パケットミラーリングの使用

パケットミラーリングを使用して、特定の VM インスタンスに出入りするトラフィックをミラーリングします。収集したトラフィックを使用して、セキュリティの脅威の検出とアプリケーションパフォーマンスのモニタリングができます。パケットミラーリングの詳細については、パケットミラーリングの概要をご覧ください。

次のセクションでは、パケットミラーリングポリシーの作成と管理方法について説明します。

始める前に

パケットミラーリングポリシーを作成するには、適切な権限が必要です。ミラーリングするインスタンスと同じリージョン内に、コレクタの宛先である内部ロードバランサも作成する必要があります。

権限

パケットミラーリングポリシーを作成および管理するために、Google Cloud にはパケットミラーリングに関連する役割が 2 つあります。

compute.packetMirroringUser は、パケットミラーリングポリシーを作成、更新、削除するユーザー権限を付与します。パケットミラーリングを使用するには、パケットミラーリングポリシーを作成するプロジェクトで、この役割が必要です。
compute.packetMirroringAdmin は、特定のリソースをミラーリングするユーザー権限を付与します。パケットミラーリングポリシーを作成する権限が付与されていても、関連ソースをミラーリングするにはこの権限が必要です。共有 VPC シナリオなど、ポリシーのオーナーに他の権限がないプロジェクトの場合は、この役割を使用します。

Cloud IAM 役割の使用についての詳細は、Cloud IAM のドキュメントのリソースへのアクセス権の付与、変更、取り消しをご覧ください。

内部ロードバランサ

パケットミラーリング用に構成された内部 TCP/UDP ロードバランサが、ミラーリングするインスタンスと同じリージョンに配置されている必要があります。ミラーリング対象のソースからのすべてのトラフィックは、ロードバランサの背後にあるコレクタインスタンスに送信されます。

パケットミラーリング用に内部ロードバランサを構成するには、パケットミラーリングコレクタとして転送ルールを構成する必要があります。ロードバランサに送信されるミラーリングされるトラフィック以外はドロップされます。また、パケットミラーリングポリシーがコレクタインスタンスに適用される場合、パケットミラーリングはコレクタインスタンスを無視し、トラフィックをミラーリングしません。

内部ロードバランサの構成の詳細については、ロードバランサコンポーネントの構成をご覧ください。

ファイアウォールルール

ミラーリングされるトラフィックは、ソースインスタンスから、内部ロードバランサの一部である宛先インスタンスへの移動が許可される必要があります。このトラフィックを許可する既存のルールが、すでに存在していることも考えられます。

ミラーリングされるインスタンスに、内部ロードバランサの転送ルールにトラフィックを送信できるようにする下り（外向き）ルールが設定されていることを確認します。
ミラーリングされるインスタンスまたはミラーリングされるインスタンスの IP アドレス範囲からトラフィックを受信できるように、ロードバランサのインスタンスグループのコレクタインスタンスに上り（内向き）ルールが設定されていることを確認します。たとえば、ソース範囲 0.0.0.0/0 を指定してミラーリングされるインスタンスからのすべての受信トラフィックを収集できます。インターネットトラフィックがコレクタインスタンスに到達しないようにするには、内部 IP アドレスのみを割り当てます。

このトラフィックを許可する既存のルールがない場合は、ファイアウォールルールの使用を参照して作成してください。

パケットミラーリングポリシーの作成

パケットミラーリングポリシーを作成して、特定のインスタンスに出入りするトラフィックをミラーリングします。

Console

Google Cloud Console の [パケットミラーリング] ページに移動します。
[パケットミラーリング] ページに移動
[作成] をクリックします。
ポリシーに関する次の情報を入力して、[続行] をクリックします。
1. ポリシーの名前を入力します。
2. ミラーリング対象のソースとコレクタの宛先を含むリージョンを選択します。パケットミラーリングポリシーはソースと宛先と同じリージョンに存在する必要があります。
3. ポリシーの優先度を入力します。Google Cloud は優先度の値を使用して、複数のポリシーを適用する際に使用するポリシーを決定します。
4. ポリシーの作成時に [有効にする] を選択してポリシーを有効にします。
ミラーリング対象のソースとコレクタの宛先が配置されている VPC ネットワークを選択し、[続行] をクリックします。

