API עם Network Management API. כדי להשתמש ב-Compute Engine API, צריך לבצע את הפעולות הבאות:

    1. מפעילים את Compute Engine API בפרויקט. Google Cloud

      הפעלת Compute Engine API

    2. צריך לוודא שיש לכם את אחד מהתפקידים הבאים בפרויקט:

    מידע נוסף על ממשקי ה-API שבהם אפשר להשתמש כדי להפעיל את VPC Flow Logs עבור רשתות משנה זמין במאמר בחירת שיטה להפעלת VPC Flow Logs עבור רשת משנה.

הגדרת Google Cloud CLI

אם אתם לא מתכננים להשתמש ב-CLI של gcloud כדי להגדיר יומני זרימה של VPC, אפשר לדלג על השלב הזה.

במסוף Google Cloud , מפעילים את Cloud Shell.

הפעלת Cloud Shell

בחלק התחתון של Google Cloud המסוף יתחיל סשן של Cloud Shell ותופיע הודעה של שורת הפקודה. Cloud Shell היא סביבת מעטפת שבה ה-CLI של Google Cloud מותקן ומוגדרים ערכים לפרויקט הקיים. הסשן יופעל תוך כמה שניות.

הפעלת יומני זרימה של VPC

כדי להפעיל את VPC Flow Logs למשאב, צריך ליצור הגדרה של VPC Flow Logs. VPC Flow Logs מאפשר ליצור הגדרות ברמת הארגון והפרויקט:

  • הגדרה ברמת הארגון מאפשרת יומני זרימה לכל רשתות המשנה, לכל חיבורי ה-VLAN ולכל מנהרות Cloud VPN בכל רשתות ה-VPC בארגון.
  • הגדרה ברמת הפרויקט מאפשרת להפעיל יומני תנועה למשאבים הבאים:
    • רשת VPC ספציפית, שכוללת את כל רשתות המשנה, חיבורי ה-VLAN ומנהרות Cloud VPN ברשת
    • רשת משנה ספציפית, צירוף ל-VLAN או מנהרת Cloud VPN

אפשר להוסיף יותר מהגדרה אחת של VPC Flow Logs לכל משאב. כל הגדרה יוצרת קבוצה נפרדת של יומני זרימה. אם משייכים משאב לכמה הגדרות של יומני תנועה ב-VPC וההיקף שלהן חופף, יכול להיות שפרטי הרישום ביומן יכללו יומנים כפולים.

אפשר גם לשנות את כמות המידע שנכתב ביומן הרישום. מידע נוסף על הפרמטרים שאפשר לשלוט בהם זמין במאמר דגימה ועיבוד של יומנים.

הפעלת יומני זרימה של VPC עבור רשת משנה

כשמפעילים את VPC Flow Logs עבור תת-רשת, מפעילים את הרישום ביומן לכל המכונות הווירטואליות בתת-הרשת.

איך מפעילים את VPC Flow Logs ברשת משנה

אתם יכולים להשתמש ב-Network Management API או ב-Compute Engine API כדי להפעיל את יומני התנועה של VPC עבור רשתות משנה. מכיוון ש-Network Management API מציע יותר אפשרויות להפעלת יומני תנועה של VPC, מומלץ להשתמש בו.

ממשק Network Management API מספק תכונות זהות לאלה של Compute Engine API – כל האפשרויות להגדרת יומני תנועה של VPC עבור רשתות משנה שזמינות ב-Compute Engine API נתמכות ב-Network Management API.

אם יש לכם הגדרות קיימות של יומני זרימה של VPC שמנוהלות על ידי Compute Engine API, כדאי לשים לב לנקודות הבאות:

  • כדי להעביר את ההגדרות שלכם אל Network Management API, אתם יכולים להשתמש באחת מהגישות הבאות:
    • אתם יכולים ליצור עותק של ההגדרות של יומני התנועה ב-VPC באמצעות Network Management API, ואז למחוק את ההגדרות המקוריות. מידע נוסף זמין במאמרים הפעלה של VPC Flow Logs עבור רשת משנה (Network Management API) והשבתה של VPC Flow Logs עבור רשת משנה.
    • כדי לפשט את ניהול ההגדרות של יומני תנועה ב-VPC, אפשר לאחד את ההגדרות הקיימות שמנוהלות על ידי Compute Engine API. לדוגמה, במקום ליצור הגדרה נפרדת לכל תת-רשת, אפשר ליצור הגדרה לרשת ה-VPC או לארגון שמכילים את תת-הרשתות, ואז למחוק את ההגדרות המקוריות. מידע נוסף זמין במאמר בנושא תצורות נתמכות.
  • בניגוד ל-Compute Engine API, ‏ Network Management API לא מגדיר את השדות enableFlowLogs או logConfig.enable עבור רשתות משנה. אם אתם משתמשים בכלים של צד שלישי שתלויים בשדות האלה, אתם יכולים לבצע אחת מהפעולות הבאות:

הפעלת VPC Flow Logs עבור רשת משנה (Network Management API)

בקטע הזה מוסבר איך להפעיל את יומני התנועה של VPC עבור רשת משנה באמצעות Network Management API (מומלץ).

המסוף

  1. נכנסים לדף VPC networks במסוף Google Cloud .

    מעבר לרשתות VPC

  2. בכרטיסייה Subnets in current project, בוחרים רשת משנה אחת או יותר ואז לוחצים על Manage flow logs.

  3. בניהול יומני זרימת נתונים, לוחצים על הוספת הגדרה חדשה.

  4. מבצעים אחת מהפעולות הבאות:

    • אם בחרתם תת-רשת אחת, בקטע Configurations — Subnets (הגדרות – תת-רשתות), לוחצים על Add a configuration (הוספת הגדרה).
    • אם בחרתם כמה רשתות משנה, בקטע Configure VPC Flow Logs (הגדרת יומני תנועה של VPC), בוחרים באפשרות Network Management API (Network Management API).

  5. בשדה שם, מזינים שם להגדרה החדשה של VPC Flow Logs.

  6. אופציונלי: משנים את מרווח הצבירה ואת ההגדרות בקטע הגדרות מתקדמות:

    • האם להגדיר סינון של יומנים. כברירת מחדל, האפשרות שמירת יומנים שתואמים למסנן בלבד לא מסומנת.
    • האם לכלול מטא-נתונים ברשומות הסופיות ביומן. כברירת מחדל, הערות מטא-נתונים כוללות את כל השדות.
    • תדירות הדגימה המשנית. ‫100% פירושו שכל הרשומות שנוצרו על ידי תהליך הדגימה הראשי של יומן התנועה נשמרות. אי אפשר להגדיר את קצב הדגימה של יומן זרימת הנתונים הראשי. מידע נוסף זמין במאמר בנושא דגימה ועיבוד של יומנים.

  7. לוחצים על Save.

gcloud

כדי להפעיל את התכונה VPC Flow Logs עבור רשת משנה, משתמשים בפקודה gcloud network-management vpc-flow-logs-configs create.

כדי להפעיל את יומני הזרימה של VPC, צריך ליצור הגדרה של יומני הזרימה של VPC. אפשר ליצור את ההגדרה עם כל הפרמטרים שמוגדרים לערכי ברירת המחדל שלהם, או להתאים אישית את ערכי ברירת המחדל.

ב-CLI של gcloud, מגדירים את הפרויקט ל-ID של הפרויקט של רשת המשנה (subnet) ומריצים אחת מהפקודות הבאות: Google Cloud

  • כדי ליצור הגדרת ברירת מחדל ליומני זרימה של VPC, מריצים את הפקודה הבאה:

    gcloud network-management vpc-flow-logs-configs create CONFIG_NAME \
    --location=global \
    --subnet=SUBNET

  • כדי ליצור הגדרה מותאמת אישית של יומני תנועה ב-VPC, צריך לציין כל פרמטר שרוצים להתאים אישית.

    לדוגמה, כדי להתאים אישית את מרווח הצבירה, הסינון, שיעור הדגימה המשני ופרמטרים של מטא-נתונים כשיוצרים הגדרה של VPC Flow Logs, מריצים את הפקודה הבאה:

    gcloud network-management vpc-flow-logs-configs create CONFIG_NAME \
    --location=global \
    --subnet=SUBNET \
    --aggregation-interval=AGGREGATION_INTERVAL \
    --filter-expr=FILTER_EXPRESSION \
    --flow-sampling=SAMPLING_RATE \
    --metadata=LOGGING_METADATA

    מחליפים את מה שכתוב בשדות הבאים:

    • CONFIG_NAME: שם להגדרה.
    • ‫SUBNET: תת-הרשת שרוצים לרשום ביומן. צריך לציין את הערך בפורמט הבא: "projects/PROJECT_ID/regions/REGION/subnetworks/NAME", כאשר:
      • ‫PROJECT_ID הוא המזהה של Google Cloud הפרויקט שמכיל את רשת המשנה. צריך ליצור את ההגדרה בפרויקט הזה.
      • ‫REGION הוא האזור של תת-הרשת.
      • ‫NAME הוא שם רשת המשנה.

    כדי להגדיר את הפרמטרים האופציונליים בהגדרה מותאמת אישית, מחליפים את הערכים הבאים:

    • ‫AGGREGATION_INTERVAL: מרווח הצבירה של יומני התנועה שנוצרו על ידי ההגדרה הזו. אפשר להגדיר את הפרמטר הזה לערכים interval-5-sec(ברירת מחדל), interval-30-sec, interval-1-min, interval-5-min, interval-10-min או interval-15-min.
    • ‫FILTER_EXPRESSION: ביטוי שמגדיר אילו יומנים רוצים לשמור. האורך של הביטוי מוגבל ל-2,048 תווים. מידע נוסף מופיע במאמרים בנושא סינון יומנים ודוגמאות למסנני יומנים.
    • ‫SAMPLING_RATE: תדירות הדגימה של הזרימה המשנית. אפשר להגדיר את הפרמטר הזה לערך שגדול מ-0.0 ועד 1.0 (כל היומנים, ברירת מחדל). מידע נוסף זמין במאמר בנושא דגימה ועיבוד של יומנים.
    • ‫LOGGING_METADATA: הערות המטא-נתונים שרוצים לכלול ביומנים:
      • משתמשים ב-include-all-metadata כדי לכלול את כל הערות המטא-נתונים (ברירת מחדל).
      • משתמשים ב-exclude-all-metadata כדי להחריג את כל הערות המטא-נתונים.
      • משתמשים ב-custom-metadata כדי לכלול רשימה מותאמת אישית של שדות מטא-נתונים. כדי לציין את שדות המטא-נתונים, משתמשים בדגל --metadata-fields:
        • ‫--metadata-fields=METADATA_FIELDS: מחליפים את METADATA_FIELDS ברשימה מופרדת בפסיקים של שדות מטא-נתונים שרוצים לכלול ביומנים. לדוגמה: src_instance,dst_instance. אפשר להגדיר את הערך רק אם בשדה metadata מגדירים את הערך custom-metadata.

API

כדי להפעיל את VPC Flow Logs עבור רשת משנה, משתמשים בשיטה projects.locations.vpcFlowLogsConfigs.create.

כדי להפעיל את יומני הזרימה של VPC, צריך ליצור הגדרה של יומני הזרימה של VPC. אפשר ליצור את ההגדרה עם כל הפרמטרים שמוגדרים לערכי ברירת המחדל שלהם, או להתאים אישית את ערכי ברירת המחדל.

כדי ליצור הגדרת ברירת מחדל של יומני זרימה של VPC, צריך לכלול את הפרמטרים הבאים בבקשת ה-API:

POST https://networkmanagement.googleapis.com/v1/projects/PROJECT_ID/locations/global/vpcFlowLogsConfigs?vpc_flow_logs_config_id=CONFIG_NAME
{
  "subnet": "SUBNET"
}

כדי ליצור הגדרה מותאמת אישית של יומני תנועה ב-VPC, צריך לציין כל פרמטר שרוצים להתאים אישית.

לדוגמה, כדי להתאים אישית את מרווח הצבירה, הסינון, קצב הדגימה המשני ופרמטרים של מטא-נתונים כשיוצרים הגדרה של יומני תנועה ב-VPC, צריך לכלול את הפרמטרים הבאים בבקשת ה-API:

POST https://networkmanagement.googleapis.com/v1/projects/PROJECT_ID/locations/global/vpcFlowLogsConfigs?vpc_flow_logs_config_id=CONFIG_NAME
{
  "subnet": "SUBNET",
  "aggregationInterval": "AGGREGATION_INTERVAL",
  "filterExpr": "FILTER_EXPRESSION",
  "flowSampling": SAMPLING_RATE,
  "metadata": "LOGGING_METADATA"
}

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud של רשת המשנה.
  • CONFIG_NAME: שם להגדרה.
  • ‫SUBNET: תת-הרשת שרוצים לרשום ביומן. צריך לציין את הערך בפורמט הבא: projects/PROJECT_ID/regions/REGION/subnetworks/NAME, כאשר:
    • ‫PROJECT_ID הוא מזהה הפרויקט של רשת המשנה.
    • ‫REGION הוא האזור של רשת המשנה.
    • ‫NAME הוא שם רשת המשנה.
כדי להגדיר את הפרמטרים האופציונליים בהגדרה מותאמת אישית, מחליפים את הפרטים הבאים:
  • ‫AGGREGATION_INTERVAL: מרווח הצבירה של יומני התנועה שנוצרו על ידי ההגדרה הזו. אפשר להגדיר את הפרמטר הזה לערכים INTERVAL_5_SEC (ברירת מחדל), INTERVAL_30_SEC, INTERVAL_1_MIN, INTERVAL_5_MIN, INTERVAL_10_MIN או INTERVAL_15_MIN.
  • ‫FILTER_EXPRESSION: ביטוי שמגדיר אילו יומנים רוצים לשמור. האורך של הביטוי מוגבל ל-2,048 תווים. מידע נוסף זמין במאמר בנושא סינון יומנים.
  • ‫SAMPLING_RATE: תדירות הדגימה של הזרימה המשנית. אפשר להגדיר את הפרמטר הזה לערך שגדול מ-0.0 ועד 1.0 (כל היומנים, ברירת מחדל). מידע נוסף זמין במאמר בנושא דגימה ועיבוד של יומנים.
  • ‫LOGGING_METADATA: הערות המטא-נתונים שרוצים לכלול ביומנים:
    • משתמשים ב-INCLUDE_ALL_METADATA כדי לכלול את כל הערות המטא-נתונים (ברירת מחדל).
    • משתמשים ב-EXCLUDE_ALL_METADATA כדי להחריג את כל הערות המטא-נתונים.
    • משתמשים ב-CUSTOM_METADATA כדי לכלול רשימה מותאמת אישית של שדות מטא-נתונים. כדי לציין את שדות המטא-נתונים, משתמשים בפרמטר metadataFields:
      • ‫metadataFields: METADATA_FIELDS: מחליפים את METADATA_FIELDS ברשימה מופרדת בפסיקים של שדות מטא-נתונים שרוצים לכלול ביומנים. לדוגמה: src_instance,dst_instance. אפשר להגדיר את הערך הזה רק אם בשדה metadata מגדירים את הערך CUSTOM_METADATA.

