Amazon VPC 公交网关流日志 - Amazon VPC
限制Transit Gateway 流日志记录控制对流日志的使用中转网关流日志定价
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon VPC 公交网关流日志

Transit Gateway Flow Logs 是 Amazon Tr VPC ansit Gateway 的一项功能，它使您能够捕获有关进出中转网关的 IP 流量的信息。流日志数据可以发布到亚马逊 CloudWatch 日志、亚马逊 S3 或 Firehose。在创建流日志后，您可以在所选的目标中检索和查看其数据。流日志数据是在网络流量路径之外收集的，因此不会影响网络吞吐量或延迟。您可以创建或删除流日志，而不会对网络性能造成任何影响。Transit Gateway 流日志仅捕获与中转网关有关的信息，详见Transit Gateway 流日志记录中所述。如果要捕获有关进出您的网络接口的 IP 流量的信息VPCs，请使用 VPC Flow Logs。有关更多信息，请参阅 Amazon VPC 用户指南中的使用VPC流日志记录 IP 流量。

注意

要创建传输网关流日志，您必须是该传输网关的所有者。如果您不是所有者，则公交网关所有者必须授予您权限。

中转网关的流日志数据保存为流日志记录，即日志事件，由多个描述流量信息的字段组成。有关更多信息，请参阅 Transit Gateway 流日志记录。

要创建流日志，请指定：

  • 要为其创建流日志的资源

  • 指定您要将流日志数据发布到的目标

创建流日志后，需要几分钟来开始收集数据并将数据发布到选定目标。流日志不会为您的中转网关获取实时日志流。

您可以将标签应用于流日志。每个标签都包含您定义的一个键和一个可选值。标签可以帮助您整理流日志，例如按目的或拥有者。

如果您不再需要某个流日志，可将其删除。删除流日志会禁用该资源的流日志服务，并且不会创建新的流日志记录或将其发布到 CloudWatch 日志或 Amazon S3。删除流日志不会删除传输网关的任何现有流日志记录或日志流（对于 CloudWatch 日志）或日志文件对象（对于 Amazon S3）。要删除现有的日志流，请使用 CloudWatch 日志控制台。要删除现有日志文件对象，请使用 Amazon S3 控制台。在删除流日志之后，可能需要数分钟时间来停止收集数据。有关更多信息，请参阅 删除 Amazon VPC 公交网关流日志记录。

您可以为传输网关创建流日志，以便将数据发布到日 CloudWatch 志、Amazon S3 或 Amazon Data Firehose。有关更多信息，请参阅下列内容：

限制

以下限制适用于 Transit Gateway 流日志：

  • 不支持多播流量。

  • 不支持 Connect 附件。所有 Connect 流日志都显示在传输附件下方，因此必须在传输网关或 Connect 传输附件上启用。

Transit Gateway 流日志记录

流日志记录代表您的中转网关中的网络流。每条记录都是一个字符串，字段用空格分隔。记录包含网络流的不同的结构信息，包括源、目标和协议。

当您创建流日志时，您可以为流日志记录使用默认格式，也可以指定自定义格式。

默认格式

使用默认格式，流日志记录包括所有版本 2 到版本 6 字段，顺序如可用字段表中所示。您无法自定义或更改默认格式。要捕获其他字段或不同字段子集，请指定自定义格式。

自定义格式

使用自定义格式，您可以指定流日志记录中包含哪些字段以及采用哪种顺序。这使您可以根据具体需求创建流日志，并忽略无关的字段。使用自定义格式，还可减少从发布的流日志提取特定信息所需的单独流程。您可以指定任意数量的可用流日志字段，但必须至少指定一个。

可用字段

下表描述了中转网关流日志记录的所有可用字段。版本列表示在哪个版本中引入了该字段。

将流日志数据发布到 Amazon S3 时，字段的数据类型将取决于流日志格式。如果格式为纯文本，则所有字段均为类型 STRING。 如果格式为 Parquet，请参阅表格以了解字段数据类型。

如果某个字段不适用于或无法计算特定记录，则记录为该条目显示一个“-”符号。不直接来自数据包标头的元数据字段是最大努力的近似值，它们的值可能缺失或不准确。

字段 描述 版本

version

表示在哪个版本中引入了该字段。默认格式包括所有版本 2 字段，与它们在表格中出现的顺序相同。

实木复合地板数据类型：INT_32

 2
resource-type

在其上创建订阅的资源的类型。对于 Transit Gateway 流日志，这将是 TransitGateway.