ソースと宛先の VPC ネットワークは、同じでも異なっていてもかまいません。同じ VPC ネットワーク内にある場合は、[Mirrored sources and destination are in the same VPC network] を選択して、ネットワークを選択します。異なるネットワークにある場合は、[Mirrored source and collector destination are in separete, peered VPC networks] を選択し、ミラーリング対象のソースネットワーク、コレクタの宛先ネットワークの順に選択します。
ミラーリング対象のソースを選択し、[続行] をクリックします。1 つ以上のソースを選択できます。Google Cloud は、指定したソースの少なくとも 1 つに一致するインスタンスをミラーリングします。
- サブネット - 1 つ以上のサブネットを選択します。Google Cloud は、選択したサブネット内の既存のインスタンスと将来のインスタンスをミラーリングします。
- ネットワークタグ - 1 つ以上のネットワークタグを指定します。 Google Cloud は、指定されたタグを少なくとも 1 つ持つインスタンスをミラーリングします。
- インスタンス名 - ミラーリングする特定のインスタンスを選択します。
パケットミラーリング用に構成された内部ロードバランサを選択し、[続行] をクリックします。Google Cloud が内部ロードバランサの背後にあるインスタンスにミラーリングされるトラフィックを送信します。
ミラーリングするトラフィックを制限する場合は、[フィルタ済みトラフィックをミラーリングする] を選択します。デフォルトでは、Google Cloud はすべてのトラフィックをミラーリングします。

IP アドレスの範囲、プロトコル、またはその両方に基づいてトラフィックをミラーリングすることもできます。
[送信] をクリックして、パケットミラーリングポリシーを作成します。

gcloud

パケットミラーリングポリシーを作成し、ミラーリングする 1 つ以上のソースを指定します。Google Cloud は、指定したソースの少なくとも 1 つに一致するインスタンスをミラーリングします。

    gcloud beta compute packet-mirrorings create policy-name \
      --region=region \
      --network=network-name \
      --collector-ilb=forwarding-rule-name \
      [--mirrored-subnets=subnet,[subnet,...]] \
      [--mirrored-tags=tag,[tag,...]] \
      [--mirrored-instances=instance,[instance,...]] \
      [--filter-cidr-ranges=address-range,[address-range,...]] \
      [--filter-protocols=protocol,[protocol,...]] \
      [--priority=priority-number]

プレースホルダを有効な値に置き換えます。

[policy-name] は、パケットミラーリングポリシーの名前です。
[region] は、ミラーリング対象のソースとコレクタの宛先があるリージョンです。
[network-name] は、ミラーリング対象のソースがあるネットワークです。
[forwarding-rule-name] は、ミラーリングコレクタとして構成される転送ルールの名前です。Google Cloud は、ミラーリングされるすべてのトラフィックを、関連付けられた内部ロードバランサに送信します。
[subnet] はミラーリングするサブネットの名前です。Google Cloud は、サブネット内の既存のインスタンスと将来のインスタンスをミラーリングします。
[tag] はネットワークタグです。Google Cloud は、ネットワークタグを持つインスタンスをミラーリングします。
[instance] はミラーリングするインスタンスの完全修飾 ID です。
[address-range] は、ミラーリングする IP アドレスの範囲です（CIDR 範囲）。
[protocol] は、ミラーリングする IP アドレスプロトコルです（TCP、UDP、または ICMP）。
[priority-number] は 0 から 65535 までの数値です。Google Cloud は優先度の値を使用して、複数のポリシーを適用する際に使用するポリシーを決定します。

各フラグの詳細と説明については、SDK リファレンスドキュメントをご覧ください。

API

    POST https://compute.googleapis.com/compute/beta/projects/project-id/regions/region/packetMirrorings
    {
      "name": "policy-name",
      "network": {
        "url": "network-url"
      },
      "priority": priority,
      "mirroredResources": {
        "subnetworks": [
          {
            "url": "subnet-url"
          }
        ],
        "tags": [
          "tag"
        ],
        "instances": [
          {
            "url": "instance"
          }
        ]
      },
      "collectorIlb": {
        "url": "forwarding-rule-url"
      },
      "filter": {
        "IPProtocols": [
          "protocol"
        ],
        "cidrRanges": [
          "address-range"
        ]
      }
    }

