Utilizzo del Mirroring pacchetto
Puoi utilizzare il Mirroring pacchetto per eseguire il mirroring del traffico da e verso istanze di macchine virtuali (VM) specifiche. Il traffico raccolto può aiutarti a rilevare minacce alla sicurezza e monitorare le prestazioni delle applicazioni. Per maggiori dettagli sul Mirroring pacchetto, consulta Mirroring pacchetto.
Il traffico sottoposto a mirroring viene inviato alle VM in cui hai installato il software appropriato. Per un elenco dei fornitori che forniscono software, consulta Fornitori partner di Mirroring pacchetto.
Le sezioni seguenti descrivono come creare e gestire le policy di Mirroring pacchetto.
Limitazioni
Le connessioni attive sulle VM sottoposte a mirroring potrebbero essere interrotte nelle seguenti situazioni:
- Disattivazione o attivazione del Mirroring pacchetto.
- Includere una sola istanza di raccolta nel bilanciatore del carico di rete passthrough interno di Mirroring pacchetto. Includi sempre almeno due istanze di raccoglitore per evitare un single point of failure.
Il mirroring pacchetto non può eseguire il mirroring dei pacchetti per il traffico dei servizi pubblicati di Private Service Connect.
Per motivi di sicurezza, il mirroring pacchetto non esegue il mirroring dei pacchetti inviati all'intervallo di indirizzi IP link-local
169.254.0.0/16. Questo intervallo include le richieste di metadati da una VM al relativo server di metadati.L'utilizzo di un servizio LoadBalancer di Google Kubernetes Engine (GKE) come raccoglitore di Mirroring pacchetto non è supportato.
Se una policy di Mirroring pacchetto potrebbe essere applicata alle istanze del raccoglitore, Mirroring pacchetto le ignora e non esegue il mirroring del relativo traffico.
Quando i pacchetti vengono sottoposti a mirroring, Google Cloud elabora sia i pacchetti originali sia quelli sottoposti a mirroring, il che rallenta la velocità di elaborazione dei pacchetti. La frequenza di elaborazione dei pacchetti per il traffico combinato è simile alle frequenze in uscita al di fuori di una rete VPC e dipende da fattori quali:
- Il tipo di macchina e l'utilizzo della CPU della VM sottoposta a mirroring.
- La dimensione del pacchetto del traffico sottoposto a mirroring.
Prima di iniziare
Prima di creare una policy di Mirroring pacchetto, devi disporre delle autorizzazioni appropriate. Devi anche creare un bilanciatore del carico di rete passthrough interno che funga da destinazione del raccoglitore. Questo bilanciatore del carico di rete passthrough interno richiede un gruppo di istanze in modo che il relativo servizio di backend possa utilizzare le VM come destinazioni del raccoglitore.
Autorizzazioni
Per creare e gestire le policy di Mirroring pacchetto, Google Cloud fornisce due ruoli correlati a Mirroring pacchetto:
compute.packetMirroringUserconcede agli utenti l'autorizzazione dell'utente per creare, aggiornare ed eliminare le policy di Mirroring pacchetto. Per utilizzare Mirroring pacchetto, gli utenti devono avere questo ruolo nei progetti in cui creano policy di Mirroring pacchetto.compute.packetMirroringAdminconcede agli utenti l'autorizzazione per eseguire il mirroring di risorse specifiche. Anche se gli utenti dispongono dell'autorizzazione per creare una policy di Mirroring pacchetto, devono comunque avere l'autorizzazione per eseguire il mirroring delle origini correlate. Utilizza questo ruolo nei progetti in cui il proprietario di una policy potrebbe non avere altre autorizzazioni, ad esempio negli scenari di VPC condiviso.
Per saperne di più sull'utilizzo dei ruoli IAM, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni nella documentazione IAM.
Crea istanze del raccoglitore
Il Mirroring pacchetto richiede un gruppo di istanze di raccolta. Per maggiori dettagli sui gruppi di istanze, consulta la seguente documentazione: Crea un nuovo template di istanza e Crea un MIG in una singola zona.
Crea un bilanciatore del carico interno per Mirroring pacchetto
Per attivare Mirroring pacchetto, devi disporre di un bilanciatore del carico di rete passthrough interno che possa fungere da raccoglitore di Mirroring pacchetto. Il bilanciatore del carico di rete passthrough interno deve essere configurato correttamente per l'utilizzo con il mirroring pacchetto:
- La regola di forwarding del bilanciatore del carico di rete passthrough interno deve avere il mirroring pacchetto abilitato al momento della creazione della regola. Questo stato non può essere modificato dopo la creazione della regola. Puoi utilizzare questa regola di forwarding per raccogliere il traffico IPv4 e IPv6.