הפעלה של יומני זרימה של VPC עבור רשת משנה (Compute Engine API)

בקטע הזה מוסבר איך להפעיל את יומני התנועה של VPC עבור רשת משנה באמצעות Compute Engine API. אפשר להפעיל את היומנים של תנועת הנתונים ב-VPC כשיוצרים תת-רשת או עבור תת-רשת קיימת.

מומלץ להפעיל את VPC Flow Logs עבור רשת משנה באמצעות Network Management API.

הפעלת VPC Flow Logs כשיוצרים רשת משנה

המסוף

  1. נכנסים לדף VPC networks במסוף Google Cloud .

    מעבר לרשתות VPC

  2. לוחצים על הרשת שרוצים להוסיף לה רשת משנה.

  3. לוחצים על הוספת רשת משנה.

  4. בקטע יומני תנועה, בוחרים באפשרות מופעל.

  5. אופציונלי: משנים את מרווח הצבירה ואת ההגדרות הבאות בקטע הגדרות מתקדמות:

    • האם להגדיר סינון של יומנים. כברירת מחדל, האפשרות שמירת יומנים שתואמים למסנן בלבד לא מסומנת.
    • האם לכלול מטא-נתונים ברשומות הסופיות ביומן. כברירת מחדל, הערות מטא-נתונים כוללות את כל השדות.
    • תדירות הדגימה המשנית. ‫50% פירושו שחצי מהרשומות שנוצרו על ידי תהליך הדגימה של יומן התנועה הראשי נשמרות. אי אפשר להגדיר את קצב הדגימה של יומן זרימת הנתונים הראשי. מידע נוסף זמין במאמר בנושא דגימה ועיבוד של יומנים.

  6. אם צריך, ממלאים את שאר השדות.

  7. לוחצים על הוספה.

gcloud

מריצים את הפקודה הבאה:

gcloud compute networks subnets create SUBNET_NAME \
    --enable-flow-logs \
    [--logging-aggregation-interval=AGGREGATION_INTERVAL] \
    [--logging-flow-sampling=SAMPLING_RATE] \
    [--logging-filter-expr=FILTER_EXPRESSION] \
    [--logging-metadata=LOGGING_METADATA] \
    [--logging-metadata-fields=METADATA_FIELDS] \
    [other flags as needed]

מחליפים את מה שכתוב בשדות הבאים:

  • ‫AGGREGATION_INTERVAL: מרווח הצבירה של יומני התנועה בתת-הרשת הזו. אפשר להגדיר את המרווח לכל אחת מהאפשרויות הבאות: 5 שניות (ברירת מחדל), 30 שניות, דקה אחת, 5 דקות, 10 דקות או 15 דקות.
  • ‫SAMPLING_RATE: תדירות הדגימה של הזרימה המשנית. אפשר להגדיר את הדגימה של זרימת הנתונים המשנית מ-0.0 (ללא דגימה) עד 1.0 (כל היומנים). ערך ברירת המחדל הוא 0.5. מידע נוסף זמין במאמר בנושא דגימה ועיבוד של יומנים.
  • ‫FILTER_EXPRESSION: ביטוי שמגדיר אילו יומנים רוצים לשמור. האורך של הביטוי מוגבל ל-2,048 תווים. מידע נוסף זמין במאמרים בנושא סינון יומנים ודוגמאות למסנני יומנים.

  • ‫LOGGING_METADATA: הערות המטא-נתונים שרוצים לכלול ביומנים:

    • כדי לכלול את כל הערות המטא-נתונים, משתמשים ב-include-all.
    • משתמשים ב-exclude-all כדי להחריג את כל הערות המטא-נתונים (ברירת מחדל).
    • משתמשים ב-custom כדי לכלול רשימה מותאמת אישית של שדות מטא-נתונים שצוינו ב-METADATA_FIELDS.

  • ‫METADATA_FIELDS: רשימה מופרדת בפסיקים של שדות מטא-נתונים שרוצים לכלול ביומנים. לדוגמה, src_instance,dst_instance. אפשר להגדיר את ההגדרה הזו רק אם ההגדרה של LOGGING_METADATA היא custom.

API

מפעילים את יומני הזרימה של VPC כשיוצרים תת-רשת חדשה.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks
{
  "logConfig": {
    "aggregationInterval": "AGGREGATION_INTERVAL",
    "flowSampling": SAMPLING_RATE,
    "filterExpr": EXPRESSION,
    "metadata": METADATA_SETTING,
    "metadataFields": METADATA_FIELDS,
    "enable": true
  },
  "ipCidrRange": "IP_RANGE",
  "network": "NETWORK_URL",
  "name": "SUBNET_NAME"
}

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה הפרויקט שבו תיצור רשת המשנה.
  • ‫REGION: האזור שבו תיווצר תת-הרשת.
  • ‫AGGREGATION_INTERVAL: מרווח הצבירה של יומני זרימת התנועה בתת-הרשת. אפשר להגדיר את האינטרוול לאחת מהאפשרויות הבאות: INTERVAL_5_SEC,‏ INTERVAL_30_SEC,‏ INTERVAL_1_MIN,‏ INTERVAL_5_MIN,‏ INTERVAL_10_MIN או INTERVAL_15_MIN.
  • ‫SAMPLING_RATE: קצב הדגימה של התהליך. אפשר להגדיר את דגימת התנועה מ-0.0 (ללא דגימה) עד 1.0 (כל היומנים). ערך ברירת המחדל הוא .0.5.
  • ‫EXPRESSION: ביטוי הסינון שמשמש לסינון היומנים שנכתבים בפועל. האורך של הביטוי מוגבל ל-2,048 תווים. פרטים נוספים מופיעים במאמר בנושא סינון יומנים.

  • ‫METADATA_SETTING: הערות המטא-נתונים שרוצים לכלול ביומנים:

    • כדי לכלול את כל הערות המטא-נתונים, משתמשים ב-INCLUDE_ALL_METADATA.
    • משתמשים ב-EXCLUDE_ALL_METADATA כדי להחריג את כל הערות המטא-נתונים (ברירת מחדל).
    • משתמשים ב-CUSTOM_METADATA כדי לכלול רשימה מותאמת אישית של שדות מטא-נתונים שצוינו ב-METADATA_FIELDS.

  • ‫METADATA_FIELDS: שדות המטא-נתונים שרוצים לתעד כשהגדרתם את metadata: CUSTOM_METADATA. זו רשימה מופרדת בפסיקים של שדות מטא-נתונים, כמו src_instance, src_vpc.project_id.

  • ‫IP_RANGE: טווח כתובות ה-IP הפנימיות הראשי של רשת המשנה.

  • ‫NETWORK_URL: כתובת ה-URL של רשת הענן הווירטואלי הפרטי (VPC) שבה תיווצר התת-רשת.

  • ‫SUBNET_NAME: שם לתת-הרשת.

למידע נוסף, עיינו בשיטה subnetworks.insert.

Terraform

אתם יכולים להשתמש במודול Terraform כדי ליצור רשת VPC במצב מותאם אישית ותתי-רשתות.

בדוגמה הבאה נוצרות שלוש רשתות משנה:

  • subnet-01 השבית את יומני הזרימה של VPC. כשיוצרים רשת משנה, האפשרות 'VPC Flow Logs' מושבתת אלא אם מפעילים אותה באופן מפורש.
  • subnet-02 מופעלים VPC Flow Logs עם הגדרות ברירת המחדל של יומן הזרימה.
  • ‫subnet-03 has VPC Flow Logs enabled with some custom settings.
module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 16.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "my-custom-mode-network"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "subnet-01"
      subnet_ip     = "10.10.10.0/24"
      subnet_region = "us-west1"
    },
    {
      subnet_name           = "subnet-02"
      subnet_ip             = "10.10.20.0/24"
      subnet_region         = "us-west1"
      subnet_private_access = "true"
      subnet_flow_logs      = "true"
    },
    {
      subnet_name               = "subnet-03"
      subnet_ip                 = "10.10.30.0/24"
      subnet_region             = "us-west1"
      subnet_flow_logs          = "true"
      subnet_flow_logs_interval = "INTERVAL_10_MIN"
      subnet_flow_logs_sampling = 0.7
      subnet_flow_logs_metadata = "INCLUDE_ALL_METADATA"
      subnet_flow_logs_filter   = "false"
    }
  ]
}

כדי ללמוד איך להחיל הגדרות ב-Terraform או להסיר אותן, ראו פקודות בסיסיות ב-Terraform.

הפעלת VPC Flow Logs ברשת משנה קיימת

המסוף

  1. נכנסים לדף VPC networks במסוף Google Cloud .

    מעבר לרשתות VPC

  2. בכרטיסייה Subnets in current project, בוחרים רשת משנה אחת או יותר ואז לוחצים על Manage flow logs.

  3. בניהול יומני זרימת נתונים, לוחצים על הוספת הגדרה חדשה.

  4. מבצעים אחת מהפעולות הבאות:

    • אם בחרתם רשת משנה אחת, בקטע Configurations - Subnets (Compute Engine API) (הגדרות – רשתות משנה (Compute Engine API)), לוחצים על Add a configuration (הוספת הגדרה).
    • אם בחרתם כמה רשתות משנה, בקטע Configure VPC Flow Logs (הגדרת יומני תעבורה של VPC), בוחרים באפשרות Compute Engine API.

  5. אופציונלי: משנים את מרווח הצבירה ואת ההגדרות הבאות בקטע הגדרות מתקדמות:

    • האם להגדיר סינון של יומנים. כברירת מחדל, האפשרות שמירת יומנים שתואמים למסנן בלבד לא מסומנת.
    • האם לכלול מטא-נתונים ברשומות הסופיות ביומן. כברירת מחדל, הערות מטא-נתונים כוללות את כל השדות.
    • תדירות הדגימה המשנית. ‫50% אומר שחצי מהרשומות שנוצרו בתהליך הדגימה של יומן הזרימה הראשי נשמרות. אי אפשר להגדיר את קצב הדגימה של יומן זרימת הנתונים הראשי. מידע נוסף זמין במאמר בנושא דגימה ועיבוד של יומנים.

  6. לוחצים על Save.

gcloud

מריצים את הפקודה הבאה:

gcloud compute networks subnets update SUBNET_NAME \
    --enable-flow-logs \
    [--logging-aggregation-interval=AGGREGATION_INTERVAL] \
    [--logging-flow-sampling=SAMPLING_RATE] \
    [--logging-filter-expr=FILTER_EXPRESSION] \
    [--logging-metadata=LOGGING_METADATA] \
    [--logging-metadata-fields=METADATA_FIELDS] \
    [other flags as needed]

מחליפים את מה שכתוב בשדות הבאים:

  • ‫AGGREGATION_INTERVAL: מרווח הצבירה של יומני התנועה בתת-הרשת הזו. אפשר להגדיר את המרווח לכל אחת מהאפשרויות הבאות: 5 שניות (ברירת מחדל), 30 שניות, דקה אחת, 5 דקות, 10 דקות או 15 דקות.
  • ‫SAMPLING_RATE: תדירות הדגימה של הזרימה המשנית. אפשר להגדיר את הדגימה של זרימת הנתונים המשנית מ-0.0 (ללא דגימה) עד 1.0 (כל היומנים). ערך ברירת המחדל הוא 0.5. מידע נוסף זמין במאמר בנושא דגימה ועיבוד של יומנים.
  • ‫FILTER_EXPRESSION: ביטוי שמגדיר אילו יומנים רוצים לשמור. האורך של הביטוי מוגבל ל-2,048 תווים. מידע נוסף זמין במאמרים בנושא סינון יומנים ודוגמאות למסנני יומנים.

  • ‫LOGGING_METADATA: הערות המטא-נתונים שרוצים לכלול ביומנים:

    • כדי לכלול את כל הערות המטא-נתונים, משתמשים ב-include-all.
    • משתמשים ב-exclude-all כדי להחריג את כל הערות המטא-נתונים (ברירת מחדל).
    • משתמשים ב-custom כדי לכלול רשימה מותאמת אישית של שדות מטא-נתונים שצוינו ב-METADATA_FIELDS.

  • ‫METADATA_FIELDS: רשימה מופרדת בפסיקים של שדות מטא-נתונים שרוצים לכלול ביומנים. לדוגמה, src_instance,dst_instance. אפשר להגדיר את ההגדרה הזו רק אם ההגדרה של LOGGING_METADATA היא custom.

API

הפעלת VPC Flow Logs עבור רשת משנה קיימת.

PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME
{
  "logConfig": {
    "enable": true
    ...other logging fields.
  },
  "fingerprint": "SUBNET_FINGERPRINT"
}

מחליפים את מה שכתוב בשדות הבאים:

למידע נוסף, עיינו בשיטה subnetworks.patch.

הפעלת יומני זרימה של VPC לצירוף ל-VLAN

המסוף

  1. נכנסים לדף Interconnect במסוף Google Cloud .

    מעבר אל Interconnect

  2. בכרטיסייה VLAN attachments (חיבורי VLAN), בוחרים חיבור VLAN אחד או יותר ואז לוחצים על Manage flow logs (ניהול יומני תנועה) בסרגל הבחירה בחלק העליון של הרשימה.

  3. בניהול יומני זרימת נתונים, לוחצים על הוספת הגדרה חדשה.

  4. בשדה שם, מזינים שם להגדרה החדשה של VPC Flow Logs.

  5. אופציונלי: משנים את מרווח הצבירה ואת ההגדרות בקטע הגדרות מתקדמות:

    • האם להגדיר סינון של יומנים. כברירת מחדל, האפשרות שמירת יומנים שתואמים למסנן בלבד לא מסומנת.
    • האם לכלול מטא-נתונים ברשומות הסופיות ביומן. כברירת מחדל, הערות מטא-נתונים כוללות את כל השדות.
    • תדירות הדגימה המשנית. ‫100% פירושו שכל הרשומות שנוצרו על ידי תהליך הדגימה הראשי של יומן התנועה נשמרות. אי אפשר להגדיר את קצב הדגימה של יומן זרימת הנתונים הראשי. מידע נוסף זמין במאמר בנושא דגימה ועיבוד של יומנים.

