Comment récupérer les journaux de flux Amazon VPC pour résoudre les problèmes de réseau ?

Résolution

Remarque : si des erreurs surviennent lorsque vous exécutez des commandes de l’interface de la ligne de commande AWS (AWS CLI), consultez la page Résoudre les erreurs liées à AWS CLI. Vérifiez également que vous utilisez bien la version la plus récente de l'AWS CLI.

Prérequis : vous pouvez utiliser le dossier d'exploitation AWSSupport-EnableVPCFlowLogs pour activer les journaux de flux VPC.

Utiliser CloudWatch Logs pour récupérer les journaux de flux Amazon VPC

Si vous stockez vos journaux dans Amazon CloudWatch, utilisez la console CloudWatch Logs pour rechercher les enregistrements de vos journaux de flux.

Utilisez CloudWatch Logs Insights pour interroger vos journaux. Puis, utilisez CloudWatch Logs Insights pour analyser les journaux de flux personnalisés.

Utiliser Amazon Athena pour récupérer les journaux de flux Amazon VPC

Si vous stockez vos journaux dans des compartiments Amazon Simple Storage Service (Amazon S3), utilisez Amazon Athena pour analyser vos journaux. Vous pouvez également utiliser Athena pour exécuter une requête prédéfinie pour vos journaux.

Pour analyser vos journaux à l'aide d'une intégration par pointer-cliquer avec Amazon Athena, consultez la section Analyser les journaux de flux VPC avec intégration par pointer-cliquer d'Amazon Athena sur le site Web AWS Blogs.

Utiliser l'interface de ligne de commande AWS pour récupérer les journaux de flux Amazon VPC

Utilisez les commandes de l'AWS CLI suivantes pour récupérer vos journaux de flux en fonction de l'emplacement où vous les stockez.

Amazon S3

Si vous envoyez vos journaux vers un compartiment Amazon S3 qui utilise une structure de fichier journal par défaut, effectuez les actions suivantes :

• Pour répertorier vos journaux de flux, exécutez la commande suivante :

  aws s3 ls s3://example-bucket-name/AWSLogs/example-account-id/vpcflowlogs/example-region/

• Pour télécharger un fichier journal spécifique, exécutez la commande suivante :

  aws s3 cp s3://example-bucket-name>/AWSLogs/example-account-id/vpcflowlogs/example-region/YYYY/MM/DD/example-file-name

• Pour télécharger tous les journaux d'un jour donné, exécutez la commande suivante :

  aws s3 sync s3://example-bucket-name/AWSLogs/example-account-id/vpcflowlogs/example-region/YYYY/MM/DD/ ./local-directory/

• Pour télécharger et décompresser vos journaux, exécutez la commande suivante :

  aws s3 cp s3://example-bucket-name/path/to/log.gz - | gunzip > output.txt

• Pour rechercher un terme de recherche dans vos journaux, exécutez la commande suivante :

  aws s3 cp s3://example-bucket-name/path/to/log.gz - | \  
  gunzip | \  
  grep "example-search-term"

  Remarque : dans la commande précédente, remplacez example-bucket-name par le nom de votre compartiment Amazon S3. Remplacez example-account-id par votre ID de compte AWS et example-region par la région AWS dans laquelle se trouve votre journal. Remplacez YYYY/MM/DD par la date. Remplacez example-file-name par le nom de fichier. Remplacez example-search-term par le terme que vous souhaitez rechercher.

CloudWatch Logs

Si vous envoyez vos journaux à CloudWatch, effectuez les actions suivantes :

• Pour répertorier les groupes de journaux afin de trouver les journaux de flux de votre VPC, exécutez la commande suivante :

  aws logs describe-log-groups --log-group-name-prefix "/aws/vpc/flowlogs"

• Pour répertorier les flux de journaux dans un groupe de journaux spécifique, exécutez la commande suivante :

  aws logs describe-log-streams --log-group-name "/aws/vpc/flowlogs/example-log-group"

• Pour obtenir les événements du journal à partir d'un flux spécifique, exécutez la commande suivante :

  aws logs get-log-events \  
      --log-group-name "/aws/vpc/flowlogs/example-log-group" \  
      --log-stream-name "example-log-stream"

• Pour obtenir les journaux dans une période spécifique, exécutez la commande suivante :

  aws logs get-log-events \  
      --log-group-name "/aws/vpc/flowlogs/example-log-group" \  
      --log-stream-name "example-log-stream" \  
      --start-time example-timestamp \  
      --end-time example-timestamp

• Pour utiliser CloudWatch Logs Insights afin de filtrer les journaux, exécutez la commande suivante :

  aws logs start-query \  
      --log-group-name "/aws/vpc/flowlogs/example-log-group" \  
      --start-time example-timestamp \  
      --end-time example-timestamp \  
      --query-string "fields @timestamp, srcAddr, dstAddr, action | filter action='REJECT'"

  Remarque : dans les commandes précédentes, remplacez example-log-group par le groupe de journaux, example-log-stream par le flux de journaux et example-timestamp par un horodatage au format Unix, mesuré en millisecondes.

Résoudre les problèmes liés aux journaux de flux VPC

Si vous avez un délai de connexion lorsque vous récupérez vos journaux de flux, recherchez les entrées REJECT. Vérifiez si les groupes de sécurité ou les listes de contrôle d'accès au réseau (ACL réseau) bloquent le trafic nécessaire. Vérifiez que les adresses IP source et de destination sont correctes.

Si vous rencontrez des problèmes de communication unidirectionnelle, comparez les flux de trafic entrant et sortant pour détecter les divergences. Vérifiez que la connexion autorise le trafic de requêtes et de réponses, puis vérifiez l’absence de problèmes de routage asymétrique.

Informations connexes

Enregistrements de journaux de flux

Exemples d'enregistrements de journaux de flux

Comment puis-je surveiller le trafic dans mon VPC à l’aide de journaux de flux ?

Journalisation du trafic IP à l'aide des journaux de flux VPC