实木复合地板数据类型：STRING		 6
account-id

源传输网关所有者的 Amazon Web Services 账户 ID。

实木复合地板数据类型：STRING

 2

tgw-id

 正在记录其流量的中转网关的 ID。

实木复合地板数据类型：STRING

 6

tgw-attachment-id

 正在记录其流量的中转网关连接的 ID。

实木复合地板数据类型：STRING

 6

tgw-src-vpc-account-id

源VPC流量的 Amazon Web Services 账户 ID。

实木复合地板数据类型：STRING

 6

tgw-dst-vpc-account-id

目标VPC流量的 Amazon Web Services 账户 ID。

实木复合地板数据类型：STRING

 6

tgw-src-vpc-id

 传输网关VPC的来源 ID

实木复合地板数据类型：STRING

 6

tgw-dst-vpc-id

传输网关的VPC目的地 ID。

实木复合地板数据类型：STRING

 6

tgw-src-subnet-id

中转网关源流量的子网 ID。

实木复合地板数据类型：STRING

 6

tgw-dst-subnet-id

中转网关目标流量的子网 ID。

实木复合地板数据类型：STRING

 6
tgw-src-eni

流的源传输网关连接ENI的 ID。

实木复合地板数据类型：STRING

 6
tgw-dst-eni 流的目标中转网关连接ENI的 ID。

实木复合地板数据类型：STRING

 6

tgw-src-az-id

包含记录其流量的源中转网关的可用区的 ID。如果流量来自子位置，则记录会对此字段显示“-”符号。

实木复合地板数据类型：STRING

 6

tgw-dst-az-id

包含记录其流量的目标中转网关的可用区的 ID。

实木复合地板数据类型：STRING

 6
tgw-pair-attachment-id

根据流向的不同，这要么是流量的出口连接 ID，要么是入口连接 ID。

实木复合地板数据类型：STRING

 6

srcaddr

传入流量的源地址。

实木复合地板数据类型：STRING

 2

dstaddr

传出流量的目标地址。

实木复合地板数据类型：STRING

 2

srcport

流量的源端口。

实木复合地板数据类型：INT_32

2

dstport

流量的目标端口。

实木复合地板数据类型：INT_32

 2

protocol

流量的IANA协议号。有关更多信息，请参阅分配的 Internet 协议编号。

实木复合地板数据类型：INT_64

 2

packets

在流中传输的数据包的数量。

实木复合地板数据类型：INT_64

 2

bytes

在流中传输的字节数。

实木复合地板数据类型：INT_64

 2

start

在聚合时间间隔内，接收流的第一个数据包的时间（以 Unix 秒为单位）。在中转网关传输或收到数据包之后,最多 60 秒。

实木复合地板数据类型：INT_64

 2

end

在聚合时间间隔内，接收流的最后一个数据包的时间（以 Unix 秒为单位）。在中转网关传输或收到数据包之后,最多 60 秒。

实木复合地板数据类型：INT_64

 2
log-status

流日志的状态：

  • OK — 数据正常记录到选定目标。

  • NODATA— 在聚合间隔内，没有进出网络接口的网络流量。

  • SKIPDATA— 在聚合间隔内，某些流日志记录被跳过。这可能是由于内部容量限制或内部错误。

实木复合地板数据类型：STRING

 2
type

流量的类型。可能的值为 IPv4 | IPv6 | EFA。有关更多信息，请参阅 Amazon EC2 用户指南中的弹性结构适配器。

实木复合地板数据类型：STRING

 3

packets-lost-no-route

由于未指定路由而丢失的数据包。

实木复合地板数据类型：INT_64

6

packets-lost-blackhole

数据包由于黑洞而丢失。

实木复合地板数据类型：INT_64