  6. לוחצים על Save.

gcloud

כדי להפעיל את VPC Flow Logs עבור צירוף ל-VLAN, משתמשים בפקודה gcloud network-management vpc-flow-logs-configs create.

כדי להפעיל את יומני הזרימה של VPC, צריך ליצור הגדרה של יומני הזרימה של VPC. אפשר ליצור את ההגדרה עם כל הפרמטרים שמוגדרים לערכי ברירת המחדל שלהם, או להתאים אישית את ערכי ברירת המחדל.

ב-CLI של gcloud, מגדירים את הפרויקט ל-Google Cloud מזהה הפרויקט של חיבור ה-VLAN ומריצים אחת מהפקודות הבאות:

  • כדי ליצור הגדרת ברירת מחדל ליומני זרימה של VPC, מריצים את הפקודה הבאה:

    gcloud network-management vpc-flow-logs-configs create CONFIG_NAME \
    --location=global \
    --interconnect-attachment=VLAN_ATTACHMENT

  • כדי ליצור הגדרה מותאמת אישית של יומני תנועה ב-VPC, צריך לציין כל פרמטר שרוצים להתאים אישית.

    לדוגמה, כדי להתאים אישית את מרווח הצבירה, הסינון, שיעור הדגימה המשני ופרמטרים של מטא-נתונים כשיוצרים הגדרה של VPC Flow Logs, מריצים את הפקודה הבאה:

    gcloud network-management vpc-flow-logs-configs create CONFIG_NAME \
    --location=global \
    --interconnect-attachment=VLAN_ATTACHMENT \
    --aggregation-interval=AGGREGATION_INTERVAL \
    --filter-expr=FILTER_EXPRESSION \
    --flow-sampling=SAMPLING_RATE \
    --metadata=LOGGING_METADATA

    מחליפים את מה שכתוב בשדות הבאים:

    • CONFIG_NAME: שם להגדרה.
    • ‫VLAN_ATTACHMENT: הצירוף ל-VLAN שרוצים לרשום ביומן. צריך לציין את הערך בפורמט הבא: "projects/PROJECT_ID/regions/REGION/interconnectAttachments/NAME", כאשר:
      • ‫PROJECT_ID הוא המזהה של Google Cloud הפרויקט שמכיל את הצירוף ל-VLAN. צריך ליצור את ההגדרה בפרויקט הזה.
      • ‫REGION הוא האזור של הצירוף ל-VLAN.
      • ‫NAME הוא שם הצירוף ל-VLAN.

    כדי להגדיר את הפרמטרים האופציונליים בהגדרה מותאמת אישית, מחליפים את הערכים הבאים:

    • ‫AGGREGATION_INTERVAL: מרווח הצבירה של יומני התנועה שנוצרו על ידי ההגדרה הזו. אפשר להגדיר את הפרמטר הזה לערכים interval-5-sec(ברירת מחדל), interval-30-sec, interval-1-min, interval-5-min, interval-10-min או interval-15-min.
    • ‫FILTER_EXPRESSION: ביטוי שמגדיר אילו יומנים רוצים לשמור. האורך של הביטוי מוגבל ל-2,048 תווים. מידע נוסף מופיע במאמרים בנושא סינון יומנים ודוגמאות למסנני יומנים.
    • ‫SAMPLING_RATE: תדירות הדגימה של הזרימה המשנית. אפשר להגדיר את הפרמטר הזה לערך שגדול מ-0.0 ועד 1.0 (כל היומנים, ברירת מחדל). מידע נוסף זמין במאמר בנושא דגימה ועיבוד של יומנים.
    • ‫LOGGING_METADATA: הערות המטא-נתונים שרוצים לכלול ביומנים:
      • משתמשים ב-include-all-metadata כדי לכלול את כל הערות המטא-נתונים (ברירת מחדל).
      • משתמשים ב-exclude-all-metadata כדי להחריג את כל הערות המטא-נתונים.
      • משתמשים ב-custom-metadata כדי לכלול רשימה מותאמת אישית של שדות מטא-נתונים. כדי לציין את שדות המטא-נתונים, משתמשים בדגל --metadata-fields:
        • ‫--metadata-fields=METADATA_FIELDS: מחליפים את METADATA_FIELDS ברשימה מופרדת בפסיקים של שדות מטא-נתונים שרוצים לכלול ביומנים. לדוגמה: src_instance,dst_instance. אפשר להגדיר את הערך רק אם בשדה metadata מגדירים את הערך custom-metadata.

Terraform

אתם יכולים להשתמש במודול של Terraform כדי ליצור הגדרה של יומני זרימה של VPC לצירוף ל-VLAN.

בלוק הקוד הבא יוצר הגדרת ברירת מחדל של VPC Flow Logs.

resource "google_network_management_vpc_flow_logs_config" "vpc_flow_logs_config" {
  vpc_flow_logs_config_id = "vpcflowlogs-config"
  location                = "global"
  interconnect_attachment = google_compute_interconnect_attachment.attachment.id
}

בדוגמה הקודמת, שם המשאב google_compute_interconnect_attachment הוא attachment. דוגמה מלאה להגדרה הזו מופיעה במאגר terraform-docs-samples.

בלוק הקוד הבא יוצר הגדרה של VPC Flow Logs, כאשר:

  • ה-aggregation interval מוגדר ל-INTERVAL_10_MIN.
  • תדירות הדגימה של הפיד המשני מוגדרת כ-0.7.
  • המטא-נתונים שייכללו ביומנים מוגדרים לערך INCLUDE_ALL_METADATA.
  • מצב ההגדרה הוא ENABLED.
resource "google_network_management_vpc_flow_logs_config" "vpc_flow_logs_config" {
  vpc_flow_logs_config_id = "vpcflowlogs-config"
  location                = "global"
  interconnect_attachment = google_compute_interconnect_attachment.attachment.id
  aggregation_interval    = "INTERVAL_10_MIN"
  description             = "VPC Flow Logs over an Interconnect Attachment."
  flow_sampling           = 0.7
  metadata                = "INCLUDE_ALL_METADATA"
  state                   = "ENABLED"
}

בדוגמה הקודמת, שם המשאב google_compute_interconnect_attachment הוא attachment. דוגמה מלאה להגדרה הזו מופיעה במאגר terraform-docs-samples.

כדי ללמוד איך להחיל הגדרות ב-Terraform או להסיר אותן, ראו פקודות בסיסיות ב-Terraform.

API

כדי להפעיל את VPC Flow Logs לצירוף ל-VLAN, צריך להשתמש בשיטה projects.locations.vpcFlowLogsConfigs.create.

כדי להפעיל את יומני הזרימה של VPC, צריך ליצור הגדרה של יומני הזרימה של VPC. אפשר ליצור את ההגדרה עם כל הפרמטרים שמוגדרים לערכי ברירת המחדל שלהם, או להתאים אישית את ערכי ברירת המחדל.

כדי ליצור הגדרת ברירת מחדל של יומני זרימה של VPC, צריך לכלול את הפרמטרים הבאים בבקשת ה-API:

POST https://networkmanagement.googleapis.com/v1/projects/PROJECT_ID/locations/global/vpcFlowLogsConfigs?vpc_flow_logs_config_id=CONFIG_NAME
{
  "interconnectAttachment": "VLAN_ATTACHMENT"
}

כדי ליצור הגדרה מותאמת אישית של יומני תנועה ב-VPC, צריך לציין כל פרמטר שרוצים להתאים אישית.

לדוגמה, כדי להתאים אישית את מרווח הצבירה, הסינון, קצב הדגימה המשני ופרמטרים של מטא-נתונים כשיוצרים הגדרה של יומני תנועה ב-VPC, צריך לכלול את הפרמטרים הבאים בבקשת ה-API:

POST https://networkmanagement.googleapis.com/v1/projects/PROJECT_ID/locations/global/vpcFlowLogsConfigs?vpc_flow_logs_config_id=CONFIG_NAME
{
  "interconnectAttachment": "VLAN_ATTACHMENT",
  "aggregationInterval": "AGGREGATION_INTERVAL",
  "filterExpr": "FILTER_EXPRESSION",
  "flowSampling": SAMPLING_RATE,
  "metadata": "LOGGING_METADATA"
}

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: Google Cloud מזהה הפרויקט של הצירוף ל-VLAN.
  • CONFIG_NAME: שם להגדרה.
  • ‫VLAN_ATTACHMENT: הצירוף ל-VLAN שרוצים לרשום ביומן. צריך לציין את הערך בפורמט הבא: projects/PROJECT_ID/regions/REGION/interconnectAttachments/NAME, כאשר:
    • ‫PROJECT_ID הוא מזהה הפרויקט של הצירוף ל-VLAN.
    • ‫REGION הוא האזור של הצירוף ל-VLAN.
    • ‫NAME הוא שם הצירוף ל-VLAN.
כדי להגדיר את הפרמטרים האופציונליים בהגדרה מותאמת אישית, מחליפים את הפרטים הבאים:
  • ‫AGGREGATION_INTERVAL: מרווח הצבירה של יומני התנועה שנוצרו על ידי ההגדרה הזו. אפשר להגדיר את הפרמטר הזה לערכים INTERVAL_5_SEC (ברירת מחדל), INTERVAL_30_SEC, INTERVAL_1_MIN, INTERVAL_5_MIN, INTERVAL_10_MIN או INTERVAL_15_MIN.
  • ‫FILTER_EXPRESSION: ביטוי שמגדיר אילו יומנים רוצים לשמור. האורך של הביטוי מוגבל ל-2,048 תווים. מידע נוסף זמין במאמר בנושא סינון יומנים.
  • ‫SAMPLING_RATE: תדירות הדגימה של הזרימה המשנית. אפשר להגדיר את הפרמטר הזה לערך שגדול מ-0.0 ועד 1.0 (כל היומנים, ברירת מחדל). מידע נוסף זמין במאמר בנושא דגימה ועיבוד של יומנים.
  • ‫LOGGING_METADATA: הערות המטא-נתונים שרוצים לכלול ביומנים:
    • משתמשים ב-INCLUDE_ALL_METADATA כדי לכלול את כל הערות המטא-נתונים (ברירת מחדל).
    • משתמשים ב-EXCLUDE_ALL_METADATA כדי להחריג את כל הערות המטא-נתונים.
    • משתמשים ב-CUSTOM_METADATA כדי לכלול רשימה מותאמת אישית של שדות מטא-נתונים. כדי לציין את שדות המטא-נתונים, משתמשים בפרמטר metadataFields:
      • ‫metadataFields: METADATA_FIELDS: מחליפים את METADATA_FIELDS ברשימה מופרדת בפסיקים של שדות מטא-נתונים שרוצים לכלול ביומנים. לדוגמה: src_instance,dst_instance. אפשר להגדיר את הערך הזה רק אם בשדה metadata מגדירים את הערך CUSTOM_METADATA.

הפעלת יומני זרימה של VPC למנהרת Cloud VPN

המסוף

  1. נכנסים לדף VPN במסוף Google Cloud .

    מעבר אל VPN

  2. בכרטיסייה Cloud VPN tunnels (מנהרות Cloud VPN), בוחרים מנהרה אחת או יותר של Cloud VPN ואז לוחצים על Manage flow logs (ניהול יומני תעבורה) בסרגל הבחירה בחלק העליון של הרשימה.

  3. בניהול יומני זרימת נתונים, לוחצים על הוספת הגדרה חדשה.

  4. בשדה שם, מזינים שם להגדרה החדשה של VPC Flow Logs.

  5. אופציונלי: משנים את מרווח הצבירה ואת ההגדרות בקטע הגדרות מתקדמות:

    • האם להגדיר סינון של יומנים. כברירת מחדל, האפשרות שמירת יומנים שתואמים למסנן בלבד לא מסומנת.
    • האם לכלול מטא-נתונים ברשומות הסופיות ביומן. כברירת מחדל, הערות מטא-נתונים כוללות את כל השדות.
    • תדירות הדגימה המשנית. ‫100% פירושו שכל הרשומות שנוצרו על ידי תהליך הדגימה הראשי של יומן התנועה נשמרות. אי אפשר להגדיר את קצב הדגימה של יומן זרימת הנתונים הראשי. מידע נוסף זמין במאמר בנושא דגימה ועיבוד של יומנים.

  6. לוחצים על Save.

gcloud

כדי להפעיל יומני זרימה של VPC למנהרת Cloud VPN, משתמשים בפקודה gcloud network-management vpc-flow-logs-configs create.

כדי להפעיל את יומני הזרימה של VPC, צריך ליצור הגדרה של יומני הזרימה של VPC. אפשר ליצור את ההגדרה עם כל הפרמטרים שמוגדרים לערכי ברירת המחדל שלהם, או להתאים אישית את ערכי ברירת המחדל.

ב-CLI של gcloud, מגדירים את הפרויקט ל-Google Cloud מזהה הפרויקט של מנהרת Cloud VPN ומריצים אחת מהפקודות הבאות:

  • כדי ליצור הגדרת ברירת מחדל ליומני זרימה של VPC, מריצים את הפקודה הבאה:

    gcloud network-management vpc-flow-logs-configs create CONFIG_NAME \
    --location=global \
    --vpn-tunnel=VPN_TUNNEL

  • כדי ליצור הגדרה מותאמת אישית של יומני תנועה ב-VPC, צריך לציין כל פרמטר שרוצים להתאים אישית.

    לדוגמה, כדי להתאים אישית את מרווח הצבירה, הסינון, שיעור הדגימה המשני ופרמטרים של מטא-נתונים כשיוצרים הגדרה של VPC Flow Logs, מריצים את הפקודה הבאה:

    gcloud network-management vpc-flow-logs-configs create CONFIG_NAME \
    --location=global \
    --vpn-tunnel=VPN_TUNNEL \
    --aggregation-interval=AGGREGATION_INTERVAL \
    --filter-expr=FILTER_EXPRESSION \
    --flow-sampling=SAMPLING_RATE \
    --metadata=LOGGING_METADATA

    מחליפים את מה שכתוב בשדות הבאים:

    • CONFIG_NAME: שם להגדרה.
    • ‫VPN_TUNNEL: מנהרת Cloud VPN שרוצים לרשום את היומנים שלה. הפורמט שבו צריך לציין את הערך הוא: "projects/PROJECT_ID/regions/REGION/vpnTunnels/NAME", כאשר:
      • ‫PROJECT_ID הוא המזהה של PROJECT_IDהפרויקט שמכיל את מנהרת Cloud VPN. Google Cloud צריך ליצור את ההגדרה בפרויקט הזה.
      • ‫REGION הוא האזור של מנהרת Cloud VPN.
      • ‫NAME הוא השם של מנהרת Cloud VPN.

