VPC内のIPトラフィックをキャプチャして、保存してくれる機能です。
1分または10分のAggregation Intervalを指定し、そのインターバル内に対象のインターフェイスを通過したパケットを記録しています。
この間に何パケット通過しようとFlowLogs上は1レコードとして処理されます。
ただし、通過する方向によって別のパケットとして扱われるので、
たとえばpingを送ったとするとICMP ECHO REQUESTとICMP ECHO REPLYのパケットが記録されるレコードは別のレコードとなるようです。
${version} ${account-id} ${interface-id} ${srcaddr} ${dstaddr} ${srcport} ${dstport} ${protocol} ${packets} ${bytes} ${start} ${end} ${action} ${log-status}
| ${version} | VPCフローログのバージョン | |
| ${account-id} | AWSアカウントのID | |
| ${interface-id} | ネットワークインターフェイスのID | |
| ${srcaddr} | 送信元IPアドレス | |
| ${dstaddr} | 送信先IPアドレス | |
| ${srcport} | 送信元ポート | |
| ${dstport} | 送信先ポート | |
| ${protocol} | プロトコルの番号 | |
| ${packets} | パケットの数 | |
| ${bytes} | バイト数 | |
| ${start} | 開始時刻(unixtime) | unixtime から 日時表記への変換方法 ■Linuxでの確認 date --date @1305730800 date -d @1305730800 ■Mac/BSDでの確認 date -r 1305730800 |
| ${end} | 終了時刻(unixtime) | |
| ${action} | アクション | ACCEPT REJECT 説明は、下記参照 |
| ${log-status} | ログ | OK NODATA SKIPDATA 説明は、下記参照 |
| ACCEPT | セキュリティグループおよびネットワーク ACLで許可されたトラフィック 他社など他のVPCやオンプレと接続する場合、 ACCEPTは他社との接続がうまくいったことではなく、あくまでもこのVPC内では問題ないということ |
| REJECT | セキュリティグループまたはネットワーク ACLで許可されていないトラフィック |
| OK | データは選択された送信先に正常に記録されます |
| NODATA | 集約間隔内にネットワークインターフェイスとの間で行き来するネットワークトラフィックはありませんでした。 |
| SKIPDATA | 集約間隔内に一部のフローログレコードがスキップされました。 内部的なキャパシティー制限、または内部エラーが原因である可能性があります。 |
K 列に start がある場合
ブランクのセルに=(((K2/60)/60)/24)+DATE(1970,1,1)という式を設定
=((startのセル)/86400)+DATEVALUE("1970/01/01")+TIME(9,0,0)
awk '{ sub(/[0-9]{10}/, strftime("%Y-%m-%d %H:%M:%S", substr($0,11,10))) }1' file
cat access.log | awk '{print strftime("%Y/%m/%d %H:%M:%S", $1), $0}'
参考
unix - Convert timestamp to datetime with sed - Stack Overflow
VPCフローログを取得したいVPCを選択して、「アクション」「フローログの作成」
| 設定項目 | 設定例 | 備考 |
|---|---|---|
| フィルタ | 承諾 却下 すべて | |
| Maximum aggregation interval | 10 minutes 1 minute | どちらでも費用は変わらない |
| 送信先 | CloudWatchログへの送信 S3バケットへの送信 同じアカウントの Kinesis Firehose に送信 別のアカウントの Kinesis Firehose に送信 | S3の方が安い S3の場合、事前にS3バケットを作成して、 「ARNをコピーしておく」 バケット名「vpc-flow-logs-xxxxxxxxx」 |
| 送信先ロググループ | ||
| IAMロール | IAMロールを作成します。 | |
| ログレコード形式 | AWS のデフォルト形式 カスタム形式 |
| S3 バケット ARN | ||
| ログレコード形式 | AWS のデフォルト形式 カスタム形式 | |
| ログファイル形式 | テキスト (デフォルト) Parquet | |
| Hive 互換 S3 プレフィックス | 有効化 ON / OFF | Hive 互換ツールへの新しいデータのロードを簡素化する |
| 時間別にログをパーティション分割 | 24 時間ごと (デフォルト) 1 時間ごと (60 分) | 大量のログがある場合、1時間ごと |
一般向けサイト
ITエンジニア向けサイト
英語サイト
Portfolio
Copyright (c) 2025 クラウドのインフラ技術 All Rights Reserved.