- Il bilanciatore del carico di rete passthrough interno deve trovarsi nella stessa regione delle istanze di cui stai eseguendo il mirroring.
- Il servizio di backend del bilanciatore del carico di rete passthrough interno deve utilizzare un'affinità di sessione di
NONE(hash a 5 tuple). - Il servizio di backend del bilanciatore del carico di rete passthrough interno deve avere il subsetting del backend disattivato.
- Ti consigliamo di includere più di un'istanza di raccolta nel servizio di backend per il Mirroring pacchetto. L'utilizzo di una sola istanza crea un single point of failure. Se si verificano problemi con l'istanza del raccoglitore, le connessioni attive sulle VM sottoposte a mirroring possono essere interrotte.
Se le istanze del raccoglitore non sono configurate per rispondere al controllo di integrità che hai configurato con il servizio di backend, il controllo di integrità potrebbe non riuscire. In questo caso, i pacchetti possono comunque essere sottoposti a mirroring.
Per saperne di più su come creare un bilanciatore del carico di rete passthrough interno per il mirroring pacchetto, consulta Creazione di un bilanciatore del carico per il mirroring pacchetto.
Configura le regole firewall
Per preparare la rete VPC per il traffico di Mirroring pacchetto, segui questi passaggi:
Assicurati che le istanze del raccoglitore nel gruppo di istanze del bilanciatore del carico possano ricevere traffico dalle istanze sottoposte a mirroring o dagli intervalli di indirizzi IPv4 e IPv6 delle istanze sottoposte a mirroring. Ad esempio, per consentire alle istanze di raccolta di ricevere traffico IPv4 da qualsiasi VM, crea una regola firewall con un intervallo di indirizzi IPv4 di origine
0.0.0.0/0. Per consentire alle istanze del raccoglitore di ricevere traffico IPv6 da qualsiasi VM, crea una regola firewall con un intervallo di indirizzi IPv6 di origine::/0. Per impedire al traffico internet di raggiungere le istanze del raccoglitore, assegna solo indirizzi IPv4 e IPv6 interni.Assicurati che le istanze del raccoglitore possano ricevere traffico dai sistemi di controllo di integrità Google Cloud. Ad esempio, per il traffico IPv4, crea una regola firewall che consenta il traffico verso le istanze del raccoglitore dagli intervalli di indirizzi IPv4 di
130.211.0.0/22e35.191.0.0/16. Per il traffico IPv6, crea una regola firewall che consenta il traffico verso le istanze del raccoglitore dall'intervallo di indirizzi IPv6 di2600:2d00:1:b029::/64.Se vuoi testare il Mirroring pacchetto inviando manualmente il traffico in uscita da una o più istanze sottoposte a mirroring, crea una regola firewall che consenta il traffico SSH verso queste istanze. Ad esempio, per consentire le connessioni SSH alle istanze sottoposte a mirroring da tutti gli indirizzi IPv4 e IPv6, consenti il traffico
TCPin entrata alla porta22da qualsiasi indirizzo IPv4 e IPv6 di origine. Se vuoi consentire solo le connessioni SSH avviate da un determinato intervallo di indirizzi IPv4 o IPv6, specifica l'intervallo di indirizzi IPv4 o IPv6 come intervallo di origine per la regola firewall. Per saperne di più sul test del bilanciatore del carico di rete passthrough interno, consulta Testa il bilanciamento del carico.
Se non hai regole esistenti che consentono questo traffico, consulta Utilizza le regole firewall VPC per crearle. Per saperne di più sulla creazione di regole firewall per un bilanciatore del carico di rete passthrough interno, consulta Configurazione delle regole firewall nella documentazione di Cloud Load Balancing.
Crea una policy di Mirroring pacchetto
Per iniziare a eseguire il mirroring del traffico da e verso istanze specifiche, crea una policy di Mirroring pacchetto. Google Cloud esegue il mirroring di qualsiasi istanza che corrisponde ad almeno una delle origini specificate.
Console
Nella console Google Cloud , vai alla pagina Mirroring pacchetto.
Fai clic su Crea policy.
Inserisci le seguenti informazioni sulla policy e poi fai clic su Continua.
- Inserisci un nome per la policy.
- Seleziona la regione che include le origini sottoposte a mirroring e la destinazione del raccoglitore. La policy di Mirroring pacchetto deve trovarsi nella stessa regione dell'origine e della destinazione.
