Journalisation du trafic réseau à l'aide de Transit Gateway Flow Logs

Transit Gateway Flow Logs est une fonction qui vous permet de capturer des informations sur le trafic IP circulant vers et depuis vos passerelles de transit. Les données du journal de flux peuvent être publiées sur Amazon CloudWatch Logs, Amazon S3 ou Firehose. Une fois que vous avez créé un journal de flux, vous pouvez extraire et afficher ses données dans la destination choisie. Les données du journal de flux sont collectées en dehors du chemin d'accès de votre trafic réseau et n'affectent donc pas le débit réseau ou la latence. Vous pouvez créer ou supprimer des journaux de flux sans risque d'impact sur les performances du réseau. Les Transit Gateway Flow Logs capturent les informations liées uniquement aux passerelles de transit, décrites dans Enregistrements Transit Gateway Flow Logs. Si vous souhaitez capturer les journaux de flux pour capturer des informations sur le trafic IP entrant et sortant sur les interfaces réseau dans votre VPC, utilisez les journaux de flux VPC. Pour de plus amples informations, consultez Journalisation du trafic IP à l'aide des journaux de flux VPC dans le Guide de l'utilisateur Amazon VPC.

Note

Pour créer un journal de flux de passerelle de transit, vous devez être le propriétaire de la passerelle de transit. Si vous n'êtes pas le propriétaire, le propriétaire de la passerelle de transit doit vous donner l'autorisation.

Les données des journaux de flux pour une passerelle de transit surveillée sont enregistrées sous forme d'enregistrements de journaux de flux. Il s'agit d'événements de journaux, composés de champs qui décrivent le flux de trafic. Pour plus d’informations, consultez Enregistrements Transit Gateway Flow Logs.

Pour créer un journal de flux, vous spécifiez :

• La ressource pour laquelle vous souhaitez créer le journal de flux.

• Les destinations où publier les données du journal de flux.

Une fois que vous avez créé un journal de flux, plusieurs minutes peuvent s'écouler avant qu'il ne commence à collecter et à publier des données dans les destinations choisies. Les journaux de flux ne capturent pas de flux de journaux en temps réel pour vos passerelles de transit. Pour plus d’informations, consultez Créer un journal de flux.

Vous pouvez appliquer des balises à vos journaux de flux. Chaque balise est constituée d'une clé et d'une valeur facultative que vous définissez. Les balises peuvent vous aider à organiser vos journaux de flux, par exemple par objectif ou par propriétaire.

Si vous n'avez plus besoin d'un journal de flux, vous pouvez le supprimer. La suppression d'un journal de flux désactive le service de journal de flux pour la ressource, et aucun nouvel enregistrement de journal de flux n'est créé ou publié sur CloudWatch Logs ou Amazon S3. La suppression du journal de flux ne supprime aucun enregistrement de journal de flux, aucun flux de journal (pour les CloudWatch journaux) ou aucun objet de fichier journal (pour Amazon S3) existant pour une passerelle de transit. Pour supprimer un flux de journal existant, utilisez la console CloudWatch Logs. Pour supprimer des objets de fichier journal existants, utilisez la console Amazon S3. Une fois que vous avez supprimé un journal de flux, plusieurs minutes peuvent s'écouler avant qu'il ne cesse de collecter des données. Pour de plus amples informations, consultez Supprimer un journal de flux.

Limites

Les restrictions suivantes s'appliquent aux journaux de flux de Transit Gateway :

• Le trafic de multidiffusion n'est pas pris en charge.

• Les pièces jointes Connect ne sont pas prises en charge. Tous les journaux de flux Connect apparaissent sous la pièce jointe de transport et doivent donc être activés sur la passerelle de transit ou sur la pièce jointe de transport Connect.

Enregistrements Transit Gateway Flow Logs

Un enregistrement de journal de flux représente un flux de réseau dans votre passerelle de transit. Chaque enregistrement est une chaîne de caractères avec des champs séparés par des espaces. Un enregistrement inclut des valeurs pour les différents composants du flux de trafic, par exemple la source, la destination et le protocole.

Lorsque vous créez un journal de flux, vous pouvez utiliser le format par défaut pour l'enregistrement de journal de flux ou spécifier un format personnalisé.

Format par défaut

Avec le format par défaut, les enregistrements de journaux de flux incluent tous les champs version 2 à 6, dans l'ordre indiqué dans le tableau Champs disponibles. Vous ne pouvez pas personnaliser ou modifier le format par défaut. Pour capturer les champs supplémentaires ou un sous-ensemble de champs différent, spécifiez plutôt un format personnalisé.

