OCI VCNフロー・ログのトラブルシューティングを支援 (2024/05/01)

https://www.thatfinnishguy.blog/2024/05/01/helping-to-troubleshoot-with-oci-vcn-flow-logs/

私は、そこにある問題のトラブルシューティングに役立つツールを使用することを大好きです。幸いなことに、OCIには、過去に触れたNetwork Path Analyzerなど、多くの無料のツールが用意されています。

今回はVCNフロー・ログを見てみましょう。まずは、サブネット内でどのトラフィックが発生しているかについて、VCNフロー・ログを有効にすることを検討する必要があります。

フロー・ログは、Load Balancerを使用してOracle EBSで実際に奇妙な問題をトラブルシューティングするのに役立ちました。Oracle Formsのページの1つが、追加のEBSパッケージをコールしていました。このパッケージは、アプリケーション・サーバー・ポートの1つと呼ばれていました。Load Balancerサブネットからアプリケーション・サーバー・サブネット内のそのポートへのトラフィックは許可されず、フロー・ログによって接続が拒否されることがわかりました。

VCNフロー・ログは、VCN、サブネット、VNICまたはリソースの様々なレベルで有効にできます。この例では、2つのサブネットでそれらを有効にします。

OCIコンソールでサブネット・ビューに移動する場合は、ログを参照するオプションがあります。次のようなログを有効にする簡単なオプションがあります。前提条件の1つは、ログ・グループを作成する必要があることです(次の図のvcnflowlogs)。

VCNフロー・ログの有効化

他のサブネットについても同じことを繰り返しました。

2つのコンピュート・インスタンスがあり、各サブネットに1つずつあります。あるコンピュートVMから別のコンピュートVMへのSSHトラフィックを開始し、サブネットでセキュリティ・リスト内のトラフィックが許可されるとどうなるかを見てみましょう。

ログ名をクリックすると、次に示すようにOCIロギング・サービスに移動し、それぞれのログに移動します。

ロギング・サービスのVCNフロー・ログ

トラフィックがソースから宛先まで許可され、次のログを参照してログを探索すると、数分後に行が表示されます。

フロー・ログからの行で、ソースから宛先へのトラフィックがACCEPT(ed)であったことが示されます。

同じテストを繰り返し、宛先サーバーのポート22へのトラフィックを許可するセキュリティ・リスト・ルールを削除したいのですが、十分です。SSH接続がタイムアウトし、フロー・ログで次を参照できます。

トラフィックは現在拒否されています

右側には下矢印があり、イベントの詳細にドリルダウンできます。行を展開すると、使用可能なすべてのデータが表示されます。

VCNフロー・ログのパケット詳細

Oracleが行ったこととトラブルシューティングに役立ったことは、データのフィルタリングでもあります。特定の行を右クリックするだけで、ポート22でフィルタするオプションが表示されるか、アクションがREJECTであるすべてのデータをフィルタするために使用できます。

データのフィルタリング

さらに、IP、アクションなどでデータをグループ化することもできます。たとえば、問題のあるサーバが1つあるかどうかを確認するのに便利です。

まとめ

トラブルシューティングおよびモニタリングのためのVCNフロー・ログの有効化は、インフラストラクチャの構築で実行するアクションの1つである必要があります。前述の単純な例は、実行がいかに簡単か、およびログを有効にして役立つ速度を示すことを目的としています。必要に応じて、サードパーティ・システムにログをいつでも取り込むことができます。