- Ignora il campo Priority (Priorità). Al momento non è possibile modificarlo.
- Seleziona Attivata per attivare la policy al momento della creazione.
Seleziona le reti VPC in cui si trovano l'origine sottoposta a mirroring e la destinazione del raccoglitore, quindi fai clic su Continua.
L'origine e la destinazione possono trovarsi nella stessa rete VPC o in reti VPC diverse.
- Se si trovano nella stessa rete VPC, seleziona Le origini e la destinazione sottoposte a mirroring si trovano nella stessa rete VPC, quindi seleziona la rete.
- Se si trovano in reti diverse, seleziona Origine sottoposta a mirroring e destinazione raccoglitore in reti VPC in peering separate, quindi seleziona la rete di origine sottoposta a mirroring e poi la rete di destinazione raccoglitore.
Seleziona le origini di mirroring, quindi fai clic su Continua. Puoi selezionare una o più origini. Google Cloud esegue il mirroring di qualsiasi istanza che corrisponde ad almeno una delle origini selezionate.
- Subnet: seleziona una o più subnet. Google Cloud esegue il mirroring delle istanze esistenti e future nelle subnet selezionate.
- Tag di rete: specifica uno o più tag di rete. Google Cloud esegue il mirroring delle istanze che hanno almeno uno dei tag specificati.
- Nome istanza: seleziona istanze specifiche di cui eseguire il mirroring.
Seleziona un bilanciatore del carico di rete passthrough interno configurato per il Mirroring pacchetto, quindi fai clic su Continua. Google Cloud Invia il traffico sottoposto a mirroring alle istanze che si trovano dietro il bilanciatore del carico di rete passthrough interno.
Per il VPC condiviso, se la destinazione del raccoglitore e le origini sottoposte a mirroring si trovano nella stessa rete VPC condivisa, devi selezionare il progetto in cui si trova la destinazione del raccoglitore, quindi selezionare un bilanciatore del carico.
Per selezionare il traffico da duplicare, segui questi passaggi:
- Per eseguire il mirroring di tutto il traffico IPv4, seleziona Mirroring di tutto il traffico IPv4 (impostazione predefinita).
- Per eseguire il mirroring di tutto il traffico IPv4 e IPv6, seleziona Esegui il mirroring del traffico filtrato, quindi segui questi passaggi:
- Seleziona Consenti tutti i protocolli.
- Seleziona Consenti tutti gli intervalli IPv4 (0.0.0.0/0).
- Seleziona Consenti tutti gli intervalli IPv6 (::/0).
- Seleziona Consenti il traffico in entrata e in uscita.
Per limitare il traffico sottoposto a mirroring, seleziona Esegui il mirroring del traffico filtrato, quindi segui questi passaggi:
Per limitare il traffico sottoposto a mirroring in base al protocollo, seleziona Consenti protocolli specifici, quindi seleziona i protocolli. Se non vedi un protocollo per cui vuoi eseguire il mirroring del traffico, seleziona Altri protocolli, quindi inserisci il protocollo nel campo Altri protocolli. I valori validi sono
tcp,udp,esp,ah,ipip,sctpo un numero di protocollo IANA. Per specificare ICMP per IPv6, inserisci58.Per i Filtri per l'intervallo IPv4, segui questi passaggi:
- Per eseguire il mirroring di tutto il traffico IPv4, seleziona Consenti tutti gli intervalli IPv4 (0.0.0.0/0).
- Per eseguire il mirroring del traffico per intervalli di indirizzi IPv4 specifici, seleziona Consenti intervalli IPv4 specifici. Nel campo Intervalli IPv4, digita un singolo intervallo di indirizzi IPv4, quindi premi Invio. Puoi aggiungere più intervalli IPv4 premendo Invio dopo ogni intervallo digitato.
Per Filtri per l'intervallo IPv6, segui questi passaggi:
- Per filtrare tutto il traffico IPv6, seleziona Nessuno.
- Per eseguire il mirroring di tutto il traffico IPv6, seleziona Consenti tutti gli intervalli IPv6 (::/0).
- Per eseguire il mirroring del traffico per intervalli di indirizzi IPv6 specifici, seleziona Consenti intervalli IPv6 specifici. Nel campo Intervalli IPv6, digita un singolo intervallo di indirizzi IPv6, quindi premi Invio. Puoi aggiungere più intervalli IPv6 premendo Invio dopo ogni intervallo digitato.
Seleziona la Direzione del traffico di cui vuoi eseguire il mirroring.
