流日志
VPC提供流日志功能，通過記錄VPC中彈性網卡ENI傳入和傳出的流量信息，幫助您檢查訪問控制規則、監控網絡流量和排查網絡故障。
功能簡介
流日志
您可以創建流日志采集指定彈性網卡、VPC或交換機的流量。如果選擇為VPC或交換機創建流日志，則會采集VPC和交換機中所有彈性網卡的流量，包括在開啟流日志功能后新建的彈性網卡。
流日志記錄
流日志功能采集的流量信息會以流日志記錄的方式寫入日志服務SLS。每條流日志記錄會采集特定采集窗口中的特定五元組網絡流，采集窗口默認為10分鐘，您可以根據需要調整為1分鐘或5分鐘。在該段采樣間隔內，流日志服務會先聚合數據，再發布流日志記錄。
您可以根據具體場景選擇采集對應路徑的流量信息，包括：采集全部場景、通過IPv4網關訪問公網的流量、通過NAT網關的流量、通過VPN網關的流量、通過轉發路由器（TR）的流量、通過網關終端節點訪問云服務的流量、通過邊界路由器（VBR）訪問專線的流量、通過專線網關（ECR）的流量、通過網關型負載均衡終端節點的流量。
流日志記錄字段
流日志記錄的字段信息如下表所示。
字段 | 說明 |
version | 流日志版本。 |
account-id | 賬號ID。 |
eni-id | 彈性網卡ID。 |
vm-id | 彈性網卡綁定的云服務器ID。 |
vswitch-id | 彈性網卡所在交換機ID。 |
vpc-id | 彈性網卡所在專有網絡ID。 |
type | 流量類型：IPv4。 |
protocol | 流量的IANA協議編號。 更多信息，請參見Internet 協議編號。 |
srcaddr | 源地址。 |
srcport | 源端口。 |
dstaddr | 目的地址。 |
dstport | 目的端口。 |
direction | 流量方向：
|
action | 與流量關聯的操作：
|
packets | 數據包數量。 |
bytes | 數據包大小。 |
start | 捕捉窗口開始時間。 |
end | 捕捉窗口結束時間。 |
tcp-flags | 部分TCP的標志位和對應的掩碼值如下：
關于TCP標志通用信息（例如SYN、FIN、ACK、RST等標志的含義），請參見RFC: 793。 |
log-status | 流日志的日志記錄狀態：
|
traffic_path | 流量的采樣路徑：
|
流日志記錄示例
流日志格式如下：
<account-id> <action> <bytes> <direction> <dstaddr> <dstport> <end> <eni-id> <log-status> <packets> <protocol> <srcaddr> <srcport> <start> <tcp-flags> <traffic_path> <type> <version> <vm-id> <vpc-id> <vswitch-id>數據記錄正常且允許記錄流量示例
本示例阿里云主賬號ID為1210123456******，VPC流日志版本為1，在2024年7月12日17:10:20至17:11:20（1分鐘內），彈性網卡eni-bp166tg9uk1ryf******允許出方向以下流量：
源地址和端口（172.31.16.139，1332）通過TCP協議（6表示TCP協議）向目的地址和端口（172.31.16.21，80）傳輸了10個數據包，數據包總大小為2048字節。日志記錄狀態為OK，無異常。
1210123456****** ACCEPT 2048 out 172.31.16.21 80 1720775480 eni-bp166tg9uk1ryf****** OK 10 6 172.31.16.139 1332 1720775420 22 - - 1 - vpc-bp1qf0c43jb3maz****** vsw-bp12632woke7abk******數據記錄正常且拒絕記錄流量示例
本示例阿里云主賬號ID為1210123456******，VPC流日志版本為1，在2024年7月15日10:20:00至10:30:00（10分鐘內），彈性網卡eni-bp1ftp5sm9oszt******拒絕入方向以下流量：
