如何使用 Transit Gateway 流日志来识别中转网关连接上的用量最高者？

解决方法

**先决条件：**确认您已创建中转网关流日志。

要识别 IP 地址流量并查找中转网关连接上最活跃的源和目标，请完成以下步骤。

使用 CloudWatch 指标识别高流量时段

在分析流日志之前，请检查 Amazon CloudWatch 指标以识别高流量时段。

**注意：**CloudWatch 指标中的高流量时段有助于确定何时分析流日志以查找用量最高者。

完成以下步骤：

1. 打开 CloudWatch 控制台。
2. 选择您的中转网关的 AWS 区域。
3. 在导航窗格中，选择 Metrics（指标）。
4. 在主窗口中，选择 TransitGateway。
5. 选择 Per-TransitGatewayAttachment 指标。
6. 在搜索框中，输入您的中转网关连接 ID 以筛选指标。
7. 为您的连接选择 BytesIn 和 BytesOut。
8. 选择 Graphed metrics（绘成图表的指标）选项卡。
9. 对于每个指标，将统计数据设置为 Maximum（最大值），并将周期设置为 1 minute（1 分钟）。
10. 在屏幕顶部，选择所需的时间范围（例如按小时），或选择 Custom（自定义）以设置绝对值。

要在一个视图中监控相关指标，请创建自定义 CloudWatch 控制面板。

查找中转网关连接的日志流

为了只分析特定连接的流量，而不是所有中转网关日志，请完成以下步骤：

1. 在 CloudWatch 控制台上，展开导航窗格中的 Logs（日志）组。
2. 在新的浏览器标签页中打开 Log Groups（日志组）。
3. 选择中转网关日志组。
4. 在搜索框中，输入您的中转网关连接 ID。
5. 打开该特定中转网关连接的日志流。

针对用量最高者运行查询

完成以下步骤：

1. 在 CloudWatch 控制台上，选择 Logs Insights，然后在新标签页中打开 Logs Insights。
2. 选择要在其中运行查询的中转网关日志组名称。
3. 在查询编辑器中，删除现有文本，然后输入以下查询：

   fields @timestamp, interfaceId, srcAddr, dstAddr, bytes
   | sort bytes desc
   | limit 10000
   | filter tgw-attach-TRANSIT-GATEWAY-ATTACHMENT-ID

   **注意：**将 TRANSIT-GATEWAY-ATTACHMENT-ID 替换为您的中转网关连接 ID。
4. 选择搜索的时间范围。
   **注意：**要查看特定时间段，请在 CloudWatch Logs Insights 查询页面上调整时间范围。
5. 选择 Run query（运行查询）。

该查询会列出每个对话的结果，并按字节数从高到低排序。

要分析大量数据，请将您的流日志导出到 Amazon Simple Storage Service (Amazon S3)，并使用 Amazon Athena 表进行复杂查询。

查看查询结果

查询将显示字节数最高的源和目标 IP 地址对。要获取结果的书面概览，请选择结果窗格顶部的 Summarize results（汇总结果）。然后，修改查询以按 IP 地址、协议或其他流日志字段进行筛选。

相关信息

AWS Transit Gateway 流日志

用于 Amazon VPC 的 AWS Transit Gateway 是什么？

使用 Amazon CloudWatch 控制面板