# VPC流日志概述 #### VPC流日志 使用VPC流日志功能，可以帮您采集指定VPC内网络实例的流量信息，包括入方向和出方向的流量。创建流日志后，您可以在配置的日志组中查看流日志记录。 通过流日志功能，可以满足以下业务场景的需求： - 监控安全组和网络ACL的流量，帮您优化安全组和网络ACL的控制规则。 - 监控网络实例的流量情况，可以进行网络攻击分析等。 - 用于判断网络接口上出入流量的方向。 系统采集流日志数据不会影响您实际网络的吞吐量或者时延等，您可以根据需求创建或者删除流日志，不会对实际运行的网络造成任何风险。 流日志支持采集网卡、子网、虚拟私有云粒度的流量信息，如[图1]所示，系统会在每个捕获窗口内先将流日志聚合为流日志条目，再上报至云日志服务LTS。 图1流日志架构图 ![](https://support.huaweicloud.com/usermanual-vpc/zh-cn_image_0000002666177277.png) ![](https://support.huaweicloud.com/usermanual-vpc/public_sys-resources/note_3.0-zh-cn.png) VPC流日志功能目前部分区域支持，具体区域以控制台实际情况为准。 VPC流日志本身是免费的，您只需要为使用过程中用到的其他云资源付费。 例如，数据存储在云日志服务中，将按日志服务的标准收费，详情请参见[《云日志服务用户指南》](https://support.huaweicloud.com/productdesc-lts/lts-03201.html)。 #### VPC流日志数据说明 您可以为网卡、子网、虚拟私有云创建流日志。如果流日志的采集对象是子网或者虚拟私有云，则会监控子网或者虚拟私有云内的每个网络接口。 被监控的网络接口的流量将会被采集，生成流日志数据，流日志数据中包括流量的网卡ID，源地址、目的地址、源端口、目标端口以及数据包大小等字段。 当前VPC支持v1和v2两个版本的流日志，您可以在创建流日志时，指定流日志版本，不同版本的流日志支持的字段不同，具体请参见[表1]。 表1流日志字段说明 | 字段 | 说明 | 示例 | 支持该字段的流日志版本 | |:---|:---|:---|:---| | version | VPC流日志版本。支持如下版本： - 1：表示v1版本 - 2：表示v2版本 | 1 | v1/v2 | | project-id | 流日志采集对象所在的项目ID。 | 5f67944957444bd6bb4fe3b367de8f3d | v1/v2 | | interface-id | 流日志数据所属的网卡ID。 | 1d515d18-1b36-47dc-a983-bd6512aed4bd | v1/v2 | | srcaddr | 源地址。 | 192.168.0.154 | v1/v2 | | dstaddr | 目的地址。 | 192.168.3.25 | v1/v2 | | srcport | 源端口。 | 38929 | v1/v2 | | dstport | 目标端口。 | 53 | v1/v2 | | protocol | IANA协议编号。有关更多信息，请参阅[Internet协议编号](https://www.iana.org/assignments/protocol-numbers/protocol-numbers.xhtml)。 | 17 | v1/v2 | | packets | 数据包的数量。 | 1 | v1/v2 | | bytes | 数据包的大小。 | 96 | v1/v2 | | start | 捕获窗口启动的时间，采用Unix秒的格式。 | 1548752136 | v1/v2 | | end | 捕获窗口结束的时间，采用Unix秒的格式。 | 1548752736 | v1/v2 | | action | 与流量关联的操作： - ACCEPT：安全组或网络ACL允许通过的流量。 - REJECT：安全组或者网络ACL拒绝通过的流量。 | ACCEPT | v1/v2 | | log-status | 流日志的日志记录状态： - OK：数据正常记录到选定目标。 - NODATA：捕获窗口中没有传入或传出符合"采集类型"的网卡的网络流量。 - SKIPDATA：捕获窗口中跳过了一些流日志记录。这可能是由于内部容量限制或内部错误。 示例： 如果您创建VPC流日志时设置"采集类型"为"接受"，当有接受流量时，"log-status"将显示为"OK"。当没有接受的流量时，不管是否有拒绝的流量，"log-status"都将显示为"NODATA"。当有一些接受流量异常跳过时，"log-status"将显示为"SKIPDATA"。 | OK | v1/v2 | | direction | 进出网络接口流量方向。 - ingress：表示流量传入网络接口。 - egress：表示流量传出网络接口。 | ingress | v2 | | tcp-flag | TCP连接的状态，具体如下： - syn_sent：表示TCP连接正在建立中，由于TCP连接状态的建立耗时很短，该状态一般不易观察到。 - established：表示TCP连接已成功建立。 - time-wait：表示TCP连接正在关闭中。 | established | v2 | | region-id | 流日志采集对象所在的区域。 | ab-cdef-3 | v2 | | az-id | 流日志采集对象所在的可用区。 | ab-cdef-3a | v2 | | vpc-id | 流日志数据所属的VPC ID。 | 80ee2ed7-605d-49b4-ac6b-6e581acd35a3 | v2 | | network-id | 流日志数据所属的VPC子网 ID。 | 93f4cb2d-0e0e-4e2d-a705-e3817bd7ca45 | v2 | #### VPC流日志的使用限制 - 目前支持采集流日志的云服务器规格类型为kAi1s、X1e、Ai1、Ai1s、kC1、kM1、kI1 、X1、P2s、P2v、P2vs、Pi2、kC2、kM2、X2e、C3、H3、M3、C3ne、M3ne、S3、I3、Ir3、D3、E3、Sn3、G5、E6、C6、S6、T6、C6s、D6、G6、M6、C6sne、aC7、aI7、aM7、C7、M7、C7n、D7、E7、I7、I7n、Ir7、Ir7n、M7n、S7、S7n、C7e、C7h、C7t、D7i、aC8、aM8、C9、M9、aC9、I9。 弹性云服务器类型具体信息请参见[实例类型](https://support.huaweicloud.com/productdesc-ecs/zh-cn_topic_0035470096.html)。 - 一个用户在单个区域内，最多可创建10个VPC流日志。 - 默认情况下，一张网卡在一个采集周期内（10分钟），最大支持40万条流日志记录，超过数量限制的流日志记录将会被丢弃。