Como encontrar os principais contribuidores de tráfego do gateway NAT em minha Amazon VPC?

Breve descrição

Para encontrar os principais geradores de tráfego do gateway NAT em sua Amazon VPC, use as Amazon CloudWatch Metrics para identificar a hora dos picos de tráfego.

Em seguida, use um dos métodos a seguir para identificar as instâncias da Amazon VPC que causam picos de tráfego:

• Se seus logs de fluxo da Amazon VPC publicarem dados no CloudWatch, use o CloudWatch Logs.
• Se seus logs de fluxo da Amazon VPC publicarem dados no Amazon Simple Storage Service (Amazon S3), use o Amazon Athena.

Resolução

Pré-requisito: verifique se você ativou os logs de fluxo da Amazon VPC para sua interface de rede elástica da Amazon VPC ou do gateway NAT. Se você não ativou os logs de fluxo da Amazon VPC, crie logs de fluxo que sejam publicados no Amazon CloudWatch Logs ou no Amazon S3.

Use o Amazon CloudWatch para visualizar as métricas do seu gateway NAT

Use as seguintes Amazon CloudWatch Metrics para suas métricas de gateway NAT para identificar intervalos de tempo que correspondem aos picos de tráfego:

• Use BytesInFromSource para indicar o tráfego que é carregado em instâncias em seu gateway NAT.
• Use BytesInFromDestination para indicar o tráfego que é baixado de instâncias em seu gateway NAT.

Em seguida, consulte seus logs de fluxo da Amazon VPC para ver as instâncias que tiveram alto tráfego durante os intervalos de tempo que você identificou. É possível usar o Amazon CloudWatch Logs Insights ou o Amazon Athena para consultar seus logs de fluxo da Amazon VPC. Para obter mais informações, consulte Consultar os logs de fluxo da Amazon VPC.

Use o CloudWatch Logs Insights para identificar as instâncias que causam picos de tráfego

Se seus logs de fluxo da Amazon VPC publicarem dados no CloudWatch, use o Cloud Watch Logs Insights para consultar seus logs de fluxo da Amazon VPC. No menu suspenso Selecionar grupo(s) de logs, selecione o grupo de logs do seu gateway NAT. Em seguida, clique em Personalizado para definir o intervalo de tempo que corresponde aos picos de tráfego que você identificou.

Use uma das consultas a seguir para exibir instâncias que causam picos de tráfego com base no seu caso de uso. Também é possível usar um modelo do CloudFormation para criar um CloudWatch Dashboard que incorpore as seguintes consultas. Para ver um exemplo do CloudFormation Template, consulte aws-cloudformation-templates no site do Github.

Observação: nas consultas a seguir, substitua example-NAT-private-IP pelo endereço IP ou endereços IP privados do seu gateway NAT. Em consultas de IP único, use o endereço IP privado primário do seu gateway NAT. Substitua example-VPC-CIDR pelo intervalo CIDR da sua Amazon VPC.

Execute a consulta a seguir para identificar as instâncias que enviam mais tráfego pelo seu gateway NAT:

filter (dstAddr in ["example-NAT-private-IP", "example-NAT-private-IP", "example-NAT-private-IP"] AND isIpv4InSubnet(srcAddr, "example-VPC-CIDR"))  
| stats sum(bytes) as bytesTransferred by srcAddr, dstAddr  
| sort bytesTransferred desc

Execute a consulta a seguir para identificar o tráfego que entra e sai das instâncias:

filter (dstAddr in ["example-NAT-private-IP", "example-NAT-private-IP", "example-NAT-private-IP"] AND isIpv4InSubnet(srcAddr, "example-VPC-CIDR"))  
OR (srcAddr in ["example-NAT-private-IP", "example-NAT-private-IP", "example-NAT-private-IP"] AND isIpv4InSubnet(dstAddr, "example-VPC-CIDR"))  
| stats sum(bytes) as bytesTransferred by srcAddr, dstAddr  
| sort bytesTransferred desc

Para identificar os destinos da internet que suas instâncias acessam com mais frequência, execute as seguintes consultas:

• Para uploads por meio de um gateway NAT:

  filter (srcAddr in ["example-NAT-private-IP", "example-NAT-private-IP", "example-NAT-private-IP"] AND not isIpv4InSubnet(dstAddr, "example-VPC-CIDR"))  
  | stats sum(bytes) as bytesTransferred by srcAddr, dstAddr  
  | sort bytesTransferred desc  
  | limit 10

• Para downloads por meio de um gateway NAT:

  filter (dstAddr in ["example-NAT-private-IP", "example-NAT-private-IP", "example-NAT-private-IP"] AND not isIpv4InSubnet(srcAddr, "example-VPC-CIDR"))  
  | stats sum(bytes) as bytesTransferred by srcAddr, dstAddr  
  | sort bytesTransferred desc  
  | limit 10