Per creare la policy di Mirroring pacchetto, fai clic su Invia.
gcloud
Per creare una policy di Mirroring pacchetto, utilizza il
comando packet-mirrorings create.
gcloud compute packet-mirrorings create POLICY_NAME \
--region=REGION \
--network=NETWORK_NAME \
--collector-ilb=FORWARDING_RULE_NAME \
[--mirrored-subnets=SUBNET,[SUBNET,...]] \
[--mirrored-tags=TAG,[TAG,...]] \
[--mirrored-instances=INSTANCE,[INSTANCE,...]] \
[--filter-cidr-ranges=CIDR_RANGE,[CIDR_RANGE,...]] \
[--filter-protocols=PROTOCOL,[PROTOCOL,...]] \
[--filter-direction=DIRECTION]
Sostituisci quanto segue:
POLICY_NAME: il nome della policy di Mirroring pacchetto.REGION: la regione in cui si trovano le origini sottoposte a mirroring e la destinazione del raccoglitore.NETWORK_NAME: la rete in cui si trovano le origini sottoposte a mirroring.FORWARDING_RULE_NAME: il nome della regola di forwarding configurata come raccoglitore di mirroring. Google Cloud Invia tutto il traffico sottoposto a mirroring al bilanciatore del carico di rete passthrough interno associato.SUBNET: il nome di una o più subnet di cui eseguire il mirroring. Puoi fornire più subnet utilizzando un elenco separato da virgole. Google Cloud esegue il mirroring delle istanze esistenti e future nella subnet.TAG: uno o più tag di rete. Google Cloud esegue il mirroring delle istanze con il tag di rete. Puoi fornire più tag utilizzando un elenco separato da virgole.INSTANCE: l'ID completo di una o più istanze di cui eseguire il mirroring. Puoi fornire più istanze utilizzando un elenco separato da virgole.CIDR_RANGE: uno o più intervalli CIDR IPv4 o IPv6 di cui eseguire il mirroring. Se non vengono specificati intervalli CIDR, viene eseguito il mirroring di tutto il traffico IPv4 che corrisponde ai protocolli specificati. Se non vengono specificati né intervalli CIDR né protocolli, viene eseguito il mirroring di tutto il traffico IPv4. Per eseguire il mirroring di tutto il traffico IPv4 e IPv6, utilizza0.0.0.0/0,::/0. Puoi includere intervalli CIDR IPv4 e IPv6. Puoi fornire più intervalli utilizzando un elenco separato da virgole.PROTOCOL: uno o più protocolli di cui eseguire il mirroring. I valori validi sonotcp,udp,icmp,esp,ah,ipip,sctpo un numero di protocollo IANA. Se non vengono specificati protocolli, viene eseguito il mirroring di tutto il traffico che corrisponde agli intervalli CIDR specificati. Se non vengono specificati né i protocolli né gli intervalli CIDR, viene eseguito il mirroring di tutto il traffico IPv4. Per specificare ICMP per IPv6, utilizza58. Puoi fornire più protocolli utilizzando un elenco separato da virgole.DIRECTION: la direzione del traffico da sottoporre a mirroring rispetto alla VM. Per impostazione predefinita, questo valore è impostato suboth, il che significa che viene eseguito il mirroring del traffico sia in entrata che in uscita. Puoi limitare i pacchetti acquisiti specificandoingressper acquisire solo i pacchetti in entrata oegressper acquisire solo i pacchetti in uscita.
Terraform
Puoi utilizzare una risorsa Terraform per creare una policy di Mirroring pacchetto.
Per scoprire come applicare o rimuovere una configurazione Terraform, consulta Comandi Terraform di base.
API
Per creare una policy di Mirroring pacchetto, invia una richiesta POST al metodo packetMirrorings.insert.