    כדי להגדיר את הפרמטרים האופציונליים בהגדרה מותאמת אישית, מחליפים את הערכים הבאים:

    • ‫AGGREGATION_INTERVAL: מרווח הצבירה של יומני התנועה שנוצרו על ידי ההגדרה הזו. אפשר להגדיר את הפרמטר הזה לערכים interval-5-sec(ברירת מחדל), interval-30-sec, interval-1-min, interval-5-min, interval-10-min או interval-15-min.
    • ‫FILTER_EXPRESSION: ביטוי שמגדיר אילו יומנים רוצים לשמור. האורך של הביטוי מוגבל ל-2,048 תווים. מידע נוסף מופיע במאמרים בנושא סינון יומנים ודוגמאות למסנני יומנים.
    • ‫SAMPLING_RATE: תדירות הדגימה של הזרימה המשנית. אפשר להגדיר את הפרמטר הזה לערך שגדול מ-0.0 ועד 1.0 (כל היומנים, ברירת מחדל). מידע נוסף זמין במאמר בנושא דגימה ועיבוד של יומנים.
    • ‫LOGGING_METADATA: הערות המטא-נתונים שרוצים לכלול ביומנים:
      • משתמשים ב-include-all-metadata כדי לכלול את כל הערות המטא-נתונים (ברירת מחדל).
      • משתמשים ב-exclude-all-metadata כדי להחריג את כל הערות המטא-נתונים.
      • משתמשים ב-custom-metadata כדי לכלול רשימה מותאמת אישית של שדות מטא-נתונים. כדי לציין את שדות המטא-נתונים, משתמשים בדגל --metadata-fields:
        • ‫--metadata-fields=METADATA_FIELDS: מחליפים את METADATA_FIELDS ברשימה מופרדת בפסיקים של שדות מטא-נתונים שרוצים לכלול ביומנים. לדוגמה: src_instance,dst_instance. אפשר להגדיר את הערך רק אם בשדה metadata מגדירים את הערך custom-metadata.

Terraform

אתם יכולים להשתמש במודול Terraform כדי ליצור הגדרת יומני זרימה של VPC למנהרת Cloud VPN.

בלוק הקוד הבא יוצר הגדרת ברירת מחדל של VPC Flow Logs.

resource "google_network_management_vpc_flow_logs_config" "vpc_flow_logs_config" {
  vpc_flow_logs_config_id = "vpcflowlogs-config"
  location                = "global"
  vpn_tunnel              = google_compute_vpn_tunnel.tunnel.id
}

בדוגמה הקודמת, שם המשאב google_compute_vpn_tunnel הוא tunnel. דוגמה מלאה להגדרה הזו מופיעה במאגר terraform-docs-samples.

בלוק הקוד הבא יוצר הגדרה של VPC Flow Logs, כאשר:

  • ה-aggregation interval מוגדר ל-INTERVAL_10_MIN.
  • תדירות הדגימה של הפיד המשני מוגדרת כ-0.7.
  • המטא-נתונים שייכללו ביומנים מוגדרים לערך INCLUDE_ALL_METADATA.
  • מצב ההגדרה הוא ENABLED.
resource "google_network_management_vpc_flow_logs_config" "vpc_flow_logs_config" {
  vpc_flow_logs_config_id = "vpcflowlogs-config"
  location                = "global"
  vpn_tunnel              = google_compute_vpn_tunnel.tunnel.id
  aggregation_interval    = "INTERVAL_10_MIN"
  description             = "VPC Flow Logs over a VPN Gateway."
  flow_sampling           = 0.7
  metadata                = "INCLUDE_ALL_METADATA"
  state                   = "ENABLED"
}

בדוגמה הקודמת, שם המשאב google_compute_vpn_tunnel הוא tunnel. דוגמה מלאה להגדרה הזו מופיעה במאגר terraform-docs-samples.

כדי ללמוד איך להחיל הגדרות ב-Terraform או להסיר אותן, ראו פקודות בסיסיות ב-Terraform.

API

כדי להפעיל את VPC Flow Logs למנהרת Cloud VPN, משתמשים בשיטה projects.locations.vpcFlowLogsConfigs.create.

כדי להפעיל את יומני הזרימה של VPC, צריך ליצור הגדרה של יומני הזרימה של VPC. אפשר ליצור את ההגדרה עם כל הפרמטרים שמוגדרים לערכי ברירת המחדל שלהם, או להתאים אישית את ערכי ברירת המחדל.

כדי ליצור הגדרת ברירת מחדל של יומני זרימה של VPC, צריך לכלול את הפרמטרים הבאים בבקשת ה-API:

POST https://networkmanagement.googleapis.com/v1/projects/PROJECT_ID/locations/global/vpcFlowLogsConfigs?vpc_flow_logs_config_id=CONFIG_NAME
{
  "vpnTunnel": "VPN_TUNNEL"
}

כדי ליצור הגדרה מותאמת אישית של יומני תנועה ב-VPC, צריך לציין כל פרמטר שרוצים להתאים אישית.

לדוגמה, כדי להתאים אישית את מרווח הצבירה, הסינון, קצב הדגימה המשני ופרמטרים של מטא-נתונים כשיוצרים הגדרה של יומני תנועה ב-VPC, צריך לכלול את הפרמטרים הבאים בבקשת ה-API:

POST https://networkmanagement.googleapis.com/v1/projects/PROJECT_ID/locations/global/vpcFlowLogsConfigs?vpc_flow_logs_config_id=CONFIG_NAME
{
  "vpnTunnel": "VPN_TUNNEL",
  "aggregationInterval": "AGGREGATION_INTERVAL",
  "filterExpr": "FILTER_EXPRESSION",
  "flowSampling": SAMPLING_RATE,
  "metadata": "LOGGING_METADATA"
}

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה הפרויקט של מנהרת Cloud VPN. Google Cloud
  • CONFIG_NAME: שם להגדרה.
  • ‫VPN_TUNNEL: מנהרת Cloud VPN שרוצים לרשום ביומן. צריך לציין את הערך בפורמט הבא: projects/PROJECT_ID/regions/REGION/vpnTunnels/NAME, כאשר:
    • ‫PROJECT_ID הוא מזהה הפרויקט של מנהרת Cloud VPN.
    • ‫REGION הוא האזור של מנהרת Cloud VPN.
    • ‫NAME הוא השם של מנהרת Cloud VPN.
כדי להגדיר את הפרמטרים האופציונליים בהגדרה מותאמת אישית, מחליפים את הפרטים הבאים:
  • ‫AGGREGATION_INTERVAL: מרווח הצבירה של יומני התנועה שנוצרו על ידי ההגדרה הזו. אפשר להגדיר את הפרמטר הזה לערכים INTERVAL_5_SEC (ברירת מחדל), INTERVAL_30_SEC, INTERVAL_1_MIN, INTERVAL_5_MIN, INTERVAL_10_MIN או INTERVAL_15_MIN.
  • ‫FILTER_EXPRESSION: ביטוי שמגדיר אילו יומנים רוצים לשמור. האורך של הביטוי מוגבל ל-2,048 תווים. מידע נוסף זמין במאמר בנושא סינון יומנים.
  • ‫SAMPLING_RATE: תדירות הדגימה של הזרימה המשנית. אפשר להגדיר את הפרמטר הזה לערך שגדול מ-0.0 ועד 1.0 (כל היומנים, ברירת מחדל). מידע נוסף זמין במאמר בנושא דגימה ועיבוד של יומנים.
  • ‫LOGGING_METADATA: הערות המטא-נתונים שרוצים לכלול ביומנים:
    • משתמשים ב-INCLUDE_ALL_METADATA כדי לכלול את כל הערות המטא-נתונים (ברירת מחדל).
    • משתמשים ב-EXCLUDE_ALL_METADATA כדי להחריג את כל הערות המטא-נתונים.
    • משתמשים ב-CUSTOM_METADATA כדי לכלול רשימה מותאמת אישית של שדות מטא-נתונים. כדי לציין את שדות המטא-נתונים, משתמשים בפרמטר metadataFields:
      • ‫metadataFields: METADATA_FIELDS: מחליפים את METADATA_FIELDS ברשימה מופרדת בפסיקים של שדות מטא-נתונים שרוצים לכלול ביומנים. לדוגמה: src_instance,dst_instance. אפשר להגדיר את הערך הזה רק אם בשדה metadata מגדירים את הערך CUSTOM_METADATA.

הפעלת VPC Flow Logs ברשת VPC

כדי להפעיל יומני זרימה של VPC לכל רשתות המשנה, חיבורי ה-VLAN ומנהרות Cloud VPN ברשת VPC, צריך לבצע את הפעולות הבאות.

המסוף

  1. נכנסים לדף VPC networks במסוף Google Cloud .

    מעבר לרשתות VPC

  2. בכרטיסייה Networks in current project, בוחרים רשת אחת או יותר ולוחצים על Manage flow logs בחלק העליון של הרשימה.

  3. בניהול יומני זרימת נתונים, לוחצים על הוספת הגדרה חדשה.

  4. בשדה שם, מזינים שם להגדרה החדשה של VPC Flow Logs.

  5. אופציונלי: משנים את מרווח הצבירה ואת ההגדרות בקטע הגדרות מתקדמות:

    • האם להגדיר סינון של יומנים. כברירת מחדל, האפשרות שמירת יומנים שתואמים למסנן בלבד לא מסומנת.
    • האם לכלול מטא-נתונים ברשומות הסופיות ביומן. כברירת מחדל, הערות מטא-נתונים כוללות את כל השדות.
    • תדירות הדגימה המשנית. ‫100% פירושו שכל הרשומות שנוצרו על ידי תהליך הדגימה הראשי של יומן התנועה נשמרות. אי אפשר להגדיר את קצב הדגימה של יומן זרימת הנתונים הראשי. מידע נוסף זמין במאמר בנושא דגימה ועיבוד של יומנים.

  6. לוחצים על Save.

gcloud

כדי להפעיל את VPC Flow Logs ברשת VPC, משתמשים בפקודה gcloud network-management vpc-flow-logs-configs create.

כדי להפעיל את יומני הזרימה של VPC, צריך ליצור הגדרה של יומני הזרימה של VPC. אפשר ליצור את ההגדרה עם כל הפרמטרים שמוגדרים לערכי ברירת המחדל שלהם, או להתאים אישית את ערכי ברירת המחדל.

ב-CLI של gcloud, מגדירים את הפרויקט ל-Google Cloud מזהה הפרויקט של רשת ה-VPC ומריצים אחת מהפקודות הבאות:

  • כדי ליצור הגדרת ברירת מחדל ליומני זרימה של VPC, מריצים את הפקודה הבאה:

    gcloud network-management vpc-flow-logs-configs create CONFIG_NAME \
    --location=global \
    --network=NETWORK

  • כדי ליצור הגדרה מותאמת אישית של יומני תנועה ב-VPC, צריך לציין כל פרמטר שרוצים להתאים אישית.

    לדוגמה, כדי להתאים אישית את מרווח הצבירה, הסינון, שיעור הדגימה המשני ופרמטרים של מטא-נתונים כשיוצרים הגדרה של VPC Flow Logs, מריצים את הפקודה הבאה:

    gcloud network-management vpc-flow-logs-configs create CONFIG_NAME \
    --location=global \
    --network=NETWORK \
    --aggregation-interval=AGGREGATION_INTERVAL \
    --filter-expr=FILTER_EXPRESSION \
    --flow-sampling=SAMPLING_RATE \
    --metadata=LOGGING_METADATA

    מחליפים את מה שכתוב בשדות הבאים:

    • CONFIG_NAME: שם להגדרה.
    • ‫NETWORK: רשת ה-VPC שרוצים לרשום ביומן. צריך לציין את הערך בפורמט הבא: "projects/PROJECT_ID/global/networks/NAME", כאשר:
      • ‫PROJECT_ID הוא המזהה של Google Cloud הפרויקט שמכיל את רשת ה-VPC. ההגדרה צריכה להיווצר בפרויקט הזה.
      • ‫NAME הוא השם של רשת ה-VPC.

    כדי להגדיר את הפרמטרים האופציונליים בהגדרה מותאמת אישית, מחליפים את הערכים הבאים:

    • ‫AGGREGATION_INTERVAL: מרווח הצבירה של יומני התנועה שנוצרו על ידי ההגדרה הזו. אפשר להגדיר את הפרמטר הזה לערכים interval-5-sec(ברירת מחדל), interval-30-sec, interval-1-min, interval-5-min, interval-10-min או interval-15-min.
    • ‫FILTER_EXPRESSION: ביטוי שמגדיר אילו יומנים רוצים לשמור. האורך של הביטוי מוגבל ל-2,048 תווים. מידע נוסף מופיע במאמרים בנושא סינון יומנים ודוגמאות למסנני יומנים.
    • ‫SAMPLING_RATE: תדירות הדגימה של הזרימה המשנית. אפשר להגדיר את הפרמטר הזה מ-0.0 עד 1.0 (כל היומנים, ברירת מחדל). מידע נוסף זמין במאמר בנושא דגימה ועיבוד של יומנים.
    • ‫LOGGING_METADATA: הערות המטא-נתונים שרוצים לכלול ביומנים:
      • משתמשים ב-include-all-metadata כדי לכלול את כל הערות המטא-נתונים (ברירת מחדל).
      • משתמשים ב-exclude-all-metadata כדי להחריג את כל הערות המטא-נתונים.
      • משתמשים ב-custom-metadata כדי לכלול רשימה מותאמת אישית של שדות מטא-נתונים. כדי לציין את שדות המטא-נתונים, משתמשים בדגל --metadata-fields:
        • ‫--metadata-fields=METADATA_FIELDS: מחליפים את METADATA_FIELDS ברשימה מופרדת בפסיקים של שדות מטא-נתונים שרוצים לכלול ביומנים. לדוגמה: src_instance,dst_instance. אפשר להגדיר את הערך רק אם בשדה metadata מגדירים את הערך custom-metadata.

API

כדי להפעיל את VPC Flow Logs ברשת VPC, משתמשים בשיטה projects.locations.vpcFlowLogsConfigs.create.

כדי להפעיל את יומני הזרימה של VPC, צריך ליצור הגדרה של יומני הזרימה של VPC. אפשר ליצור את ההגדרה עם כל הפרמטרים שמוגדרים לערכי ברירת המחדל שלהם, או להתאים אישית את ערכי ברירת המחדל.