プレースホルダを有効な値に置き換えます。

[project-id] は、ポリシーが作成されるプロジェクトの ID です。
[policy-name] は、パケットミラーリングポリシーの名前です。
[region] は、ミラーリング対象のソースとコレクタの宛先があるリージョンです。
[network-url] は、ミラーリング対象のソースがあるネットワークの URL です。
[forwarding-rule-url] は、ミラーリングコレクタとして構成される転送ルールの URL です。Google Cloud は、ミラーリングされるすべてのトラフィックを、関連付けられた内部ロードバランサに送信します。
[subnet-url] はミラーリングするサブネットの URL です。Google Cloud は、サブネット内の既存のインスタンスと将来のインスタンスをミラーリングします。
[tag] はネットワークタグです。Google Cloud は、ネットワークタグを持つインスタンスをミラーリングします。
[instance] はミラーリングするインスタンスの完全修飾 ID です。
[address-range] は、ミラーリングする IP アドレスの範囲です（CIDR 範囲）。
[protocol] は、ミラーリングする IP アドレスプロトコルです（TCP、UDP、または ICMP）。
[priority-number] は 0 から 65535 までの数値です。Google Cloud は優先度の値を使用して、複数のポリシーを適用する際に使用するポリシーを決定します。

各フィールドの詳細と説明については、packetmirrorings.insert メソッドをご覧ください。

パケットミラーリングポリシーが有効かどうかを確認するには、パケットミラーリングポリシーのモニタリングをご覧ください。

パケットミラーリングポリシーの変更

既存のポリシーを更新して、優先度、ミラーリング対象のソース、コレクタの宛先を変更します。

Console

Google Cloud Console の [パケットミラーリング] ページに移動します。
[パケットミラーリング] ページに移動
パケットミラーリングポリシーのリストで、編集するポリシーをクリックします。
ポリシーの詳細ページで、[編集] をクリックします。
更新するフィールドを編集します。コンソールでポリシーを作成したときと同じフローになります。各フィールドの詳細については、パケットミラーリングポリシーの作成をご覧ください。

gcloud

既存のパケットミラーリングポリシーを更新します。

    gcloud beta compute packet-mirrorings update policy-name \
      --region=region \
      [--collector-ilb=forwarding-rule-name] \
      [--mirrored-subnets=subnet,[subnet,...]] \
      [--mirrored-tags=tag,[tag,...]] \
      [--mirrored-instances=instance,[instance,...]] \
      [--filter-cidr-ranges=address-range,[address-range,...]] \
      [--filter-protocols=protocol,[protocol,...]]

プレースホルダを有効な値に置き換えます。

[policy-name] は、変更するパケットミラーリングポリシーの名前です。
[region] はポリシーが存在するリージョンです。
[forwarding-rule-name] は、コレクタとして構成される転送ルールの名前です。Google Cloud は、ミラーリングされるすべてのトラフィックを、関連付けられた内部ロードバランサに送信します。
[subnet] はミラーリングするサブネットの名前です。Google Cloud は、サブネット内の既存のインスタンスと将来のインスタンスをミラーリングします。
[tag] はネットワークタグです。Google Cloud は、ネットワークタグを持つインスタンスをミラーリングします。
[instance] はミラーリングするインスタンスの完全修飾 ID です。
[address-range] は、ミラーリングする IP アドレスの範囲です（CIDR 範囲）。
[protocol] は、ミラーリングする IP アドレスプロトコルです（TCP、UDP、または ICMP）。

各フラグの詳細と説明については、SDK リファレンスドキュメントをご覧ください。

API

既存のパケットミラーリングポリシーを更新します。

    PATCH https://compute.googleapis.com/compute/beta/projects/project-id/regions/region/packetMirrorings/policy-name
    {
      "priority": priority,
      "mirroredResources": {
        "subnetworks": [
          {
            "url": "subnet-url"
          }
        ],
        "tags": [
          "tag"
        ],
        "instances": [
          {
            "url": "instance"
          }
        ]
      },
      "collectorIlb": {
        "url": "forwarding-rule-url"
      },
      "filter": {
        "IPProtocols": [
          "protocol"
        ],
        "cidrRanges": [
          "address-range"
        ]
      }
    }