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/packetMirrorings
{
"name": "POLICY_NAME",
"enable": "ENABLED",
"network": {
"url": "NETWORK_URL"
},
"priority": PRIORITY,
"mirroredResources": {
"subnetworks": [
{
"url": "SUBNET_URL"
}
],
"tags": [
"TAG"
],
"instances": [
{
"url": "INSTANCE"
}
]
},
"collectorIlb": {
"url": "FORWARDING_RULE_URL"
},
"filter": {
"IPProtocols": [
"PROTOCOL"
],
"cidrRanges": [
"CIDR_RANGE"
],
"direction": "DIRECTION"
}
}
Sostituisci quanto segue:
PROJECT_ID: l'ID del progetto in cui creare la policy.REGION: la regione in cui si trovano le origini sottoposte a mirroring e la destinazione del raccoglitore.POLICY_NAME: il nome della policy di Mirroring pacchetto.ENABLED: indica se questa policy viene applicata o meno. Le opzioni sonoTRUEeFALSE.TRUEè il valore predefinito.NETWORK_URL: l'URL della rete in cui si trovano le origini mirrorate.PRIORITY: la priorità della regola di forwarding, utilizzata per interrompere i collegamenti se esiste più di una regola corrispondente. L'intervallo valido è compreso tra 0 e 65.535 e il valore predefinito è 1000.SUBNET_URL: l'URL di una subnet di cui eseguire il mirroring. Google Cloud esegue il mirroring delle istanze esistenti e future nella subnet. Puoi fornire più subnet utilizzando un elenco separato da virgole.TAG: un tag di rete. Google Cloud esegue il mirroring delle istanze con il tag di rete. Puoi fornire più tag utilizzando un elenco separato da virgole.INSTANCE: l'ID completo di un'istanza di cui eseguire il mirroring. Puoi fornire più istanze utilizzando un elenco separato da virgole.FORWARDING_RULE_URL: l'URL di una regola di forwarding configurata come raccoglitore di mirroring. Google Cloud Invia tutto il traffico sottoposto a mirroring al bilanciatore del carico di rete passthrough interno associato.PROTOCOL: uno o più protocolli. Le opzioni sonotcp,udp,icmp,esp,ah,ipip,sctpo un numero di protocollo IANA. Se non vengono specificati protocolli, viene eseguito il mirroring di tutto il traffico che corrisponde agli intervalli CIDR specificati. Se non vengono specificati né intervalli CIDR né protocolli, viene eseguito il mirroring di tutto il traffico IPv4. Per specificare ICMP per IPv6, inserisci58. Puoi fornire più protocolli utilizzando il seguente formato:"icmp", "udp".CIDR_RANGE: uno o più intervalli CIDR IPv4 o IPv6 di cui eseguire il mirroring. Se non vengono specificati intervalli CIDR, viene eseguito il mirroring di tutto il traffico IPv4 che corrisponde ai protocolli specificati. Se non vengono specificati né intervalli CIDR né protocolli, viene eseguito il mirroring di tutto il traffico IPv4. Per eseguire il mirroring di tutto il traffico IPv4 e IPv6, utilizza"0.0.0.0/0", "::/0". Puoi includere intervalli CIDR IPv4 e IPv6. Puoi fornire più intervalli CIDR utilizzando il seguente modulo:"192.0.2.0/24", "2001:0DB8::/32".PROTOCOL: uno o più protocolli di cui eseguire il mirroring.DIRECTION: la direzione del traffico di cui eseguire il mirroring. Le opzioni sonoINGRESS,EGRESSoBOTH. Il valore predefinito èBOTH.
Verifica il mirroring pacchetto
Per verificare che le istanze del raccoglitore ricevano correttamente il traffico sottoposto a mirroring, puoi utilizzare tcpdump.
Se il comando
tcpdumpnon è disponibile, installalo.Identifica la tua interfaccia di rete:
ip address
Nell'elenco delle interfacce di rete, trova il nome associato all'indirizzo IPv4 interno principale dell'istanza del raccoglitore, ad esempio
ens4.Inizia ad analizzare i pacchetti:
sudo tcpdump -i INTERFACE_NAME -f "host IP_ADDRESS"
Sostituisci quanto segue:
INTERFACE_NAME: il nome dell'interfaccia identificato nel passaggio 3.IP_ADDRESS: l'indirizzo IPv4 di una VM di origine sottoposta a mirroring.
Per eseguire il test, invia traffico dalla VM di origine sottoposta a mirroring, ad esempio inviando un ping
ICMP. Nell'output ditcpdump, verifica di poter visualizzare il traffico previsto.
Modifica una policy di Mirroring pacchetto
Puoi aggiornare una policy esistente per modificare dettagli come le origini sottoposte a mirroring o le destinazioni del raccoglitore.
Console
Nella console Google Cloud , vai alla pagina Mirroring pacchetto.
Nell'elenco delle policy di Mirroring pacchetto, fai clic su quella che vuoi modificare.
Nella pagina dei dettagli della policy, fai clic su Modifica.