כדי ליצור הגדרת ברירת מחדל של יומני זרימה של VPC, צריך לכלול את הפרמטרים הבאים בבקשת ה-API:

POST https://networkmanagement.googleapis.com/v1/projects/PROJECT_ID/locations/global/vpcFlowLogsConfigs?vpc_flow_logs_config_id=CONFIG_NAME
{
  "network": "NETWORK"
}

כדי ליצור הגדרה מותאמת אישית של יומני תנועה ב-VPC, צריך לציין כל פרמטר שרוצים להתאים אישית.

לדוגמה, כדי להתאים אישית את מרווח הצבירה, הסינון, קצב הדגימה המשני ופרמטרים של מטא-נתונים כשיוצרים הגדרה של יומני תנועה ב-VPC, צריך לכלול את הפרמטרים הבאים בבקשת ה-API:

POST https://networkmanagement.googleapis.com/v1/projects/PROJECT_ID/locations/global/vpcFlowLogsConfigs?vpc_flow_logs_config_id=CONFIG_NAME
{
  "network": "NETWORK",
  "aggregationInterval": "AGGREGATION_INTERVAL",
  "filterExpr": "FILTER_EXPRESSION",
  "flowSampling": SAMPLING_RATE,
  "metadata": "LOGGING_METADATA"
}

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: Google Cloud מזהה הפרויקט של רשת ה-VPC.
  • CONFIG_NAME: שם להגדרה.
  • ‫NETWORK: רשת ה-VPC שרוצים לרשום ביומן. צריך לציין את הערך בפורמט הבא: projects/PROJECT_ID/global/networks/NAME, כאשר:
    • ‫PROJECT_ID הוא מזהה הפרויקט של רשת ה-VPC.
    • ‫NAME הוא השם של רשת ה-VPC.
כדי להגדיר את הפרמטרים האופציונליים בהגדרה מותאמת אישית, מחליפים את הפרטים הבאים:
  • ‫AGGREGATION_INTERVAL: מרווח הצבירה של יומני התנועה שנוצרו על ידי ההגדרה הזו. אפשר להגדיר את הפרמטר הזה לערכים INTERVAL_5_SEC (ברירת מחדל), INTERVAL_30_SEC, INTERVAL_1_MIN, INTERVAL_5_MIN, INTERVAL_10_MIN או INTERVAL_15_MIN.
  • ‫FILTER_EXPRESSION: ביטוי שמגדיר אילו יומנים רוצים לשמור. האורך של הביטוי מוגבל ל-2,048 תווים. מידע נוסף זמין במאמר בנושא סינון יומנים.
  • ‫SAMPLING_RATE: תדירות הדגימה של הזרימה המשנית. אפשר להגדיר את הפרמטר הזה לערך שגדול מ-0.0 ועד 1.0 (כל היומנים, ברירת מחדל). מידע נוסף זמין במאמר בנושא דגימה ועיבוד של יומנים.
  • ‫LOGGING_METADATA: הערות המטא-נתונים שרוצים לכלול ביומנים:
    • משתמשים ב-INCLUDE_ALL_METADATA כדי לכלול את כל הערות המטא-נתונים (ברירת מחדל).
    • משתמשים ב-EXCLUDE_ALL_METADATA כדי להחריג את כל הערות המטא-נתונים.
    • משתמשים ב-CUSTOM_METADATA כדי לכלול רשימה מותאמת אישית של שדות מטא-נתונים. כדי לציין את שדות המטא-נתונים, משתמשים בפרמטר metadataFields:
      • ‫metadataFields: METADATA_FIELDS: מחליפים את METADATA_FIELDS ברשימה מופרדת בפסיקים של שדות מטא-נתונים שרוצים לכלול ביומנים. לדוגמה: src_instance,dst_instance. אפשר להגדיר את הערך הזה רק אם בשדה metadata מגדירים את הערך CUSTOM_METADATA.

הפעלת יומני זרימה של VPC בארגון

כדי להפעיל יומני זרימה של VPC לכל רשתות המשנה, לכל חיבורי ה-VLAN ולכל מנהרות Cloud VPN בכל רשתות ה-VPC בארגון, צריך לבצע את הפעולות הבאות.

המסוף

  1. נכנסים לדף VPC Flow Logs במסוף Google Cloud .

    מעבר אל VPC Flow Logs

  2. לוחצים על Add VPC Flow Logs configuration (הוספת הגדרת יומני תנועה של VPC) ואז על Add a configuration for the organization (הוספת הגדרה לארגון).

  3. בשדה שם, מזינים שם להגדרת יומני הזרימה החדשה של ה-VPC.

  4. אופציונלי: משנים את מרווח הצבירה ואת ההגדרות בקטע הגדרות מתקדמות:

    • האם להגדיר סינון של יומנים. כברירת מחדל, האפשרות שמירת יומנים שתואמים למסנן בלבד לא מסומנת.
    • האם לכלול הערות חוצות פרויקטים. כברירת מחדל, האפשרות הערות מטא-נתונים בין פרויקטים מסומנת. מידע נוסף זמין במאמר בנושא הערות חוצות פרויקטים.
    • האם לכלול מטא-נתונים ברשומות הסופיות ביומן. כברירת מחדל, הערות מטא-נתונים כוללות את כל השדות.
    • תדירות הדגימה המשנית. ‫100% פירושו שכל הרשומות שנוצרו על ידי תהליך הדגימה הראשי של יומן התנועה נשמרות. אי אפשר להגדיר את קצב הדגימה של יומן זרימת הנתונים הראשי. מידע נוסף זמין במאמר בנושא דגימה ועיבוד של יומנים.

  5. לוחצים על Save.

gcloud

כדי להפעיל יומני זרימה של VPC בארגון, משתמשים בפקודה gcloud network-management vpc-flow-logs-configs create.

כדי להפעיל את יומני הזרימה של VPC, צריך ליצור הגדרה של יומני הזרימה של VPC. אפשר ליצור את ההגדרה עם כל הפרמטרים שמוגדרים לערכי ברירת המחדל שלהם, או להתאים אישית את ערכי ברירת המחדל.

  • כדי ליצור הגדרת ברירת מחדל ליומני זרימה של VPC, מריצים את הפקודה הבאה:

    gcloud network-management vpc-flow-logs-configs create CONFIG_NAME \
    --location=global \
    --organization=ORGANIZATION

  • כדי ליצור הגדרה מותאמת אישית של יומני תנועה ב-VPC, צריך לציין כל פרמטר שרוצים להתאים אישית.

    לדוגמה, כדי להתאים אישית את מרווח הצבירה, הסינון, שיעור הדגימה המשני ופרמטרים של מטא-נתונים כשיוצרים הגדרה של VPC Flow Logs, מריצים את הפקודה הבאה:

    gcloud network-management vpc-flow-logs-configs create CONFIG_NAME \
    --location=global \
    --organization=ORGANIZATION \
    --aggregation-interval=AGGREGATION_INTERVAL \
    --filter-expr=FILTER_EXPRESSION \
    --flow-sampling=SAMPLING_RATE \
    --metadata=LOGGING_METADATA \
    --cross-project-metadata=CROSS_PROJECT_METADATA

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫CONFIG_NAME: שם להגדרה
    • ‫ORGANIZATION: המזהה של הארגון

    כדי להגדיר את הפרמטרים האופציונליים בהגדרה מותאמת אישית, מחליפים את הערכים הבאים:

    • ‫AGGREGATION_INTERVAL: מרווח הצבירה של יומני התנועה שנוצרו על ידי ההגדרה הזו. אפשר להגדיר את הפרמטר הזה לערכים interval-5-sec(ברירת מחדל), interval-30-sec, interval-1-min, interval-5-min, interval-10-min או interval-15-min.
    • ‫FILTER_EXPRESSION: ביטוי שמגדיר אילו יומנים רוצים לשמור. האורך של הביטוי מוגבל ל-2,048 תווים. מידע נוסף מופיע במאמרים בנושא סינון יומנים ודוגמאות למסנני יומנים.
    • ‫SAMPLING_RATE: תדירות הדגימה של הזרימה המשנית. אפשר להגדיר את הפרמטר הזה מ-0.0 עד 1.0 (כל היומנים, ברירת מחדל). מידע נוסף זמין במאמר בנושא דגימה ועיבוד של יומנים.
    • ‫LOGGING_METADATA: הערות המטא-נתונים שרוצים לכלול ביומנים:
      • משתמשים ב-include-all-metadata כדי לכלול את כל הערות המטא-נתונים (ברירת מחדל).
      • משתמשים ב-exclude-all-metadata כדי להחריג את כל הערות המטא-נתונים.
      • משתמשים ב-custom-metadata כדי לכלול רשימה מותאמת אישית של שדות מטא-נתונים. כדי לציין את שדות המטא-נתונים, משתמשים בדגל --metadata-fields:
        • ‫--metadata-fields=METADATA_FIELDS: מחליפים את METADATA_FIELDS ברשימה מופרדת בפסיקים של שדות מטא-נתונים שרוצים לכלול ביומנים. לדוגמה: src_instance,dst_instance. אפשר להגדיר את הערך רק אם בשדה metadata מגדירים את הערך custom-metadata.
    • ‫CROSS_PROJECT_METADATA: הערות חוצות פרויקטים. אפשר להגדיר את הערך cross-project-metadata-enabled (ברירת מחדל) או cross-project-metadata-disabled. מידע נוסף זמין במאמר בנושא הערות חוצות פרויקטים.

API

כדי להפעיל את VPC Flow Logs בארגון, משתמשים בשיטה organizations.locations.vpcFlowLogsConfigs.create.

כדי להפעיל את יומני הזרימה של VPC, צריך ליצור הגדרה של יומני הזרימה של VPC. אפשר ליצור את ההגדרה עם כל הפרמטרים שמוגדרים לערכי ברירת המחדל שלהם, או להתאים אישית את ערכי ברירת המחדל.

כדי ליצור הגדרת ברירת מחדל של יומני זרימה של VPC, צריך לכלול את הפרמטרים הבאים בבקשת ה-API:

POST -H "x-goog-user-project:PROJECT_ID" https://networkmanagement.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/vpcFlowLogsConfigs?vpc_flow_logs_config_id=CONFIG_NAME

כדי ליצור הגדרה מותאמת אישית של יומני תנועה ב-VPC, צריך לציין כל פרמטר שרוצים להתאים אישית.

לדוגמה, כדי להתאים אישית את מרווח הצבירה, הסינון, קצב הדגימה המשני ופרמטרים של מטא-נתונים כשיוצרים הגדרה של יומני תנועה ב-VPC, צריך לכלול את הפרמטרים הבאים בבקשת ה-API:

POST -H "x-goog-user-project:PROJECT_ID" https://networkmanagement.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/vpcFlowLogsConfigs?vpc_flow_logs_config_id=CONFIG_NAME
{
  "aggregationInterval": "AGGREGATION_INTERVAL",
  "filterExpr": "FILTER_EXPRESSION",
  "flowSampling": SAMPLING_RATE,
  "metadata": "LOGGING_METADATA",
  "crossProjectMetadata": "CROSS_PROJECT_METADATA"
}

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה פרויקט המכסה. בקשות API נספרות בפרויקט הזה. מידע נוסף זמין בדף Quotas and System Limits במסוף Google Cloud .
  • ‫ORGANIZATION_ID: מזהה הארגון.
  • CONFIG_NAME: שם להגדרה.
כדי להגדיר את הפרמטרים האופציונליים בהגדרה מותאמת אישית, מחליפים את הפרטים הבאים:
  • ‫AGGREGATION_INTERVAL: מרווח הצבירה של יומני התנועה שנוצרו על ידי ההגדרה הזו. אפשר להגדיר את הפרמטר הזה לערכים INTERVAL_5_SEC (ברירת מחדל), INTERVAL_30_SEC, INTERVAL_1_MIN, INTERVAL_5_MIN, INTERVAL_10_MIN או INTERVAL_15_MIN.
  • ‫FILTER_EXPRESSION: ביטוי שמגדיר אילו יומנים רוצים לשמור. האורך של הביטוי מוגבל ל-2,048 תווים. מידע נוסף זמין במאמר בנושא סינון יומנים.
  • ‫SAMPLING_RATE: תדירות הדגימה של הזרימה המשנית. אפשר להגדיר את הפרמטר הזה לערך שגדול מ-0.0 ועד 1.0 (כל היומנים, ברירת מחדל). מידע נוסף זמין במאמר בנושא דגימה ועיבוד של יומנים.
  • ‫LOGGING_METADATA: הערות המטא-נתונים שרוצים לכלול ביומנים:
    • משתמשים ב-INCLUDE_ALL_METADATA כדי לכלול את כל הערות המטא-נתונים (ברירת מחדל).
    • משתמשים ב-EXCLUDE_ALL_METADATA כדי להחריג את כל הערות המטא-נתונים.
    • משתמשים ב-CUSTOM_METADATA כדי לכלול רשימה מותאמת אישית של שדות מטא-נתונים. כדי לציין את שדות המטא-נתונים, משתמשים בפרמטר metadataFields:
      • ‫metadataFields: METADATA_FIELDS: מחליפים את METADATA_FIELDS ברשימה מופרדת בפסיקים של שדות מטא-נתונים שרוצים לכלול ביומנים. לדוגמה: src_instance,dst_instance. אפשר להגדיר את הערך הזה רק אם בשדה metadata מגדירים את הערך CUSTOM_METADATA.
  • ‫CROSS_PROJECT_METADATA: הערות חוצות פרויקטים. אפשר להגדיר את הערך CROSS_PROJECT_METADATA_ENABLED (ברירת מחדל) או CROSS_PROJECT_METADATA_DISABLED. מידע נוסף זמין במאמר בנושא הערות חוצות פרויקטים.

כשמפעילים את התכונה VPC Flow Logs בארגון, יומני הזרימה נכתבים ומחויבים בפרויקט של המשאב שמדווח על יומני הזרימה. Google Cloud מידע נוסף זמין במאמר בנושא תמחור וחיוב.

הצגת סטטוס ההגדרה של VPC Flow Logs

כדי לבדוק באילו משאבים מופעלים יומני זרימה של VPC, אפשר לעיין בהגדרות של יומני הזרימה של VPC. כדי לראות את כל ההגדרות, אפשר לעיין במאמר צפייה בהגדרות של יומני זרימה של VPC (הכול). אם אתם משתמשים ב-Compute Engine API כדי להפעיל ולנהל יומני זרימה של VPC, כדאי לעיין במאמר הצגת ההגדרות של יומני זרימה של VPC (Compute Engine API בלבד).

הצגת ההגדרות של VPC Flow Logs (הכול)

המסוף

כדי לראות את כל ההגדרות של יומני הזרימה של VPC:

  1. נכנסים לדף VPC Flow Logs במסוף Google Cloud .