Format personnalisé

Avec un format personnalisé, vous spécifiez quels champs sont inclus dans les enregistrements de journaux de flux et dans quel ordre. Cela vous permet de créer des journaux de flux qui correspondent spécifiquement à vos besoins et d'ignorer les champs qui ne sont pas pertinents. L'utilisation d'un format personnalisé peut également réduire la nécessité de faire appel à des processus distincts pour extraire des informations spécifiques des journaux de flux publiés. Vous pouvez spécifier n'importe quel nombre de champs de journal de flux disponibles, mais vous devez indiquer au moins un champ.

Champs disponibles

Le tableau suivant décrit tous les champs disponibles pour un enregistrement de journal de flux de passerelle de transit. La colonne Version indique la version dans laquelle le champ a été introduit.

Lorsque vous publiez des données du journal de flux sur Amazon S3, le type de données des champs dépend du format du journal de flux. Si le format est en texte brut, tous les champs sont de type STRING. Si le format est Parquet, consultez le tableau des types de données de champ.

Si un champ ne s'applique pas à un enregistrement spécifique ou pourrait ne pas être calculé pour celui-ci, ce dernier affiche le symbole « - » pour cette entrée. Les champs de métadonnées qui ne proviennent pas directement de l'en-tête des paquets sont des approximations optimales, et leurs valeurs peuvent être manquantes ou inexactes.