Modifica i campi che vuoi aggiornare. La console segue lo stesso flusso dei passaggi per la creazione di una policy. Per informazioni su ciascun campo, consulta Crea una policy di Mirroring pacchetto.
gcloud
Per aggiornare una policy di Mirroring pacchetto esistente, utilizza il comando packet-mirrorings update.
gcloud compute packet-mirrorings update POLICY_NAME [--async] \
[--collector-ilb=FORWARDING_RULE_NAME] [--description=DESCRIPTION] [--enable] \
[--filter-direction=DIRECTION] [--region=REGION] \
[--add-filter-cidr-ranges=[CIDR_RANGE,...] | --clear-filter-cidr-ranges \
| --remove-filter-cidr-ranges=[CIDR_RANGE,...] \
| --set-filter-cidr-ranges=[CIDR_RANGE,...]] \
[--add-filter-protocols=[PROTOCOL,...] | --clear-filter-protocols \
| --remove-filter-protocols=[PROTOCOL,...] \
| --set-filter-protocols=[PROTOCOL,...]] \
[--add-mirrored-instances=[INSTANCE,...] | --clear-mirrored-instances \
| --remove-mirrored-instances=[INSTANCE,...] \
| --set-mirrored-instances=[INSTANCE,...]] \
[--add-mirrored-subnets=[SUBNET,...] | --clear-mirrored-subnets \
| --remove-mirrored-subnets=[SUBNET,...] \
| --set-mirrored-subnets=[SUBNET,...]] \
[--add-mirrored-tags=[TAG,...] | --clear-mirrored-tags \
| --remove-mirrored-tags=[TAG,...] | --set-mirrored-tags=[TAG,...]]
Sostituisci quanto segue:
POLICY_NAME: il nome della policy di Mirroring pacchetto da modificare.FORWARDING_RULE_NAME: il nome della regola di forwarding configurata come raccoglitore. Google Cloud Invia tutto il traffico sottoposto a mirroring al bilanciatore del carico di rete passthrough interno associato.DESCRIPTION: una descrizione della policy di Mirroring pacchetto.DIRECTION: la direzione del traffico a cui applicare la policy di Mirroring pacchetto. Le opzioni sonoegress,ingressoboth.REGION: la regione in cui si trova la policy.CIDR_RANGE: uno o più intervalli CIDR IPv4 o IPv6 di cui eseguire il mirroring. Se non vengono specificati intervalli CIDR, viene eseguito il mirroring di tutto il traffico IPv4 che corrisponde ai protocolli specificati. Se non vengono specificati né intervalli CIDR né protocolli, viene eseguito il mirroring di tutto il traffico IPv4. Per eseguire il mirroring di tutto il traffico IPv4 e IPv6, utilizza0.0.0.0/0,::/0. Puoi includere intervalli CIDR IPv4 e IPv6. Puoi fornire più intervalli utilizzando un elenco separato da virgole.PROTOCOL: uno o più protocolli di cui eseguire il mirroring. I valori validi sonotcp,udp,icmp,esp,ah,ipip,sctpo un numero di protocollo IANA. Se non vengono specificati protocolli, viene eseguito il mirroring del traffico che corrisponde agli intervalli CIDR specificati. Se non vengono specificati né i protocolli né gli intervalli CIDR, viene eseguito il mirroring di tutto il traffico IPv4. Per specificare ICMP per IPv6, utilizza58. Puoi fornire più protocolli utilizzando un elenco separato da virgole.INSTANCE: l'ID completo di una o più istanze VM da sottoporre a mirroring. Puoi fornire più istanze utilizzando un elenco separato da virgole.SUBNET: una o più subnet. Puoi fornire più subnet utilizzando un elenco separato da virgole. Google Cloud esegue il mirroring delle istanze esistenti e future nella subnet.TAG: uno o più tag di rete. Puoi fornire più tag utilizzando un elenco separato da virgole.
API
Per aggiornare una policy di Mirroring pacchetto, invia una richiesta POST al metodo packetMirrorings.patch.
PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/packetMirrorings/POLICY_NAME
{
"name": "POLICY_NAME",
"description": "DESCRIPTION",
"priority": "PRIORITY",
"collectorIlb": {
"url": "FORWARDING_RULE_URL"
},
"mirroredResources": {
"subnetworks": [
{
"url": "SUBNET_URL"
}
],
"instances": [
{
"url": "INSTANCE_URL"
}
],
"tags": [
"NETWORK_TAGS"
]
},
"filter": {
"cidrRanges": [
"CIDR_RANGE"
],
"IPProtocols": [
"PROTOCOL"
],
"direction": "DIRECTION"
},
"enable": "ENABLED"
}
Sostituisci quanto segue:
PROJECT_ID: l'ID del progetto in cui si trova la policy.REGION: la regione della policy di Mirroring pacchetto.POLICY_NAME: il nome della policy di Mirroring pacchetto da modificare.DESCRIPTION: una descrizione facoltativa della policy.PRIORITY: la priorità della policy, utilizzata per risolvere i conflitti quando esistono più policy corrispondenti. Il valore predefinito è 1000. L'intervallo valido è compreso tra 0 e 65.535.FORWARDING_RULE_URL: l'URL di una regola di forwarding con Mirroring pacchetto abilitato. Google Cloud invia tutto il traffico sottoposto a mirroring al bilanciatore del carico di rete passthrough interno associato.SUBNET_URL: l'URL di una subnet. Google Cloud esegue il mirroring delle istanze esistenti e future nella subnet. Puoi fornire più subnet utilizzando un elenco separato da virgole.INSTANCE_URL: l'URL di un'istanza VM da sottoporre a mirroring. Puoi fornire più istanze utilizzando un elenco separato da virgole.NETWORK_TAGS: un tag di rete. Google Cloud esegue il mirroring delle istanze che hanno uno o più tag di rete. Puoi fornire più tag utilizzando un elenco separato da virgole.CIDR_RANGE: uno o più intervalli CIDR IPv4 o IPv6 di cui eseguire il mirroring. Se non vengono specificati intervalli CIDR, viene eseguito il mirroring di tutto il traffico IPv4 che corrisponde ai protocolli specificati. Se non vengono specificati né intervalli CIDR né protocolli, viene eseguito il mirroring di tutto il traffico IPv4. Per eseguire il mirroring di tutto il traffico IPv4 e IPv6, utilizza"0.0.0.0/0", "::/0". Puoi includere intervalli CIDR sia IPv4 che IPv6. Puoi fornire più intervalli CIDR utilizzando il seguente modulo:"192.0.2.0/24", "2001:DB8::/32".IP_PROTOCOL: uno o più protocolli. Le opzioni sonotcp,udp,icmp,esp,ah,ipip,sctpo un numero di protocollo IANA. Se non vengono specificati protocolli, viene eseguito il mirroring di tutto il traffico che corrisponde agli intervalli CIDR specificati. Se non vengono specificati intervalli CIDR né protocolli, viene eseguito il mirroring di tutto il traffico IPv4. Per specificare ICMP per IPv6, utilizza58. Puoi fornire più protocolli utilizzando il seguente modulo:"icmp", "udp".DIRECTION: la direzione del traffico di cui eseguire il mirroring. Le opzioni sonoINGRESS,EGRESSoBOTH. Il valore predefinito èBOTH.ENABLED: indica se la policy è abilitata o meno. Le opzioni sonoTRUEoFALSE.
Elenca le policy di Mirroring pacchetto
Puoi elencare le policy di Mirroring pacchetto per visualizzare quelle esistenti.
Console
Nella console Google Cloud , vai alla pagina Mirroring pacchetto.
La console Google Cloud elenca tutte le policy del progetto.
gcloud
Per elencare le policy di Mirroring pacchetto presenti nel tuo progetto o per una determinata regione, utilizza il comando packet-mirrorings list.
gcloud compute packet-mirrorings list \ [--filter="region:(REGION...)"]
Sostituisci REGION con il nome della regione che contiene le policy da elencare.
API
Per elencare le policy di Mirroring pacchetto esistenti nel tuo progetto, invia una richiesta GET al
metodo packetMirrorings.list.
GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/aggregated/packetMirrorings
Sostituisci PROJECT_ID con l'ID del tuo progetto.
Per elencare le policy di Mirroring pacchetto esistenti per una determinata regione, invia una richiesta GET al metodo packetMirrorings.list.
GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/packetMirrorings
Sostituisci quanto segue:
PROJECT_ID: l'ID del progetto che contiene le policy da elencare.REGION: la regione che contiene le policy da elencare.
Descrivi una policy di Mirroring pacchetto
Puoi descrivere una policy di Mirroring pacchetto per visualizzare dettagli come i filtri della policy.
Console
Nella console Google Cloud , vai alla pagina Mirroring pacchetto.
Nell'elenco delle policy di Mirroring pacchetto, seleziona quella che vuoi visualizzare. La console Google Cloud mostra i dettagli della policy selezionata.
gcloud
Per descrivere una policy di Mirroring pacchetto, utilizza il
comando packet-mirrorings describe.
gcloud compute packet-mirrorings describe POLICY_NAME \ --region=REGION \
Sostituisci quanto segue:
POLICY_NAME: il nome della policy di Mirroring pacchetto da descrivere.REGION: la regione in cui si trova la policy.