プレースホルダを有効な値に置き換えます。

[project-id] は、ポリシーが存在するプロジェクトの ID です。
[policy-name] は、変更するパケットミラーリングポリシーの名前です。
[region] はポリシーが存在するリージョンです。
[forwarding-rule-url] は、ミラーリングコレクタとして構成される転送ルールの URL です。Google Cloud は、ミラーリングされるすべてのトラフィックを、関連付けられた内部ロードバランサに送信します。
[subnet-url] はミラーリングするサブネットの URL です。Google Cloud は、サブネット内の既存のインスタンスと将来のインスタンスをミラーリングします。
[tag] はネットワークタグです。Google Cloud は、ネットワークタグを持つインスタンスをミラーリングします。
[instance] はミラーリングするインスタンスの完全修飾 ID です。
[address-range] は、ミラーリングする IP アドレスの範囲です（CIDR 範囲）。
[protocol] は、ミラーリングする IP アドレスプロトコルです（TCP、UDP、または ICMP）。
[priority-number] は 0 から 65535 までの数値です。Google Cloud は優先度の値を使用して、複数のポリシーを適用する際に使用するポリシーを決定します。

各フィールドの詳細と説明については、packetmirrorings.patch メソッドをご覧ください。

パケットミラーリングポリシーの一覧表示

パケットミラーリングポリシーを一覧表示して、既存のポリシーを表示します。

Console

Google Cloud Console の [パケットミラーリング] ページに移動します。
[パケットミラーリング] ページに移動

Cloud Console には、プロジェクト内のすべてのポリシーが一覧表示されます。

gcloud

プロジェクト内または、特定のリージョンの既存のパケットミラーリングポリシーを一覧表示します。

    gcloud beta compute packet-mirrorings list \
      [--filter="region:(region...)"]

[region] を、一覧表示するポリシーが含まれるリージョンの名前に置き換えます。

各フラグの詳細と説明については、SDK リファレンスドキュメントをご覧ください。

API

プロジェクト内の既存のパケットミラーリングポリシーを一覧表示します。

    GET https://compute.googleapis.com/compute/beta/projects/project-id/aggregated/packetMirrorings

特定のリージョンの既存のパケットミラーリングポリシーを一覧表示します。

    GET https://compute.googleapis.com/compute/beta/projects/project-id/regions/region/packetMirrorings

プレースホルダを有効な値に置き換えます。

[project-id] は、一覧表示するポリシーを含むプロジェクトの ID です。
[region] は、一覧表示するポリシーを含むリージョンです。

各フィールドの詳細と説明については、packetmirrorings.aggregatedList または packetmirrorings.list メソッドをご覧ください。

パケットミラーリングポリシーの情報の取得

既存のパケットミラーリングポリシーの詳細を表示して、優先度やフィルタなどを確認します。

Console

Google Cloud Console の [パケットミラーリング] ページに移動します。
[パケットミラーリング] ページに移動
パケットミラーリングポリシーのリストで、表示するパケットミラーリングポリシーを選択します。

Cloud Console に選択したポリシーの詳細が表示されます。

gcloud

詳細を表示する既存のパケットミラーリングポリシーの情報を取得します。

    gcloud beta compute packet-mirrorings describe policy-name \
      --region=region \

プレースホルダを有効な値に置き換えます。

[policy-name] は、情報を取得するパケットミラーリングポリシーの名前です。
[region] はポリシーが存在するリージョンです。

各フラグの詳細と説明については、SDK リファレンスドキュメントをご覧ください。

API

詳細を表示する既存のパケットミラーリングポリシーの情報を取得します。

    GET https://compute.googleapis.com/compute/beta/projects/project-id/regions/region/packetMirrorings/policy-name

プレースホルダを有効な値に置き換えます。

[project-id] は、ポリシーが存在するプロジェクトの ID です。
[policy-name] は、情報を取得するパケットミラーリングポリシーの名前です。
[region] はポリシーが存在するリージョンです。