源地址和端口（172.31.16.139，1332）通過TCP協議（6表示TCP協議）向目的地址和端口（172.31.16.21，80）傳輸了20個數據包，數據包總大小為4208字節。日志記錄狀態為OK，無異常。
1210123456****** REJECT 4208 in 172.31.16.21 80 1721010600 eni-bp1ftp5sm9oszt****** OK 20 6 172.31.16.139 1332 1721010000 22 - - 1 - vpc-bp1qf0c43jb3maz****** vsw-bp12632woke7abk****** 無數據記錄狀態示例
本示例阿里云主賬號ID為1210123456******，VPC流日志版本為1，在2024年7月15日10:52:20至10:55:20（3分鐘內），彈性網卡eni-bp1j7mmp34jlve******在此時間段內沒有流量數據記錄（NODATA）。
1210123456****** - - - - - 1721012120 eni-bp1j7mmp34jlve****** NODATA - - - - 1721011940 - - - 1 - vpc-bp1qf0c43jb3maz****** vsw-bp12632woke7abk****** 跳過的數據記錄狀態示例
本示例阿里云主賬號ID為1210123456******，VPC流日志版本為1，在2024年7月12日16:20:30至16:23:30（3分鐘內），彈性網卡eni-bp1dfm4xnlpruv******的數據記錄被跳過（SKIPDATA）。
1210123456****** - - - - - 1720772610 eni-bp1dfm4xnlpruv****** SKIPDATA - - - - 1720772430 - - - 1 - vpc-bp1qf0c43jb3maz****** vsw-bp12632woke7abk****** 功能計費
關于流日志的計費，請參見流日志計費說明。
使用限制
功能限制
首次使用流日志功能時，您需要在流日志管理頁面單擊立即開通，完成流日志功能的開通。
如果您之前創建過流日志實例，單擊立即開通后，已創建的流日志實例會重新展示在流日志頁面。
支持的地域
公有云支持的地域
區域 | 支持流日志的地域 |
亞太 | 華東1（杭州）、華東2（上海）、華北1（青島）、華北2（北京）、華北3（張家口）、華北5（呼和浩特）、華北6（烏蘭察布）、華南1（深圳）、華南2（河源）、華南3（廣州）、西南1（成都）、中國香港、華東6（福州-本地地域）、日本（東京）、韓國（首爾）、新加坡、馬來西亞（吉隆坡）、印度尼西亞（雅加達）、菲律賓（馬尼拉）、泰國（曼谷） |
歐洲與美洲 | 德國（法蘭克福）、英國（倫敦）、美國（硅谷）、美國（弗吉尼亞） |
中東 | 阿聯酋（迪拜）、沙特（利雅得） 重要 沙特（利雅得）地域由合作伙伴運營。 |
金融云支持的地域
區域 | 支持流日志的地域 |
亞太 | 華北2 金融云（邀測）、華南1 金融云、華東2 金融云 |
政務云支持的地域
區域 | 支持流日志的地域 |
亞太 | 華北2 阿里政務云1 |
配額限制
配額名稱 | 描述 | 默認限制 | 提升配額 |
vpc_quota_flowlog_inst_nums_per_user | 用戶支持創建的流日志實例的數量 | 10個 | 您可以通過以下任意方式自助提升配額： |
管理流日志
- 登錄專有網絡管理控制臺。
在左側導航欄，選擇。在頂部菜單欄處，選擇流日志的地域。
根據您的需求，繼續執行以下操作。
創建或刪除流日志
創建流日志
在流日志頁面，單擊創建流日志。在創建流日志對話框，根據以下信息配置流日志。
資源類型：選擇要采集流量的資源類型。支持選擇以下資源類型：專有網絡、交換機、彈性網卡。
說明當彈性網卡中存在傳入或傳出流量時，您才可以在流日志頁面，在目標流日志的操作列單擊查看ENI采集范圍，查看采集彈性網卡的信息。
資源實例：選擇要采集流量的資源實例。
流量類型：選擇要采集的流量類型。支持全部流量、被訪問控制允許的流量、被訪問控制拒絕的流量。
流量采集IP地址類型：選擇要采集流量的IP地址類型，支持IPv4。
項目（Project）：選擇現有Project或新建Project，存儲采集流量。