    מעבר אל VPC Flow Logs

  2. בקטעים Organization-level configurations (הגדרות ברמת הארגון) ו-Project-level configurations (הגדרות ברמת הפרויקט), אפשר לראות את ההגדרות הפעילות והמושהות. אם הסטטוס של הגדרת יומני זרימה של VPC עבור משאב הוא On, המשמעות היא שהרישום ביומן מופעל.

אפשר גם לראות את ההגדרות של יומני הזרימה של VPC בעמודה Flow log configs בדף המשאב. לדוגמה, כדי לראות אילו רשתות VPC ורשתות משנה כוללות הגדרות של VPC Flow Logs:

  1. עוברים לדף רשתות VPC.

    מעבר לרשתות VPC

  2. לוחצים על הכרטיסייה Networks in current project (רשתות בפרויקט הנוכחי) או על הכרטיסייה Subnets in current project (רשתות משנה בפרויקט הנוכחי). בעמודה Flow log configs (הגדרות של יומני זרימה), אפשר לראות את ההגדרות הפעילות והמושהות של יומני הזרימה של VPC.

gcloud

כדי לראות את ההגדרות של VPC Flow Logs, משתמשים בפקודות gcloud network-management vpc-flow-logs-configs list ו-gcloud network-management vpc-flow-logs-configs describe.

הצגת ההגדרות ברמת הארגון

  • כדי לראות את כל ההגדרות של יומני התנועה ב-VPC בארגון, מריצים את הפקודה הבאה:

    gcloud network-management vpc-flow-logs-configs list --location=global \
    --organization=ORGANIZATION

  • כדי לראות הגדרה ספציפית של יומני זרימה של VPC, מריצים את הפקודה הבאה:

    gcloud network-management vpc-flow-logs-configs describe CONFIG_NAME \
    --location=global \
    --organization=ORGANIZATION

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫ORGANIZATION: מזהה הארגון
    • ‫CONFIG_NAME: השם של ההגדרה

צפייה בהגדרות ברמת הפרויקט

  • כדי לראות את כל ההגדרות של יומני הזרימה של VPC בפרויקט, מריצים את הפקודה הבאה:

    gcloud network-management vpc-flow-logs-configs list --location=global

  • כדי לראות הגדרה ספציפית של יומני זרימה של VPC, מריצים את הפקודה הבאה:

    gcloud network-management vpc-flow-logs-configs describe CONFIG_NAME \
    --location=global

    מחליפים את CONFIG_NAME בשם של הגדרת היומנים של תעבורת ה-VPC שרוצים להציג.

הצגת כל ההגדרות של משאב

כדי לראות את כל ההגדרות של VPC Flow Logs ברשת VPC, ברשת משנה, בצירוף ל-VLAN או במנהרת VPN, מריצים את הפקודה הבאה:

gcloud network-management vpc-flow-logs-configs show-effective-flow-logs-configs \
    --location=global \
    --resource=TARGET_RESOURCE

מחליפים את TARGET_RESOURCE באחד מהמשאבים הבאים:

  • ‫"projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET": מציג את כל ההגדרות של תת-הרשת, כולל:

    • כל ההגדרות שבהן רשת המשנה היא משאב היעד
    • כל ההגדרות של רשת ה-VPC של רשת המשנה
    • כל ההגדרות של הארגון שהוא הבעלים של הפרויקט של רשת המשנה

    • ‫Compute Engine API בלבד: ההגדרה של יומני הזרימה של VPC ברשת המשנה

      כדי לזהות את ההגדרה בפלט, מחפשים את "scope": "COMPUTE_API_SUBNET". ההגדרה הזו לא קיימת אם אתם משתמשים רק ב-Network Management API כדי להגדיר יומני זרימה של VPC.

  • ‫"projects/PROJECT_ID/regions/REGION/interconnectAttachments/VLAN_ATTACHMENT": מציג את כל ההגדרות של הצירוף ל-VLAN, כולל:

    • כל ההגדרות שבהן הצירוף ל-VLAN הוא משאב היעד
    • כל ההגדרות של רשת ה-VPC של קובץ ה-VLAN
    • כל ההגדרות של הארגון שהוא הבעלים של הפרויקט של הצירוף ל-VLAN

  • "projects/PROJECT_ID/regions/REGION/vpnTunnels/VPN_TUNNEL": מציג את כל ההגדרות של מנהרת Cloud VPN, כולל:

    • כל ההגדרות שבהן מנהרת Cloud VPN היא משאב היעד
    • כל ההגדרות של רשת ה-VPC של מנהרת Cloud VPN
    • כל ההגדרות של הארגון שבבעלותו הפרויקט של מנהרת Cloud VPN

  • ‫"projects/PROJECT_ID/global/networks/NETWORK": מציג את כל ההגדרות של רשת ה-VPC, כולל:

    • כל ההגדרות שבהן הרשת היא משאב היעד
    • כל ההגדרות של הארגון שהוא הבעלים של הפרויקט ברשת

כשמציינים את משאב היעד, מחליפים את הערכים הבאים:

  • ‫PROJECT_ID: מזהה הפרויקט של משאב היעד
  • ‫REGION: האזור של משאב היעד, אם המשאב הוא רשת משנה, צירוף ל-VLAN או מנהרת VPN
  • ‫SUBNET: השם של תת-הרשת
  • ‫VLAN_ATTACHMENT: השם של הצירוף ל-VLAN
  • ‫VPN_TUNNEL: השם של מנהרת ה-VPN
  • ‫NETWORK: השם של הרשת

API

הצגת ההגדרות ברמת הארגון

  • כדי לראות את כל ההגדרות של יומני הזרימה של VPC בארגון, משתמשים בשיטה organizations.locations.vpcFlowLogsConfigs.list:

    GET -H "x-goog-user-project:PROJECT_ID" https://networkmanagement.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/vpcFlowLogsConfigs

  • כדי להציג הגדרה ספציפית של יומני זרימה של VPC בארגון, משתמשים בשיטה organizations.locations.vpcFlowLogsConfigs.get:

    GET -H "x-goog-user-project:PROJECT_ID" https://networkmanagement.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/vpcFlowLogsConfigs/CONFIG_NAME

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫PROJECT_ID: מזהה פרויקט המכסה. בקשות API נספרות בפרויקט הזה.
    • ‫ORGANIZATION_ID: מזהה הארגון.
    • ‫CONFIG_NAME: השם של ההגדרה.

  • אם אין לכם את ההרשאות הנדרשות לביצוע המשימות הקודמות ברמת הארגון, אתם יכולים להשתמש בבקשה הבאה כדי לראות את כל ההגדרות של יומני הזרימה של VPC בארגון של הפרויקט שלכם:

    GET https://networkmanagement.googleapis.com/v1/projects/PROJECT_ID/locations/global/vpcFlowLogsConfigs:queryOrgVpcFlowLogsConfigs

    מחליפים את PROJECT_ID במזהה הפרויקט.

צפייה בהגדרות ברמת הפרויקט

  • כדי לראות את כל ההגדרות של VPC Flow Logs בפרויקט, משתמשים בשיטה projects.locations.vpcFlowLogsConfigs.list:

    GET https://networkmanagement.googleapis.com/v1/projects/PROJECT_ID/locations/global/vpcFlowLogsConfigs

  • כדי להציג הגדרה ספציפית של יומני זרימה של VPC, משתמשים בשיטה projects.locations.vpcFlowLogsConfigs.get:

    GET https://networkmanagement.googleapis.com/v1/projects/PROJECT_ID/locations/global/vpcFlowLogsConfigs/CONFIG_NAME

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫PROJECT_ID: מזהה הפרויקט
    • ‫CONFIG_NAME: השם של ההגדרה של VPC Flow Logs

הצגת כל ההגדרות של משאב

כדי להציג את כל ההגדרות של יומני הזרימה של VPC ברשת VPC, ברשת משנה, בצירוף ל-VLAN או במנהרת VPN, משתמשים בבקשה הבאה:

  GET https://networkmanagement.googleapis.com/v1/projects/PROJECT_ID/locations/global/vpcFlowLogsConfigs:showEffectiveFlowLogsConfigs?resource="TARGET_RESOURCE"

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: המזהה של Google Cloud הפרויקט

  • ‫TARGET_RESOURCE: אחד ממשאבי היעד הבאים:

    • ‫projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET: מציג את כל ההגדרות של תת-הרשת, כולל:

      • כל ההגדרות שבהן רשת המשנה היא משאב היעד
      • כל ההגדרות של רשת ה-VPC של רשת המשנה
      • כל ההגדרות של הארגון שהוא הבעלים של הפרויקט של רשת המשנה

      • ‫Compute Engine API בלבד: ההגדרה של יומני הזרימה של VPC ברשת המשנה

        כדי לזהות את ההגדרה בפלט, מחפשים את "scope": "COMPUTE_API_SUBNET". ההגדרה הזו לא קיימת אם אתם משתמשים רק ב-Network Management API כדי להגדיר יומני זרימה של VPC.

    • ‫projects/PROJECT_ID/regions/REGION/interconnectAttachments/VLAN_ATTACHMENT: מציג את כל ההגדרות של הצירוף ל-VLAN, כולל:

      • כל ההגדרות שבהן הצירוף ל-VLAN הוא משאב היעד
      • כל ההגדרות של רשת ה-VPC של קובץ ה-VLAN
      • כל ההגדרות של הארגון שהוא הבעלים של הפרויקט של הצירוף ל-VLAN

    • projects/PROJECT_ID/regions/REGION/vpnTunnels/VPN_TUNNEL: lists all configurations for the Cloud VPN tunnel, including the following:

      • כל ההגדרות שבהן מנהרת Cloud VPN היא משאב היעד
      • כל ההגדרות של רשת ה-VPC של מנהרת Cloud VPN
      • כל ההגדרות של הארגון שבבעלותו הפרויקט של מנהרת Cloud VPN

    • ‫projects/PROJECT_ID/global/networks/NETWORK: מציג את כל ההגדרות של רשת ה-VPC, כולל:

      • כל ההגדרות שבהן הרשת היא משאב היעד
      • כל ההגדרות של הארגון שהוא הבעלים של הפרויקט ברשת

    כשמציינים את משאב היעד, מחליפים את הערכים הבאים:

    • ‫PROJECT_ID: מזהה הפרויקט של משאב היעד
    • ‫REGION: האזור של משאב היעד, אם המשאב הוא רשת משנה, צירוף ל-VLAN או מנהרת VPN
    • ‫SUBNET: השם של תת-הרשת
    • ‫VLAN_ATTACHMENT: השם של הצירוף ל-VLAN
    • ‫VPN_TUNNEL: השם של מנהרת ה-VPN
    • ‫NETWORK: השם של הרשת

הצגת ההגדרות של יומני זרימה של VPC (דרך Compute Engine API בלבד)

בקטע הזה מוסבר איך לראות אילו הגדרות של יומני תנועה ב-VPC עבור רשתות משנה מנוהלות על ידי Compute Engine API. כדי לראות את כל ההגדרות של יומני הזרימה של VPC, אפשר לעיין במאמר בנושא הצגת ההגדרות של יומני הזרימה של VPC.

המסוף

  1. נכנסים לדף VPC Flow Logs במסוף Google Cloud .

    מעבר אל VPC Flow Logs

  2. בקטע Project-level configurations (הגדרות ברמת הפרויקט), לוחצים על הכרטיסייה Subnets (Compute Engine API) (רשתות משנה (Compute Engine API)) כדי לראות באילו רשתות משנה בפרויקט מופעלים יומני זרימה של VPC.

    התצורות האלה מנוהלות על ידי Compute Engine API. הגדרות שמנוהלות על ידי Network Management API מוצגות בכרטיסייה Subnets.

gcloud

כדי לראות באילו רשתות משנה ברשת VPC מופעלים יומני תעבורה של VPC, מריצים את הפקודה הבאה:

gcloud compute networks subnets list \
    --project PROJECT_ID \
    --network="NETWORK" \
    --format="csv(name,region,logConfig.enable)"

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה הפרויקט שאתם שולחים אליו את השאילתה
  • ‫NETWORK: השם של הרשת שמכילה את רשתות המשנה

עדכון ההגדרה של VPC Flow Logs

אפשר לעדכן את ההגדרה של VPC Flow Logs. מידע נוסף על הפרמטרים שאפשר לשנות זמין במאמר בנושא דגימה ועיבוד של יומנים.

עדכון הגדרה ברמת הארגון

כשמעדכנים את ההגדרה של יומני זרימה של VPC בארגון, ההגדרה המעודכנת חלה על כל רשתות המשנה, על כל חיבורי ה-VLAN ועל כל מנהרות Cloud VPN בכל רשתות ה-VPC בארגון.

המסוף

  1. נכנסים לדף VPC Flow Logs במסוף Google Cloud .

    מעבר אל VPC Flow Logs

  2. בקטע הגדרות ברמת הארגון, בוחרים הגדרה אחת או יותר שרוצים לעדכן ולוחצים על עריכה.

  3. משנים את ההגדרות הבאות:

    • Aggregation interval. כברירת מחדל, מרווח הצבירה מוגדר ל-5 שניות.
    • האם להגדיר את הסטטוס של ההגדרה של יומני הזרימה של ה-VPC כפעיל או כלא פעיל. הסטטוס פעיל מציין שההגדרה שנבחרה של יומני הזרימה של ה-VPC פעילה ומייצרת יומני זרימה.
    • האם להגדיר סינון של יומנים. כברירת מחדל, האפשרות שמירת יומנים שתואמים למסנן בלבד לא מסומנת.
    • האם לכלול הערות חוצות פרויקטים. כברירת מחדל, האפשרות הערות מטא-נתונים בין פרויקטים מסומנת. מידע נוסף זמין במאמר בנושא הערות חוצות פרויקטים.
    • האם לכלול מטא-נתונים ברשומות הסופיות ביומן. כברירת מחדל, הערות מטא-נתונים כוללות את כל השדות.
    • תדירות הדגימה המשנית. ‫100% פירושו שכל הרשומות שנוצרו על ידי תהליך הדגימה הראשי של יומן התנועה נשמרות. אי אפשר להגדיר את קצב הדגימה של יומן זרימת הנתונים הראשי. מידע נוסף זמין במאמר בנושא דגימה ועיבוד של יומנים.

  4. לוחצים על Save.

gcloud

משתמשים בפקודה gcloud network-management vpc-flow-logs-configs update. הסוגריים המרובעים [] בפקודות הבאות מציינים פרמטרים אופציונליים.