6

packets-lost-mtu-exceeded

由于大小超过，数据包丢失MTU。

实木复合地板数据类型：INT_64

6

packets-lost-ttl-expired

由于的过期，数据包丢失 time-to-live。

实木复合地板数据类型：INT_64

6

tcp-flags

以下TCP标志的位掩码值：

  • FIN— 1

  • SYN— 2

  • RST— 4

  • PSH— 8

  • ACK— 16

  • SYN-ACK — 18

  • URG— 32

重要

当流日志条目仅包含ACK数据包时，标志值为 0 而不是 16。

有关TCP旗帜的一般信息（例如、和等标志的含义ACK）FINSYN，请参阅维基百科上的TCP区段结构。

TCP在聚合间隔内，可以对标志进行 OR 运算。对于短连接，可以在流日志记录的同一行上设置标志，例如，19 代表 SYN-ACK 和FIN，3 代表SYN和FIN。

实木复合地板数据类型：INT_32

 3

region

包含记录其流量的中转网关的区域。

实木复合地板数据类型：STRING

 4

flow-direction

相对于捕获流量的接口而言流的方向。可能的值包括：ingress | egress.

实木复合地板数据类型：STRING

 5

pkt-src-aws-service

如果源 IP 地址用于https://docs.amazonaws.cn/general/latest/gr/aws-ip-ranges.html服务，则为 srcaddr 如果源 IP 地址用于 Amazon 服务。可能的值包括：AMAZON | AMAZON_APPFLOW | AMAZON_CONNECT | API_GATEWAY | CHIME_MEETINGS | CHIME_VOICECONNECTOR | CLOUD9 | CLOUDFRONT | CODEBUILD | DYNAMODB | EBS | EC2 | EC2_INSTANCE_CONNECT | GLOBALACCELERATOR | KINESIS_VIDEO_STREAMS | ROUTE53 | ROUTE53_HEALTHCHECKS | ROUTE53_HEALTHCHECKS_PUBLISHING | ROUTE53_RESOLVER | S3 | WORKSPACES_GATEWAYS.

实木复合地板数据类型：STRING

 5
pkt-dst-aws-service

如果源 IP 地址用于 服务，则为 dstaddr 字段，如果目标 IP 地址用于 Amazon 服务。有关可能的值的列表，请查看 pkt-src-aws-service 字段中返回的子位置类型。

实木复合地板数据类型：STRING		 5

控制对流日志的使用

默认情况下，用户无权使用流日志。您可以创建一个用户策略，该策略向用户授予创建、描述和删除流日志的权限。有关更多信息，请参阅《亚马逊参EC2API考》中的 “向IAM用户授予亚马逊EC2资源所需的权限”。

下面是一个示例策略，该策略向用户授予创建、描述和删除流日志的完全权限。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:DeleteFlowLogs",
        "ec2:CreateFlowLogs",
        "ec2:DescribeFlowLogs"
      ],
      "Resource": "*"
    }
  ]
}

需要进行一些额外的IAM角色和权限配置，具体取决于您是发布到 CloudWatch 日志还是 Amazon S3。有关更多信息，请参阅Transit Gateway 流量记录亚马逊 CloudWatch 日志中的记录 和 中转网关流日志 Amazon S3 中的记录 。

中转网关流日志定价

发布中转网关流日志时，将收取已出售日志的数据摄取和存储费用。有关发布销售日志时定价的更多信息，请打开 Amazon P CloudWatch ricing，然后在 “付费套餐” 下，选择 “日志” 并找到 Vended Logs。