在：選擇現有 Logstore或新建 Logstore，存儲采集流量。
開啟流日志分析報表功能：選擇該功能后，所選的LogStore會開啟索引并建立儀表盤，支持對數據進行SQL與可視化分析。
日志服務索引功能按流量收費，儀表盤不收費。更多信息，請參見日志服務計費說明。
采樣間隔（分鐘）：選擇流日志采樣的時間間隔，當前支持1分鐘、5分鐘和10分鐘。默認采用10分鐘的采樣間隔。
說明流日志創建完成后，您可以在流日志頁面，找到目標流日志，在采樣間隔（分鐘）列單擊編輯，修改采樣間隔。
采樣路徑：選擇流日志的采樣路徑。當前支持采集全部場景、通過IPv4網關訪問公網的流量、通過NAT網關的流量、通過VPN網關的流量、通過轉發路由器（TR）的流量、通過網關終端節點訪問云服務的流量、通過邊界路由器（VBR）訪問專線的流量。默認采集全部場景，您也可以按需配置，組合選擇采集其他場景的流量。
刪除流日志
您可以刪除處于已啟動和未啟動狀態的流日志。刪除流日志后，您仍可以通過日志管理控制臺查看之前采集的流量信息。
在流日志頁面，找到目標流日志，然后在操作列單擊刪除。
在刪除流日志對話框，單擊確定。
分析流日志
通過分析流日志，您可以檢查訪問控制規則、監控網絡流量和排查網絡故障。
使用日志庫
在流日志頁面，找到目標流日志，單擊日志服務列的日志庫鏈接。
在日志管理控制臺，單擊查詢/分析。您可以使用日志服務提供的相關功能，分析流日志。
使用Flowlog日志中心
登錄日志服務控制臺。
在日志應用區域，單擊查看更多日志應用，在日志應用對話框中單擊Flowlog日志中心。
在Flowlog管理頁面，單擊添加。在創建實例面板中，選擇創建流日志時配置的Project和Logstore。
創建實例成功后，單擊Flowlog日志中心列表的實例ID。在Flowlog詳情頁面，您可以查看并分析流日志的信息。
監控中心提供以下儀表盤和自定義查詢功能：
概覽：展示流日志的整體信息。
策略統計：展示Accept趨勢、Reject趨勢、Accept次數統計（由五元組構成）、Reject次數統計（由五元組構成）等信息。五元組是由源網段、源端口、協議類型、目標網段和目標端口組成的集合。
Accept：安全組和網絡ACL允許記錄的流量。
Reject：安全組和網絡ACL拒絕記錄的流量。
ENI流量：展示彈性網卡傳入和傳出的流量信息。
ECS間流量：展示ECS實例之間的流量情況。
自定義查詢：您可以自行查詢和分析流日志。
在Flowlog詳情頁面，單擊網段設置，在網段設置頁簽，打開開啟“域間分析”開關。
開啟域間分析功能后，系統將自動創建數據加工任務，生成具有網段信息的VPC流日志，用于分析不同網段之間的流量情況。數據加工功能會收取一定的費用，您可以選擇是否開啟域間分析功能。
日志服務已預設多個網段，如下圖所示。當您需要分析不同網段之間的流量情況時，只需一鍵開啟域間分析功能即可。如果預設網段未滿足您的需求，您可以自定義添加網段。
域間分析提供以下儀表盤和自定義查詢功能：
域間流量：展示不同網段之間的流量情況。
ECS到區間流量：展示ECS實例到目標網段的流量情況。
威脅情報：展示源IP地址與目標IP地址的威脅情報信息。
自定義查詢：您可以自行查詢和分析具有網段信息的VPC流日志。
啟動或停止流日志
啟動流日志
您可以啟動處于未啟動狀態的流日志。啟動流日志后，流日志才會采集彈性網卡的流量信息。
在流日志頁面，找到目標流日志，然后在操作列單擊啟動。啟動流日志后，流日志的狀態變更為已啟動。
停止流日志
如果您希望暫時停止采集彈性網卡的流量信息，您可以停止流日志。停止流日志并非刪除流日志，待您希望再次采集彈性網卡的流量信息時，可以啟動狀態為未啟動的流日志。
在流日志頁面，找到目標流日志，然后在操作列單擊停止。停止流日志后，流日志的狀態變更為未啟動。
相關文檔
您可以通過其他方式，SDK、Terraform或ROS調用以下API管理流日志：
CreateFlowLog：創建流日志。
DescribeFlowLogs：查詢流日志。
ModifyFlowLogAttribute：修改流日志的屬性。
ActiveFlowLog：啟動流日志。
DeactiveFlowLog：停止流日志。
DeleteFlowLog：刪除流日志。