כדי לעדכן את ההגדרה של יומני זרימה של VPC בארגון, מריצים את הפקודה הבאה:

gcloud network-management vpc-flow-logs-configs update CONFIG_NAME \
    --location=global \
    --organization=ORGANIZATION \
    [--aggregation-interval=AGGREGATION_INTERVAL] \
    [--filter-expr=FILTER_EXPRESSION] \
    [--flow-sampling=SAMPLING_RATE] \
    [--metadata=LOGGING_METADATA] \
    [--cross-project-metadata=CROSS_PROJECT_METADATA] \
    [--state=STATE]

לדוגמה, כדי לעדכן את הפרמטר של מרווח הצבירה, מריצים את הפקודה הבאה:

gcloud network-management vpc-flow-logs-configs update CONFIG_NAME \
    --location=global \
    --organization=ORGANIZATION \
    --aggregation-interval=AGGREGATION_INTERVAL

מחליפים את מה שכתוב בשדות הבאים:

  • ‫CONFIG_NAME: השם של ההגדרה שרוצים לעדכן. ההגדרה נמצאת באותו פרויקט Google Cloud כמו המשאב שההגדרה משמשת עבורו.
  • ‫ORGANIZATION: מזהה הארגון.

כדי לעדכן את הפרמטרים האופציונליים, מחליפים את הערכים הבאים:

  • ‫AGGREGATION_INTERVAL: מרווח הצבירה של יומני התנועה שנוצרו על ידי ההגדרה הזו. אפשר להגדיר את הפרמטר הזה לערכים interval-5-sec(ברירת מחדל), interval-30-sec, interval-1-min, interval-5-min, interval-10-min או interval-15-min.
  • ‫FILTER_EXPRESSION: ביטוי שמגדיר אילו יומנים רוצים לשמור. האורך של הביטוי מוגבל ל-2,048 תווים. מידע נוסף מופיע במאמרים בנושא סינון יומנים ודוגמאות למסנני יומנים.
  • ‫SAMPLING_RATE: תדירות הדגימה של הזרימה המשנית. אפשר להגדיר את הפרמטר הזה לערך שגדול מ-0.0 ועד 1.0 (כל היומנים, ברירת מחדל). מידע נוסף זמין במאמר בנושא דגימה ועיבוד של יומנים.
  • ‫LOGGING_METADATA: הערות המטא-נתונים שרוצים לכלול ביומנים:
    • משתמשים ב-include-all-metadata כדי לכלול את כל הערות המטא-נתונים (ברירת מחדל).
    • משתמשים ב-exclude-all-metadata כדי להחריג את כל הערות המטא-נתונים.
    • משתמשים ב-custom-metadata כדי לכלול רשימה מותאמת אישית של שדות מטא-נתונים. כדי לציין את שדות המטא-נתונים, משתמשים בדגל --metadata-fields:
      • ‫--metadata-fields=METADATA_FIELDS: מחליפים את METADATA_FIELDS ברשימה מופרדת בפסיקים של שדות מטא-נתונים שרוצים לכלול ביומנים. לדוגמה: src_instance,dst_instance. אפשר להגדיר את הערך רק אם בשדה metadata מגדירים את הערך custom-metadata.
  • ‫CROSS_PROJECT_METADATA: הערות חוצות פרויקטים. אפשר להגדיר את הערך cross-project-metadata-enabled (ברירת מחדל) או cross-project-metadata-disabled. מידע נוסף זמין במאמר בנושא הערות חוצות פרויקטים.
  • STATE: המצב של ההגדרה. הערך יכול להיות enabled (ברירת מחדל) או disabled.

API

משתמשים בשיטה organizations.locations.vpcFlowLogsConfigs.patch. מידע על השדות שאפשר לשנות זמין במאמר בנושא משאב REST: ‏ projects.locations.vpcFlowLogsConfigs.

כדי לעדכן את ההגדרה של יומני תנועה ב-VPC בארגון, צריך לכלול את הפרמטרים הבאים בבקשת ה-API:

PATCH -H "x-goog-user-project:PROJECT_ID" https://networkmanagement.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/vpcFlowLogsConfigs/CONFIG_NAME?updateMask=FIELDS
{
  ...fields to modify
}

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה פרויקט המכסה. בקשות API נספרות בפרויקט הזה. מידע נוסף זמין בדף Quotas and System Limits במסוף Google Cloud .
  • ‫ORGANIZATION_ID: המזהה של הארגון שעבורו נעשה שימוש בהגדרה.
  • ‫CONFIG_NAME: השם של ההגדרה שרוצים לעדכן.
  • ‫FIELDS: השם של השדה או השדות שרוצים לעדכן, מופרדים בפסיקים. לדוגמה, aggregationInterval,flowSampling,metadata.

לדוגמה, כדי לעדכן את השדה aggregationInterval בהגדרה my-config ב-my-organization, משתמשים בבקשת ה-API הבאה:

PATCH -H "x-goog-user-project:PROJECT_ID" https://networkmanagement.googleapis.com/v1/organizations/my-organization/locations/global/vpcFlowLogsConfigs/my-config?updateMask=aggregationInterval
{
  aggregationInterval:AGGREGATION_INTERVAL
}

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה פרויקט המכסה. בקשות API נספרות בפרויקט הזה.
  • ‫AGGREGATION_INTERVAL עם כל אחד מהערכים הנתמכים של הפרמטר הזה.

עדכון הגדרה ברמת הפרויקט

הגדרות ברמת הפרויקט כוללות הגדרות של רשתות VPC, רשתות משנה, קבצים מצורפים של VLAN ומנהרות Cloud VPN. כשמעדכנים את ההגדרה של יומני זרימה של VPC ברשת VPC, ההגדרה המעודכנת חלה על כל רשתות המשנה, חיבורי ה-VLAN ומנהרות Cloud VPN ברשת.

כדי לעדכן הגדרה של יומני תנועה ב-VPC שמנוהלת על ידי Compute Engine API, אפשר לעיין במאמר עדכון פרמטרים של הגדרות לרשתות משנה.

המסוף

  1. נכנסים לדף VPC Flow Logs במסוף Google Cloud .

    מעבר אל VPC Flow Logs

  2. בקטע Project-level configurations (הגדרות ברמת הפרויקט), בוחרים הגדרה אחת או יותר שרוצים לעדכן ולוחצים על Edit (עריכה).

  3. משנים את ההגדרות הבאות:

    • Aggregation interval. כברירת מחדל, מרווח הצבירה מוגדר ל-5 שניות.
    • האם להגדיר את הסטטוס של ההגדרה של יומני הזרימה של ה-VPC כפעיל או כלא פעיל. הסטטוס פעיל מציין שההגדרה שנבחרה של יומני הזרימה של ה-VPC פעילה ומייצרת יומני זרימה.
    • האם להגדיר סינון של יומנים. כברירת מחדל, האפשרות שמירת יומנים שתואמים למסנן בלבד לא מסומנת.
    • האם לכלול מטא-נתונים ברשומות הסופיות ביומן. כברירת מחדל, הערות מטא-נתונים כוללות את כל השדות.
    • תדירות הדגימה המשנית. ‫100% פירושו שכל הרשומות שנוצרו על ידי תהליך הדגימה הראשי של יומן התנועה נשמרות. אי אפשר להגדיר את קצב הדגימה של יומן זרימת הנתונים הראשי. מידע נוסף זמין במאמר בנושא דגימה ועיבוד של יומנים.

  4. לוחצים על Save.

אפשר גם להשתמש בתפריט  Manage flow logs במיקומים הבאים כדי לערוך את ההגדרות של VPC Flow Logs:

  • הכרטיסיות Networks in current project (רשתות בפרויקט הנוכחי) ו-Subnets in current project (רשתות משנה בפרויקט הנוכחי) בדף VPC networks (רשתות VPC)
  • הכרטיסייה VLAN attachments בדף Interconnect
  • הכרטיסייה מנהרות VPN בדף VPN

gcloud

משתמשים בפקודה gcloud network-management vpc-flow-logs-configs update. הסוגריים המרובעים [] בפקודה הבאה מציינים פרמטרים אופציונליים.

gcloud network-management vpc-flow-logs-configs update CONFIG_NAME \
    --location=global \
    [--network=NETWORK | --subnet=SUBNET | --interconnect-attachment=VLAN_ATTACHMENT | --vpn-tunnel=VPN_TUNNEL] \
    [--aggregation-interval=AGGREGATION_INTERVAL] \
    [--filter-expr=FILTER_EXPRESSION] \
    [--flow-sampling=SAMPLING_RATE] \
    [--metadata=LOGGING_METADATA] \
    [--state=STATE]

לדוגמה, כדי לעדכן את הפרמטר של מרווח הצבירה, מריצים את הפקודה הבאה:

gcloud network-management vpc-flow-logs-configs update CONFIG_NAME \
    --location=global \
    --aggregation-interval=AGGREGATION_INTERVAL

מחליפים את מה שכתוב בשדות הבאים:

  • ‫CONFIG_NAME: השם של ההגדרה שרוצים לעדכן. ההגדרה נמצאת באותו פרויקט Google Cloud כמו המשאב שההגדרה משמשת עבורו.

כדי לעדכן את הפרמטרים האופציונליים, מחליפים את הערכים הבאים:

  • ‫NETWORK, ‏ SUBNET, VLAN_ATTACHMENT, או VPN_TUNNEL: שם משאב היעד. אפשר לציין רק משאב אחד לכל הגדרה. אפשר להשתמש באפשרות הזו כדי לעדכן את השם של משאב היעד. צריך לציין את הערך בפורמט הבא:
    • רשת VPC: projects/PROJECT_ID/global/networks/NAME
    • תת-רשת: projects/PROJECT_ID/regions/REGION/subnetworks/NAME
    • צירוף ל-VLAN: projects/PROJECT_ID/regions/REGION/interconnectAttachments/NAME
    • מנהרת Cloud VPN: projects/PROJECT_ID/regions/REGION/vpnTunnels/NAME
    • מחליפים את מה שכתוב בשדות הבאים:
      • ‫PROJECT_ID: המזהה של Google Cloud הפרויקט שמכיל את המשאב.
      • ‫REGION: האזור של המשאב.
      • ‫NAME: שם המשאב.
  • ‫AGGREGATION_INTERVAL: מרווח הצבירה של יומני התנועה שנוצרו על ידי ההגדרה הזו. אפשר להגדיר את הפרמטר הזה לערכים interval-5-sec(ברירת מחדל), interval-30-sec, interval-1-min, interval-5-min, interval-10-min או interval-15-min.
  • ‫FILTER_EXPRESSION: ביטוי שמגדיר אילו יומנים רוצים לשמור. האורך של הביטוי מוגבל ל-2,048 תווים. מידע נוסף מופיע במאמרים בנושא סינון יומנים ודוגמאות למסנני יומנים.
  • ‫SAMPLING_RATE: תדירות הדגימה של הזרימה המשנית. אפשר להגדיר את הפרמטר הזה לערך שגדול מ-0.0 ועד 1.0 (כל היומנים, ברירת מחדל). מידע נוסף זמין במאמר בנושא דגימה ועיבוד של יומנים.
  • ‫LOGGING_METADATA: הערות המטא-נתונים שרוצים לכלול ביומנים:
    • משתמשים ב-include-all-metadata כדי לכלול את כל הערות המטא-נתונים (ברירת מחדל).
    • משתמשים ב-exclude-all-metadata כדי להחריג את כל הערות המטא-נתונים.
    • משתמשים ב-custom-metadata כדי לכלול רשימה מותאמת אישית של שדות מטא-נתונים. כדי לציין את שדות המטא-נתונים, משתמשים בדגל --metadata-fields:
      • ‫--metadata-fields=METADATA_FIELDS: מחליפים את METADATA_FIELDS ברשימה מופרדת בפסיקים של שדות מטא-נתונים שרוצים לכלול ביומנים. לדוגמה: src_instance,dst_instance. אפשר להגדיר את הערך רק אם בשדה metadata מגדירים את הערך custom-metadata.
  • STATE: המצב של ההגדרה. הערך יכול להיות enabled (ברירת מחדל) או disabled.

API

משתמשים בשיטה projects.locations.vpcFlowLogsConfigs.patch. מידע על השדות שאפשר לשנות זמין במאמר בנושא משאב REST: ‏ projects.locations.vpcFlowLogsConfigs.

כדי לעדכן את ההגדרה של יומני זרימה של VPC, צריך לכלול את הפרמטרים הבאים בבקשת ה-API:

PATCH https://networkmanagement.googleapis.com/v1/projects/PROJECT_ID/locations/global/vpcFlowLogsConfigs/CONFIG_NAME?updateMask=FIELDS
{
  ...fields to modify
}

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה Google Cloud הפרויקט שמכיל את ההגדרה של VPC Flow Logs. המזהה הזה זהה למזהה הפרויקט של המשאב שבו נעשה שימוש בהגדרה.
  • ‫CONFIG_NAME: השם של ההגדרה שרוצים לעדכן.
  • ‫FIELDS: השם של השדה או השדות שרוצים לעדכן, מופרדים בפסיקים. לדוגמה, aggregationInterval,flowSampling,metadata.

לדוגמה, כדי לעדכן את השדה aggregationInterval בהגדרה my-config ב-my-project, משתמשים בבקשת ה-API הבאה:

PATCH https://networkmanagement.googleapis.com/v1/projects/my-project/locations/global/vpcFlowLogsConfigs/my-config?updateMask=aggregationInterval
{
  aggregationInterval:AGGREGATION_INTERVAL
}

מחליפים את AGGREGATION_INTERVAL באחד מהערכים הנתמכים של הפרמטר הזה.

עדכון פרמטרים של הגדרות עבור רשתות משנה

בקטע הזה מוסבר איך לעדכן הגדרה של יומני תנועה ב-VPC שמנוהלת על ידי Compute Engine API.

כדי לראות אילו הגדרות של יומני זרימה של VPC מנוהלות על ידי Compute Engine API, אפשר לעיין במאמר בנושא הצגת רשתות משנה ברשת שבה מופעלים יומני זרימה של VPC.

המסוף

  1. נכנסים לדף VPC networks במסוף Google Cloud .

    מעבר לרשתות VPC

  2. בקטע Subnets in current project (רשתות משנה בפרויקט הנוכחי), לוחצים על רשת המשנה שרוצים לעדכן.

  3. לוחצים על Edit.

