Interrogazione dei log di AWS Global Accelerator flusso

Puoi utilizzarli AWS Global Accelerator per creare acceleratori che indirizzano il traffico di rete verso endpoint ottimali sulla rete globale. AWS Per ulteriori informazioni su Global Accelerator, consulta What is. AWS Global Accelerator

I log di flusso Global Accelerator ti consentono di acquisire informazioni sul traffico degli indirizzi IP in entrata e in uscita dalle interfacce di rete negli acceleratori. I dati dei log di flusso vengono pubblicati in Amazon S3, dove è possibile recuperare e visualizzare i dati. Per ulteriori informazioni, consulta Log di flusso in AWS Global Accelerator.

Puoi utilizzare Athena per eseguire query sui log di flusso Global Accelerator creando una tabella che ne specifica la posizione in Amazon S3.

Per creare la tabella per i log di flusso di Global Accelerator

1. Copiare e incollare la seguente istruzione DDL nella console Athena. Questa query specifica ROW FORMAT DELIMITED e omette di specificare a SerDe, il che significa che la query utilizza il. LazySimpleSerDe In questa query, i campi terminano con uno spazio.

   CREATE EXTERNAL TABLE IF NOT EXISTS aga_flow_logs (
     version string,
     account string,
     acceleratorid string,
     clientip string,
     clientport int,
     gip string,
     gipport int,
     endpointip string,
     endpointport int,
     protocol string,
     ipaddresstype string,
     numpackets bigint,
     numbytes int,
     starttime int,
     endtime int,
     action string,
     logstatus string,
     agasourceip string,
     agasourceport int,
     endpointregion string,
     agaregion string,
     direction string
   )
   PARTITIONED BY (dt string)
   ROW FORMAT DELIMITED
   FIELDS TERMINATED BY ' '
   LOCATION 's3://DOC-EXAMPLE-BUCKET/prefix/AWSLogs/account_id/globalaccelerator/region/'
   TBLPROPERTIES ("skip.header.line.count"="1");

2. Modificare il valore LOCATION in modo che punti al bucket Amazon S3 che contiene i dati di log.

   's3://DOC-EXAMPLE-BUCKET/prefix/AWSLogs/account_id/globalaccelerator/region_code/'

3. Eseguire la query nella console Athena. Una volta completata la query, Athena registra la tabella aga_flow_logs, rendendo i dati in essa contenuti disponibili per l'esecuzione di query.

4. Creare partizioni per leggere i dati, come nella seguente query di esempio. La query crea una singola partizione per una data specificata. Sostituire i segnaposto per data e posizione.

   ALTER TABLE aga_flow_logs
   ADD PARTITION (dt='YYYY-MM-dd')
   LOCATION 's3://DOC-EXAMPLE-BUCKET/prefix/AWSLogs/account_id/globalaccelerator/region_code/YYYY/MM/dd';    

Query di esempio per i log di flusso AWS Global Accelerator

Esempio Elencare le richieste che passano attraverso una edge location specifica

La query di esempio seguente elenca le richieste passate attraverso la edge location LHR. Utilizza l'operatore LIMIT per limitare il numero di log di cui eseguire la query alla volta.

SELECT 
  clientip, 
  agaregion, 
  protocol, 
  action 
FROM 
  aga_flow_logs 
WHERE 
  agaregion LIKE 'LHR%' 
LIMIT 
  100;

Esempio Elencare gli indirizzi IP dell'endpoint che ricevono la maggior parte delle richieste HTTPS

Utilizza la query seguente per verificare quali indirizzi IP dell'endpoint ricevono il numero più elevato di richieste HTTPS. La query conta il numero di pacchetti ricevuti sulla porta HTTPS 443, li raggruppa in base all'indirizzo IP di destinazione e restituisce i primi 10 indirizzi IP.

SELECT 
  SUM(numpackets) AS packetcount, 
  endpointip 
FROM 
  aga_flow_logs 
WHERE 
  endpointport = 443 
GROUP BY 
  endpointip 
ORDER BY 
  packetcount DESC 
LIMIT 
  10;