Champ	Description	Version
version	Indique la version dans laquelle le champ a été introduit. Le format par défaut inclut tous les champs version 2, dans même ordre que dans le tableau. Type de données Parquet : INT_32	2
resource-type	Type de ressource sur laquelle l'abonnement est créé. Pour les journaux de flux de Transit Gateway, ce sera le casTransitGateway. Type de données Parquet : CHAÎNE	6
account-id	Compte AWS ID du propriétaire de la passerelle de transit source. Type de données Parquet : CHAÎNE	2
tgw-id	ID de la passerelle de transit pour laquelle le trafic est enregistré. Type de données Parquet : CHAÎNE	6
tgw-attachment-id	ID de l'attachement de la passerelle de transit pour lequel le trafic est enregistré. Type de données Parquet : CHAÎNE	6
tgw-src-vpc-account-id	L' Compte AWS ID du trafic VPC source. Type de données Parquet : CHAÎNE	6
tgw-dst-vpc-account-id	L' Compte AWS ID du trafic VPC de destination. Type de données Parquet : CHAÎNE	6
tgw-src-vpc-id	ID du VPC source pour la passerelle de transit Type de données Parquet : CHAÎNE	6
tgw-dst-vpc-id	ID du VPC de destination pour la passerelle de transit. Type de données Parquet : CHAÎNE	6
tgw-src-subnet-id	ID du sous-réseau pour le trafic source de la passerelle de transit. Type de données Parquet : CHAÎNE	6
tgw-dst-subnet-id	ID du sous-réseau pour le trafic de destination de la passerelle de transit. Type de données Parquet : CHAÎNE	6
tgw-src-eni	ID de l’ENI d’attachement de la passerelle de transit source pour le flux. Type de données Parquet : CHAÎNE	6
tgw-dst-eni	ID du VPC d’attachement de la passerelle de transit de destination pour le flux. Type de données Parquet : CHAÎNE	6
tgw-src-az-id	ID de la zone de disponibilité qui contient la passerelle de transit source pour laquelle le trafic est enregistré. Si le trafic provient d'un sous-emplacement, l'enregistrement affiche un symbole « - » pour ce champ. Type de données Parquet : CHAÎNE	6
tgw-dst-az-id	ID de la zone de disponibilité qui contient la passerelle de transit de destination pour laquelle le trafic est enregistré. Type de données Parquet : CHAÎNE	6
tgw-pair-attachment-id	Selon la direction du flux, il s'agit de l'identifiant d’attachement de sortie ou d'entrée du flux. Type de données Parquet : CHAÎNE	6
srcaddr	Adresse source du trafic entrant. Type de données Parquet : CHAÎNE	2
dstaddr	Adresse de destination du trafic sortant. Type de données Parquet : CHAÎNE	2
srcport	Port source du trafic Type de données Parquet : INT_32	2
dstport	Port de destination du trafic Type de données Parquet : INT_32	2
protocol	Numéro de protocole IANA du trafic (pour plus d'informations, consultez la page Assigned Internet Protocol Numbers). Type de données Parquet : INT_64	2
packets	Nombre de paquets transférés pendant le flux. Type de données Parquet : INT_64	2
bytes	Nombre d'octets transférés pendant le flux. Type de données Parquet : INT_64	2
start	Heure, en secondes Unix, à laquelle le premier paquet du flux a été reçu dans l'intervalle d'agrégation. Jusqu'à 60 secondes peuvent s'écouler après la transmission ou la réception du paquet sur la passerelle de transit. Type de données Parquet : INT_64	2
end	Heure, en secondes Unix, à laquelle le dernier paquet du flux a été reçu dans l'intervalle d'agrégation. Jusqu'à 60 secondes peuvent s'écouler après la transmission ou la réception du paquet sur la passerelle de transit. Type de données Parquet : INT_64	2
log-status	Statut du journal de flux : OK — Les données sont consignées normalement dans les destinations choisies. PASDEDONNÉES — Il n'y a eu aucun trafic réseau depuis ou vers l'interface réseau pendant l'intervalle d'agrégation. IGNORERLESDONNÉES — Certains enregistrements de journal de flux ont été ignorés pendant l'intervalle d'agrégation. Cela peut être dû à une contrainte de capacité interne ou à une erreur interne. Type de données Parquet : CHAÎNE	2
type	Type de trafic. Les valeurs possibles sont IPv4 | IPv6 | EFA. Pour plus d'informations, consultez Elastic Fabric Adapter dans le guide de l'utilisateur Amazon EC2. Type de données Parquet : CHAÎNE	3
packets-lost-no-route	Paquets perdus en raison de l'absence de route spécifiée. Type de données Parquet : INT_64	6
packets-lost-blackhole	Paquets perdus en raison d'un trou noir. Type de données Parquet : INT_64	6
packets-lost-mtu-exceeded	Paquets perdus en raison d'une taille supérieure à la MTU. Type de données Parquet : INT_64	6
packets-lost-ttl-expired	Les paquets ont été perdus en raison de l'expiration de time-to-live. Type de données Parquet : INT_64	6
tcp-flags	Valeur de masque de bits pour les indicateurs TCP suivants : FIN : 1 SYN : 2 RST : 4 PSH — 8 ACK — 16 SYN-ACK : 18 URG — 32 Important Lorsqu'une entrée du journal de flux se compose uniquement de paquets ACK, la valeur de l'indicateur est 0, et non 16. Pour des informations générales sur les indicateurs TCP (comme la signification des indicateurs tels que FIN, SYN et ACK), consultez Structure d'un segment TCP sur Wikipédia. Les indicateurs TCP peuvent être interrogés pendant l'intervalle d'agrégation. Pour les connexions courtes, les indicateurs peuvent être définis sur la même ligne dans l'enregistrement de journal de flux, par exemple, 19 pour SYN-ACK et FIN, et 3 pour SYN et FIN. Type de données Parquet : INT_32	3
region	Région contenant la passerelle de transit où le trafic est enregistré. Type de données Parquet : CHAÎNE	4
flow-direction	La direction du flux par rapport à l'interface où le trafic est capturé. Les valeurs possibles sont les suivantes : ingress | egress. Type de données Parquet : CHAÎNE	5
pkt-src-aws-service	Nom du sous-ensemble de plages d'adresses IP indiquant srcaddr si l'adresse IP source est destinée à un AWS service. Les valeurs possibles sont les suivantes : AMAZON | AMAZON_APPFLOW | AMAZON_CONNECT | API_GATEWAY | CHIME_MEETINGS | CHIME_VOICECONNECTOR | CLOUD9 | CLOUDFRONT | CODEBUILD | DYNAMODB | EBS | EC2 | EC2_INSTANCE_CONNECT | GLOBALACCELERATOR | KINESIS_VIDEO_STREAMS | ROUTE53 | ROUTE53_HEALTHCHECKS | ROUTE53_HEALTHCHECKS_PUBLISHING | ROUTE53_RESOLVER | S3 | WORKSPACES_GATEWAYS. Type de données Parquet : CHAÎNE	5
pkt-dst-aws-service	Le nom du sous-ensemble de plages d'adresses IP pour le dstaddr champ, si l'adresse IP de destination est celle d'un AWS service. Pour obtenir une liste des valeurs possibles, consultez le champ pkt-src-aws-service. Type de données Parquet : CHAÎNE	5

Tarification Transit Gateway Flow Logs

Les frais d'ingestion et de stockage de données pour les journaux payants s'appliquent lorsque vous publiez des journaux de flux Transit Gateway. Pour plus d'informations sur la tarification lors de la publication de journaux vendus, ouvrez Amazon CloudWatch Pricing, puis sous Niveau payant, sélectionnez Logs et recherchez Vended Logs.