Execute as consultas a seguir para identificar as instâncias que enviam mais tráfego pelo seu gateway NAT aos destinos da internet:

• Para uploads por meio de um gateway NAT:

  parse @message "* * * * * * * * * * * * * * * " as version, account_id, interface_id, srcaddr, dstaddr, srcport, dstport, protocol, packets, bytes, start, end, action, log_status, pkt_srcaddr, pkt_dstaddr| filter (dstaddr like 'example-NAT-private-IP' and isIpv4InSubnet(pkt_srcaddr, 'example-VPC-CIDR'))   
  | stats sum(bytes) as bytesTransferred by pkt_srcaddr, pkt_dstaddr  
  | sort bytesTransferred desc  
  | limit 10

• Para downloads por meio de um gateway NAT:

  parse @message " * * * * * * * * * * * * * * *" as version, account_id, interface_id, srcaddr, dstaddr, srcport, dstport, protocol, packets, bytes, start, end, action, log_status, pkt_srcaddr, pkt_dstaddr| filter (srcaddr like 'example-NAT-private-IP' and !isIpv4InSubnet(pkt_srcaddr, 'example-VPC-CIDR'))   
  | stats sum(bytes) as bytesTransferred by pkt_srcaddr, pkt_dstaddr  
  | sort bytesTransferred desc  
  | limit 10

Para identificar as instâncias que se comunicam com destinos da internet, use logs de fluxo personalizados da VPC. Certifique-se de que seus logs de fluxo da VPC incluam os campos pkt-srcaddr e pkt-dstaddr. Para obter mais informações, consulte Tráfego por meio de um gateway NAT.

Use o Amazon Athena para identificar as instâncias que causam picos de tráfego

Se seus logs de fluxo da Amazon VPC publicarem dados no Amazon S3, use o Amazon Athena para criar uma tabela para seus logs de fluxo. Certifique-se de adicionar os seguintes filtros à sua tabela para definir o intervalo de tempo que corresponde aos picos de tráfego que você identificou:

start>= (example-timestamp-start)  
end>= (example-timestamp-end)

Observação: substitua example-timestamp-start pelo início do período que corresponde ao seu pico de tráfego. Substitua example-timestamp-end pelo final do período que corresponde ao seu pico de tráfego.

Em seguida, consulte sua tabela em busca de instâncias que causam picos de tráfego.

Observação: nas consultas a seguir, substitua example-NAT-private-IP pelo endereço IP privado do seu gateway NAT. Substitua example-VPC-CIDR pelo intervalo CIDR da sua Amazon VPC. Substitua example-database-name.example-table-name pelos nomes do seu banco de dados e da sua tabela. Substitua example-octets pelos dois primeiros octetos do intervalo CIDR da sua Amazon VPC. Por exemplo, se seu intervalo CIDR for 10.24.34.0/23, substitua example-octets por 10.24.

Execute a consulta a seguir para identificar as instâncias que enviam mais tráfego pelo seu gateway NAT:

SELECT srcaddr,dstaddr,sum(bytes) FROM example-database-name.example-table-name WHERE srcaddr like example-octets AND dstaddr like example-NAT-private-IP group by 1,2 order by 3 desclimit 10;

Execute a consulta a seguir para identificar o tráfego que entra e sai das instâncias:

SELECT srcaddr,dstaddr,sum(bytes) FROM example-database-name.example-table-name WHERE (srcaddr like example-octets AND dstaddr like example-NAT-private-IP) or (srcaddr like example-NAT-private-IP AND dstaddr like example-octets) group by 1,2 order by 3 desclimit 10;

Para identificar os destinos da internet que suas instâncias acessam com mais frequência, execute as seguintes consultas:

• Para uploads por meio de um gateway NAT:

  SELECT srcaddr,dstaddr,sum(bytes) FROM example-database-name.example-table-name WHERE (srcaddr like example-NAT-private-IP AND dstaddr not like example-octets) group by 1,2 order by 3 desclimit 10;0

• Para downloads por meio de um gateway NAT:

  SELECT srcaddr,dstaddr,sum(bytes) FROM example-database-name.example-table-name WHERE (srcaddr not like example-octets AND dstaddr like example-NAT-private-IP) group by 1,2 order by 3 desclimit 10;

Informações relacionadas

Consultas de exemplo

Funções booleanas, de comparação, numéricas e de data e hora, entre outras

Como usar o Athena para analisar logs de fluxos da Amazon VPC?

Using AWS Cost Explorer to analyze data transfer costs (Usar o Explorador de custos da AWS para analisar os custos de transferência de dados)