流量镜像概述

流量镜像

VPC流量镜像功能可以镜像弹性网卡符合筛选条件的报文。您需要设置入方向和出方向的筛选条件，经过弹性网卡的流量符合筛选条件时，将被镜像到指定的云服务器网卡或者弹性负载均衡ELB实例，适用于网络流量检查、审计分析以及问题定位等场景。

流量镜像功能当前暂不收费。待后续启动收费时，将会提前通知您。

目前部分区域支持流量镜像功能，具体请打开功能总览，并选择“流量镜像”查看。

流量镜像概念

流量镜像工作原理

在表1中，以镜像源弹性网卡-B和弹性网卡-C为例，为您介绍网络流量的镜像原理。

图1 流量镜像架构图

流量镜像应用场景

• 网络流量检查：

  当您需要进行网络入侵检测时，通过流量镜像功能可以镜像您所需的网络流量。获取到流量后，您可以使用安全软件对流量进行全面分析检查，快速查找安全漏洞，确保网络安全。

• 网络流量审计：

  通过流量镜像功能，您可以将流量镜像到指定的平台进行审计分析，适用于金融等对安全性要求比较高的业务场景。

• 网络问题定位：

  通过流量镜像功能，运维工程师直接查看镜像的流量来排查问题，而不用通过业务服务器抓取报文，避免了运维期间可能对业务造成的影响。

流量镜像匹配规则

根据流量镜像的匹配规则，当同一个镜像源的同一个报文同时符合多个筛选条件规则时，该报文也仅会被匹配一次，匹配原则详细说明如下：

• 镜像会话的匹配规则如图2所示。当一个镜像源同时被多个镜像会话关联时，以入方向的报文为例，报文根据镜像会话的优先级，按照从高到低的顺序匹配。
  • 当报文匹配上某个镜像会话中的筛选条件入方向规则，则执行以下操作：
    • 如果该规则的策略是采集，则镜像该报文。
    • 如果该规则的策略是不采集，则不会镜像该报文。
  • 当遍历了所有镜像会话中的筛选条件入方向规则，报文均没有匹配上，则不会镜像该报文，结束。
  示例：某个镜像源同时被镜像会话A和镜像会话B关联，镜像会话A的优先级是1，镜像会话B的优先级是2。当镜像源入方向的某个报文同时符合镜像会话A和镜像会话B里的筛选条件规则，此时根据镜像会话优先级，该报文优先匹配镜像会话A中的筛选条件规则，并执行该规则的采集策略，结束后，该报文不会继续匹配镜像会话B。

  图2 镜像会话匹配规则
  
• 筛选条件的匹配规则如图3所示。当一个镜像源只被一个镜像会话关联时，以入方向的报文为例，报文根据入方向规则的优先级，按照从高到低的顺序匹配：
  • 当报文匹配上筛选条件的某个入方向规则，则执行以下操作：
    • 如果该规则的策略是采集，则镜像该报文。
    • 如果该规则的策略是不采集，则不会镜像该报文。
  • 当遍历了筛选条件中的所有入方向规则，报文均没有匹配上，则不会镜像该报文，结束。
  示例：当某个镜像源被镜像会话A关联，在镜像会话A的筛选条件中，入方向规则A和规则B的流量匹配条件相同，但优先级和流量采集策略不同。规则A的优先级为1，策略为不采集。规则B的优先级为2，策略为采集。当镜像源入方向的某个报文同时符合规则A和规则B的流量匹配条件时，此时根据规则优先级，该报文优先匹规则A，并执行不采集策略，即不镜像该报文，结束后，该报文不会继续匹配规则B。

  图3 筛选条件匹配规则
  

流量镜像的配额限制

流量镜像的使用限制

• 如图4所示，流量镜像的报文采用标准的VXLAN报文格式封装，更多有关VXLAN协议的信息，请参见RFC 7348。当被镜像的报文长度加上VXLAN报文长度大于镜像源实例的MTU值时，系统会对报文进行截断。为了防止报文被截断，建议您在IPv4场景下，设置弹性网卡的MTU值比链路支持的MTU值至少小64字节。
  图4 流量镜像报文格式
  
• 当镜像源为弹性网卡时，仅支持部分规格ECS的弹性网卡作为镜像源，包括c7t、aC7等。

  查询其余ECS规格支持情况，推荐您使用查询ECS规格详情API，并通过network_interface:traffic_mirroring_supported参数的响应值来判断ECS规格是否支持流量镜像。

• 当镜像目的为弹性负载均衡ELB时，仅支持独享型ELB。
• 如果一个弹性网卡已被用作镜像源，则镜像目的不能使用该弹性网卡。
• 流量镜像会占用弹性网卡绑定实例的带宽，并且不做独立限速。
• 当一个镜像目的实例需要接收来自多个镜像源的流量镜像时，为了确保正常使用，请您根据业务实际需要合理规划云服务器的规格。
• 根据流量镜像的匹配规则，同一个镜像源的同一个报文同时符合多个筛选条件规则，也仅会被匹配一次，并且根据采集策略决定是否镜像到目的实例。
• 对于镜像源弹性网卡已被安全组或者网络ACL拦截丢弃的报文，流量镜像不会镜像该部分报文。
• 当镜像源的报文符合筛选条件被镜像时，该报文不受镜像源安全组或者网络ACL出方向规则约束，即您无需在镜像源的安全组或者网络ACL做额外配置。但是如果需要将报文镜像到镜像目的实例时，则需要为镜像目的实例所在的安全组和网络ACL配置以下规则：
  • 安全组规则：允许来自镜像源的UDP协议报文访问镜像目的的4789端口。
    假如镜像源弹性网卡的私有IP地址为192.168.0.27，则安全组规则配置示例如表5所示，具体方法请参见添加安全组规则。

    表5 安全组规则配置示例

    规则类别	策略	类型	协议端口	源地址
    入方向规则	允许	IPv4	自定义UDP: 4789	IP地址：192.168.0.27/32 此处仅为示例，请根据实际情况配置。

  • 网络ACL规则：允许来自镜像源的UDP协议报文访问镜像目的的4789端口。
    假如镜像源弹性网卡的私有IP地址为192.168.0.27，则网络ACL规则配置示例如表6所示，具体方法请参见添加网络ACL规则。

    表6 网络ACL规则配置示例

    规则类别	类型	策略	协议	源地址	源端口范围	目的地址	目的端口范围
    入方向规则	IPv4	允许	UDP	IP地址：192.168.0.27/32 此处仅为示例，请根据实际情况配置。	此处为空，表示全部端口。	IP地址：10.10.0.0/24 此处仅为示例，请根据实际情况配置，确保网段覆盖镜像目的IP地址即可。	4789 必须放通4789端口，其他端口请根据实际情况配置。

• 不同的虚拟私有云VPC之间网络不通，如果镜像源和镜像目的实例不在同一个VPC内，则您需要使用VPC对等连接或者企业路由器连通VPC之间的网络。
  • VPC对等连接的使用方法，请参见对等连接简介。
  • 企业路由器的使用方法，请参见通过企业路由器实现同区域VPC互通。

流量镜像使用流程

使用流量镜像功能，您需要创建镜像会话，通过在镜像会话中关联筛选条件、镜像源和镜像目的，实现指定流量的镜像，使用流程如图5所示。

图5 流量镜像使用流程