API
Per descrivere una policy di Mirroring pacchetto, invia una richiesta GET al
metodo packetMirrorings.get.
GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/packetMirrorings/POLICY_NAME
Sostituisci quanto segue:
PROJECT_ID: l'ID del progetto in cui si trova la policy.REGION: la regione in cui si trova la policy.POLICY_NAME: il nome della policy di Mirroring pacchetto da descrivere.
Disattiva o attiva una policy di Mirroring pacchetto
Puoi disattivare o attivare una policy di Mirroring pacchetto per interrompere o avviare la raccolta del traffico sottoposto a mirroring.
Console
Nella console Google Cloud , vai alla pagina Mirroring pacchetto.
Dall'elenco delle policy di Mirroring pacchetto, seleziona quella da disattivare o attivare.
Fai clic su Disattiva o Attiva.
Conferma facendo clic su Disattiva o Attiva.
gcloud
Per disattivare una policy di Mirroring pacchetto, utilizza il
comando packet-mirrorings update.
gcloud compute packet-mirrorings update POLICY_NAME \ --region=REGION \ --no-enable
Sostituisci quanto segue:
POLICY_NAME: il nome della policy di Mirroring pacchetto da disattivare o attivare.REGION: la regione in cui si trova la policy.
Per attivare una policy di Mirroring pacchetto, utilizza il comando packet-mirrorings update.
gcloud compute packet-mirrorings update POLICY_NAME \ --region=REGION \ --enable
Sostituisci quanto segue:
POLICY_NAME: il nome della policy di Mirroring pacchetto da disattivare o attivare.REGION: la regione in cui si trova la policy.
API
Per disattivare o attivare una policy di Mirroring pacchetto esistente, invia una richiesta PATCH al metodo packetMirrorings.patch.
PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/packetMirrorings/POLICY_NAME
{
"enable": "FALSE|TRUE"
}
Sostituisci quanto segue:
PROJECT_ID: l'ID del progetto in cui si trova la policy.REGION: la regione in cui si trova la policy.POLICY_NAME: il nome della policy di Mirroring pacchetto da disattivare.
Elimina una policy di Mirroring pacchetto
Puoi eliminare una policy di Mirroring pacchetto per rimuoverla dal progetto. Dopo aver eliminato una policy, Google Cloud interrompe il mirroring di tutto il traffico correlato alla policy.
Console
Nella console Google Cloud , vai alla pagina Mirroring pacchetto.
Dall'elenco delle policy di Mirroring pacchetto, seleziona quella che vuoi eliminare.
Fai clic su Elimina.
Conferma facendo clic su Elimina.
gcloud
Per eliminare una policy di Mirroring pacchetto, utilizza il
comando packet-mirrorings delete.
gcloud compute packet-mirrorings delete POLICY_NAME \ --region=REGION \
Sostituisci quanto segue:
POLICY_NAME: il nome della policy di Mirroring pacchetto da eliminare.REGION: la regione in cui si trova la policy.
API
Per eliminare una policy di Mirroring pacchetto, invia una richiesta DELETE al metodo packetMirrorings.delete.
DELETE https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/packetMirrorings/POLICY_NAME
Sostituisci quanto segue:
PROJECT_ID: l'ID del progetto in cui si trova la policy.POLICY_NAME: il nome della policy di Mirroring pacchetto da eliminare.REGION: la regione in cui si trova la policy.
Risoluzione dei problemi
Se la policy di Mirroring pacchetto non raccoglie il traffico con mirroring previsto, controlla le seguenti configurazioni:
Verifica di avere regole firewall che consentano il traffico dalle istanze sottoposte a mirroring alle istanze di raccolta.
Verifica che le origini con mirroring includano o escludano le istanze di cui eseguire il mirroring. Ad esempio, se specifichi una subnet come origine sottoposta a mirroring, viene eseguito il mirroring di tutte le istanze esistenti e future nella subnet. Se specifichi i tag, viene eseguito il mirroring solo delle istanze con tag corrispondenti.
Verifica che i filtri di Mirroring pacchetto non siano troppo ampi o troppo ristretti. Potresti aver configurato involontariamente dei filtri per includere o escludere un determinato traffico.
Se hai configurato una policy di Mirroring pacchetto per raccogliere il traffico IPv6, assicurati che le origini del traffico sottoposto a mirroring siano VM con indirizzi IPv6 connesse a subnet con intervalli di indirizzi IPv6.