Utilizar el almacenamiento de registros de políticas de red

En esta página se explica cómo habilitar el registro de políticas de red en un clúster de GKE y cómo exportar registros.

Información general

Las políticas de red son cortafuegos a nivel de pod que especifican el tráfico de red que pueden enviar y recibir los pods. Los registros de políticas de red registran eventos de políticas de red. Puede registrar todos los eventos o elegir los que quiera en función de los siguientes criterios:

  • Conexiones permitidas.
  • Conexiones denegadas.
  • Conexiones permitidas por políticas específicas.
  • Se deniegan las conexiones a pods en espacios de nombres específicos.

Habilitar el registro

El registro de políticas de red no está habilitado de forma predeterminada. Para obtener información sobre cómo habilitar el registro y seleccionar los eventos que se deben registrar, consulta el artículo Usar el registro de políticas de red en la documentación de Google Kubernetes Engine.

Acceder a los registros

Los registros de políticas de red se suben automáticamente a Cloud Logging. Puedes acceder a los registros a través del Explorador de registros o con la CLI de Google Cloud. También puedes exportar registros de Cloud Logging al receptor que elijas.

gcloud

gcloud logging read --project "PROJECT_NAME" 'resource.type="k8s_node" \
    resource.labels.location="CLUSTER_LOCATION" \
    resource.labels.cluster_name="awsClusters/CLUSTER_NAME" \
    logName="projects/PROJECT_NAME/logs/policy-action"'

Haz los cambios siguientes:

  • PROJECT_NAME: tu Google Cloud proyecto
  • CLUSTER_LOCATION: la Google Cloud ubicación desde la que se gestiona tu clúster
  • CLUSTER_NAME: el nombre de tu clúster

Cloud Logging

  1. Ve a la página Explorador de registros de la consola de Google Cloud .

    Ir a Explorador de registros

  2. Haz clic en Creador de consultas.

  3. Usa la siguiente consulta para encontrar todos los registros de políticas de red:

    resource.type="k8s_node"
resource.labels.location="CLUSTER_LOCATION"
resource.labels.cluster_name="awsClusters/CLUSTER_NAME"
logName="projects/PROJECT_NAME/logs/policy-action"

    Haz los cambios siguientes:

    • CLUSTER_LOCATION: la Google Cloud ubicación desde la que se gestiona tu clúster
    • CLUSTER_NAME: el nombre de tu clúster.
    • PROJECT_NAME: tu Google Cloud proyecto.

Para saber cómo usar el explorador de registros, consulta el artículo Usar el explorador de registros.

También puede crear una consulta con el creador de consultas. Para consultar los registros de la política de red, selecciona policy-action en la lista desplegable Nombre del registro. Si no hay registros disponibles, policy-action no aparece en la lista desplegable.

Acceso local a los registros de políticas de red

Si tienes acceso al sistema de archivos de un nodo, los registros de la política de red están disponibles en cada nodo del archivo local /var/log/network/policy_action.log*. Los nodos giran los archivos de registro cuando el archivo de registro actual alcanza los 10 MB. Se almacenan hasta cinco archivos de registro anteriores.

Siguientes pasos