  4. אופציונלי: משנים את ההגדרות הבאות:

    • Aggregation interval. כברירת מחדל, מרווח הצבירה מוגדר ל-5 שניות.
    • האם להגדיר סינון של יומנים. כברירת מחדל, האפשרות שמירת יומנים שתואמים למסנן בלבד לא מסומנת.
    • האם לכלול מטא-נתונים ברשומות הסופיות ביומן. כברירת מחדל, הערות מטא-נתונים כוללות את כל השדות.
    • תדירות הדגימה המשנית. ‫50% אומר שחצי מהרשומות שנוצרו על ידי תהליך הדגימה של יומן הזרימה הראשי נשמרות. אי אפשר להגדיר את קצב הדגימה של יומן זרימת הנתונים הראשי. מידע נוסף זמין במאמר בנושא דגימה ועיבוד של יומנים.

  5. לוחצים על Save.

לחלופין, אפשר לעדכן את פרמטרי ההגדרה של VPC Flow Logs באמצעות התפריט  Manage flow logs בקטע Subnets in current project בדף VPC networks.

gcloud

מריצים את הפקודה הבאה:

gcloud compute networks subnets update SUBNET_NAME \
    [--logging-aggregation-interval=AGGREGATION_INTERVAL] \
    [--logging-flow-sampling=SAMPLING_RATE] \
    [--logging-filter-expr=FILTER_EXPRESSION] \
    [--logging-metadata=LOGGING_METADATA] \
    [--logging-metadata-fields=METADATA_FIELDS] \

מחליפים את מה שכתוב בשדות הבאים:

  • ‫AGGREGATION_INTERVAL: מרווח הצבירה של יומני התנועה בתת-הרשת הזו. אפשר להגדיר את המרווח לכל אחת מהאפשרויות הבאות: 5 שניות (ברירת מחדל), 30 שניות, דקה אחת, 5 דקות, 10 דקות או 15 דקות.
  • ‫SAMPLING_RATE: תדירות הדגימה של הזרימה המשנית. אפשר להגדיר את הדגימה של זרימת הנתונים המשנית מ-0.0 (ללא דגימה) עד 1.0 (כל היומנים). ערך ברירת המחדל הוא 0.5. מידע נוסף זמין במאמר בנושא דגימה ועיבוד של יומנים.
  • ‫FILTER_EXPRESSION: ביטוי שמגדיר אילו יומנים רוצים לשמור. האורך של הביטוי מוגבל ל-2,048 תווים. מידע נוסף זמין במאמרים בנושא סינון יומנים ודוגמאות למסנני יומנים.

  • ‫LOGGING_METADATA: הערות המטא-נתונים שרוצים לכלול ביומנים:

    • כדי לכלול את כל הערות המטא-נתונים, משתמשים ב-include-all.
    • משתמשים ב-exclude-all כדי להחריג את כל הערות המטא-נתונים (ברירת מחדל).
    • משתמשים ב-custom כדי לכלול רשימה מותאמת אישית של שדות מטא-נתונים שצוינו ב-METADATA_FIELDS.

  • ‫METADATA_FIELDS: רשימה מופרדת בפסיקים של שדות מטא-נתונים שרוצים לכלול ביומנים. לדוגמה, src_instance,dst_instance. אפשר להגדיר את ההגדרה הזו רק אם ההגדרה של LOGGING_METADATA היא custom.

API

משנים את השדות של דגימת היומן כדי לעדכן את ההתנהגויות של VPC Flow Logs.

PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME
{
  "logConfig": {
    ...fields to modify
  },
  "fingerprint": "SUBNET_FINGERPRINT"
}

מחליפים את מה שכתוב בשדות הבאים:

למידע נוסף, עיינו בשיטה subnetworks.patch.

הפסקת איסוף היומנים

כדי להשהות את איסוף היומנים של משאב מסוים, צריך להשבית את כל ההגדרות הפעילות של יומני תעבורה ב-VPC.

אם אתם לא צריכים יותר הגדרה של יומני זרימה של VPC, אתם יכולים למחוק את ההגדרה. איסוף היומנים נפסק וההגדרה נמחקת.

כדי להפסיק את איסוף היומנים ולמחוק הגדרה של יומני זרימה של VPC שמנוהלת על ידי Compute Engine API, אפשר לעיין במאמר בנושא השבתה של יומני זרימה של VPC עבור רשת משנה.

השבתה של הגדרת VPC Flow Logs

המסוף

  1. נכנסים לדף VPC Flow Logs במסוף Google Cloud .

    מעבר אל VPC Flow Logs

  2. בקטעים הגדרות ברמת הארגון או הגדרות ברמת הפרויקט, בוחרים הגדרה אחת או יותר של יומני תנועה ב-VPC שרוצים להשבית, ומשנים את סטטוס ההגדרה להשבתה.

    אם הבחירה כוללת הגדרות פעילות ולא פעילות, בתפריט Change configuration status (שינוי סטטוס ההגדרה), לוחצים על Turn all off (השבתה של הכול).

gcloud

כדי להשהות את איסוף היומנים בהגדרה של יומני זרימה של VPC, משתמשים בפקודה gcloud network-management vpc-flow-logs-configs update.

השהיה של הגדרה ברמת הארגון

gcloud network-management vpc-flow-logs-configs update CONFIG_NAME \
    --location=global \
    --organization=ORGANIZATION \
    --state=disabled

מחליפים את מה שכתוב בשדות הבאים:

  • ‫CONFIG_NAME: השם של ההגדרה
  • ‫ORGANIZATION: מזהה הארגון

השהיה של הגדרה ברמת הפרויקט

gcloud network-management vpc-flow-logs-configs update CONFIG_NAME \
    --location=global \
    --state=disabled

מחליפים את CONFIG_NAME בשם של ההגדרה.

API

השהיה של הגדרה ברמת הארגון

כדי להשהות את איסוף היומנים, משתמשים בשיטה organizations.locations.vpcFlowLogsConfigs.patch.

PATCH -H "x-goog-user-project:PROJECT_ID" https://networkmanagement.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/vpcFlowLogsConfigs/CONFIG_NAME?updateMask=state
{
  "state": "DISABLED"
}

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה פרויקט המכסה. בקשות API נספרות בפרויקט הזה.
  • ‫ORGANIZATION_ID: מזהה הארגון.
  • ‫CONFIG_NAME: השם של ההגדרה.

השהיה של הגדרה ברמת הפרויקט

כדי להשהות את איסוף היומנים, משתמשים בשיטה projects.locations.vpcFlowLogsConfigs.patch.

PATCH https://networkmanagement.googleapis.com/v1/projects/PROJECT_ID/locations/global/vpcFlowLogsConfigs/CONFIG_NAME?updateMask=state
{
  "state": "DISABLED"
}

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: המזהה של Google Cloud הפרויקט שמכיל את ההגדרה. המזהה הזה זהה למזהה הפרויקט של המשאב שבו נעשה שימוש בהגדרה.
  • ‫CONFIG_NAME: השם של ההגדרה.

מחיקה של הגדרות VPC Flow Logs

המסוף

  1. נכנסים לדף VPC Flow Logs במסוף Google Cloud .

    מעבר אל VPC Flow Logs

  2. בקטעים הגדרות ברמת הארגון או הגדרות ברמת הפרויקט, בוחרים הגדרה אחת או יותר של יומני תנועה ב-VPC שרוצים למחוק ולוחצים על מחיקה.

gcloud

כדי למחוק הגדרה של יומני זרימה של VPC, משתמשים בפקודה gcloud network-management vpc-flow-logs-configs delete.

מחיקת הגדרה ברמת הארגון

gcloud network-management vpc-flow-logs-configs delete CONFIG_NAME \
    --location=global \
    --organization=ORGANIZATION

מחליפים את מה שכתוב בשדות הבאים:

  • ‫CONFIG_NAME: השם של ההגדרה
  • ‫ORGANIZATION: מזהה הארגון

מחיקה של הגדרה ברמת הפרויקט

gcloud network-management vpc-flow-logs-configs delete CONFIG_NAME \
    --location=global

מחליפים את CONFIG_NAME בשם של ההגדרה שרוצים למחוק.

API

מחיקת הגדרה ברמת הארגון

כדי למחוק הגדרה של יומני זרימה של VPC, משתמשים בשיטה organizations.locations.vpcFlowLogsConfigs.delete.

DELETE -H "x-goog-user-project:PROJECT_ID" https://networkmanagement.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/vpcFlowLogsConfigs/CONFIG_NAME

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה פרויקט המכסה. בקשות API נספרות בפרויקט הזה.
  • ‫ORGANIZATION_ID: מזהה הארגון.
  • ‫CONFIG_NAME: השם של ההגדרה.

מחיקה של הגדרה ברמת הפרויקט

כדי למחוק הגדרה של VPC Flow Logs, משתמשים בשיטה projects.locations.vpcFlowLogsConfigs.delete.

DELETE https://networkmanagement.googleapis.com/v1/projects/PROJECT_ID/locations/global/vpcFlowLogsConfigs/CONFIG_NAME

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: המזהה של Google Cloud הפרויקט שמכיל את התצורה
  • ‫CONFIG_NAME: השם של ההגדרה

השבתה של VPC Flow Logs עבור רשת משנה

בקטע הזה מוסבר איך למחוק הגדרה של יומני תנועה ב-VPC שמנוהלת על ידי Compute Engine API. כשמשביתים את היומנים של תעבורת VPC עבור רשת משנה, איסוף היומנים נפסק וההגדרה נמחקת.

המסוף

  1. נכנסים לדף VPC networks במסוף Google Cloud .

    מעבר לרשתות VPC

  2. לוחצים על רשת המשנה שרוצים לעדכן.

  3. לוחצים על Edit.

  4. בקטע יומני זרימה, בוחרים באפשרות מושבת.

  5. לוחצים על Save.

gcloud

מריצים את הפקודה הבאה:

gcloud compute networks subnets update SUBNET_NAME \
    --no-enable-flow-logs

API

כדי להפסיק את איסוף רשומות היומן, משביתים את VPC Flow Logs ברשת משנה.

PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME
{
  "logConfig": {
    "enable": false
  },
  "fingerprint": "SUBNET_FINGERPRINT"
}

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה הפרויקט שבו נמצאת רשת המשנה
  • ‫REGION: האזור שבו נמצאת תת-הרשת
  • ‫SUBNET_NAME: השם של תת-הרשת הקיימת
  • ‫SUBNET_FINGERPRINT: מזהה טביעת האצבע של תת-הרשת הקיימת, שמופיע כשמריצים את הפקודה describe a subnet

למידע נוסף, עיינו בשיטה subnetworks.patch.

דוגמאות למסנני יומנים

בקטע הזה מופיעות דוגמאות למסנני יומנים שאפשר להגדיר כדי לשמור רק יומנים שתואמים למסנן. מידע נוסף זמין במאמר בנושא סינון יומנים.

דוגמה 1. הגבלת איסוף היומנים למכונה וירטואלית ספציפית בשם my-vm

במקרה הזה, רק יומנים שבהם הערך של השדה src_instance כפי שדווח על ידי מקור התנועה הוא my-vm או הערך של השדה dst_instance כפי שדווח על ידי היעד של התנועה הוא my-vm נרשמים.

gcloud network-management vpc-flow-logs-configs update my-config \
    --location=global \
    --filter-expr="(src_instance.vm_name == 'my-vm' && reporter=='SRC') || (dest_instance.vm_name == 'my-vm' && reporter=='DEST')"

אם הפעלתם את יומני הזרימה של VPC באמצעות Compute Engine API, מריצים את הפקודה הבאה:

gcloud compute networks subnets update my-subnet \
    --logging-filter-expr="(src_instance.vm_name == 'my-vm' && reporter=='SRC') || (dest_instance.vm_name == 'my-vm' && reporter=='DEST')"

דוגמה 2. הגבלת איסוף היומנים לחבילות שכתובות ה-IP של המקור שלהן נמצאות ב10.0.0.0/8תת-הרשת

gcloud network-management vpc-flow-logs-configs update my-config \
    --location=global \
    --filter-expr="inIpRange(connection.src_ip, '10.0.0.0/8')"

אם הפעלתם את יומני הזרימה של VPC באמצעות Compute Engine API, מריצים את הפקודה הבאה:

gcloud compute networks subnets update my-subnet \
    --logging-filter-expr="inIpRange(connection.src_ip, '10.0.0.0/8')"

דוגמה 3. הגבלת איסוף היומנים לתעבורת נתונים של מכונות וירטואליות שמחוץ לרשת VPC

gcloud network-management vpc-flow-logs-configs update my-config \
    --location=global \
    --filter-expr="!(has(src_vpc.vpc_name) && has(dest_vpc.vpc_name))"

אם הפעלתם את יומני הזרימה של VPC באמצעות Compute Engine API, מריצים את הפקודה הבאה:

gcloud compute networks subnets update my-subnet \
    --logging-filter-expr="!(has(src_vpc.vpc_name) && has(dest_vpc.vpc_name))"

דוגמה 4. הגבלת איסוף היומנים לצירוף ל-VLAN או למנהרת Cloud VPN ספציפיים, my-gateway

gcloud network-management vpc-flow-logs-configs update my-config \
    --location=global \
    --filter-expr="dest_gateway.name == 'my-gateway'"

דוגמה 5. הגבלת איסוף היומנים לצירופים ל-VLAN

gcloud network-management vpc-flow-logs-configs update my-config \
    --location=global \
    --filter-expr="dest_gateway.type == 'INTERCONNECT_ATTACHMENT'"

דוגמה 6. הגבלת איסוף היומנים לרשת VPC ספציפית, my-network

gcloud network-management vpc-flow-logs-configs update my-config \
    --location=global \
    --filter-expr="src_vpc.vpc_name == 'my-network'"

פתרון בעיות

הקטעים הבאים יכולים לעזור לכם לאבחן בעיות בהגדרת יומני התנועה של VPC.

נראה שיומני זרימת התנועה של רשתות משנה מושבתים, למרות שהפעלתם אותם

  • כשמגדירים רשת משנה של פרוקסי בלבד עבור איזון עומסים פנימי של אפליקציות ומשתמשים בפקודה gcloud compute networks subnets כדי להפעיל את יומני הזרימה של VPC, נראה שהפקודה מצליחה, אבל יומני הזרימה לא מופעלים בפועל. הדגל --enable-flow-logs לא משפיע אם משתמשים גם בדגל --purpose=INTERNAL_HTTPS_LOAD_BALANCER.

    כשמשתמשים במסוף Google Cloud או ב-API כדי להפעיל יומני תנועה, מוצגת הודעת השגיאה: "הערך 'true' בשדה 'resource.enableFlowLogs' לא תקין". הוגדר שדה לא תקין ברשת משנה עם המטרה INTERNAL_HTTPS_LOAD_BALANCER."

    מכיוון שברשתות משנה מסוג proxy-only אין מכונות וירטואליות, לא ניתן להשתמש ב-VPC Flow Logs. זו התנהגות מכוונת.

המאמרים הבאים