各フィールドの詳細と説明については、packetmirrorings.get メソッドをご覧ください。

パケットミラーリングポリシーの無効化または有効化

パケットミラーリングポリシーを無効または有効にして、ミラーリングされるトラフィックの収集を停止または開始します。

Console

Google Cloud Console の [パケットミラーリング] ページに移動します。
[パケットミラーリング] ページに移動
パケットミラーリングポリシーのリストから、無効または有効にするポリシーを選択します。
[無効にする] または [有効にする] をクリックします。
[無効にする] または [有効にする] をクリックして確定します。

gcloud

既存のパケットミラーリングポリシーを無効にします。

    gcloud beta compute packet-mirrorings update policy-name \
      --region=region \
      --no-enable

既存のパケットミラーリングポリシーを有効にします。

    gcloud beta compute packet-mirrorings update policy-name \
      --region=region \
      --enable

プレースホルダを有効な値に置き換えます。

[policy-name] は、無効または有効にするパケットミラーリングポリシーの名前です。
[region] はポリシーが存在するリージョンです。

各フラグの詳細と説明については、SDK リファレンスドキュメントをご覧ください。

API

既存のパケットミラーリングポリシーを無効または有効にします。

    PATCH https://compute.googleapis.com/compute/beta/projects/project-id/regions/region/packetMirrorings/policy-name
    {
      "enable": "FALSE|TRUE"
    }

プレースホルダを有効な値に置き換えます。

[project-id] は、ポリシーが存在するプロジェクトの ID です。
[policy-name] は、無効にするパケットミラーリングポリシーの名前です。
[region] はポリシーが存在するリージョンです。

各フィールドの詳細と説明については、packetmirrorings.patch メソッドをご覧ください。

パケットミラーリングポリシーの削除

パケットミラーリングポリシーを削除してプロジェクトから削除します。ポリシーを削除すると、Google Cloud はポリシーに関連するすべてのトラフィックのミラーリングを停止します。

Console

Google Cloud Console の [パケットミラーリング] ページに移動します。
[パケットミラーリング] ページに移動
パケットミラーリングポリシーのリストで、無効にするパケットミラーリングポリシーを選択します。
[削除] をクリックします。
[削除] をクリックして確定します。

gcloud

既存のパケットミラーリングポリシーを削除します。

    gcloud beta compute packet-mirrorings delete policy-name \
      --region=region \

プレースホルダを有効な値に置き換えます。

[policy-name] は、削除するパケットミラーリングポリシーの名前です。
[region] はポリシーが存在するリージョンです。

各フラグの詳細と説明については、SDK リファレンスドキュメントをご覧ください。

API

既存のパケットミラーリングポリシーを削除します。

    DELETE https://compute.googleapis.com/compute/beta/projects/project-id/regions/region/packetMirrorings/policy-name

プレースホルダを有効な値に置き換えます。

[project-id] は、ポリシーが存在するプロジェクトの ID です。
[policy-name] は、削除するパケットミラーリングポリシーの名前です。
[region] はポリシーが存在するリージョンです。

各フィールドの詳細と説明については、packetmirrorings.delete メソッドをご覧ください。

トラブルシューティング

パケットミラーリングポリシーがミラーリングされるはずのトラフィックを収集していない場合は、次の構成を確認します。

ミラーリングされるインスタンスからコレクタインスタンスへのトラフィックを許可するファイアウォールルールがあることを確認します。
ミラーリング対象のソースがミラーリングするインスタンスを含むまたは、除外しているかを確認します。たとえば、ミラーリング対象のソースとしてサブネットを指定すると、サブネット内の既存のインスタンスと将来のインスタンスはすべてミラーリングされます。タグを指定すると、一致するタグを持つインスタンスのみがミラーリングされます。
パケットミラーリングフィルタが広すぎないか、または狭すぎないか確認します。意図せずに、フィルタが特定のトラフィックを含む、または除外するよう構成している可能性があります。

パケット ミラーリングの使用

始める前に

権限

内部ロードバランサ

ファイアウォール ルール

パケット ミラーリング ポリシーの作成

Console

gcloud

API

パケット ミラーリング ポリシーの変更

Console

gcloud

API

パケット ミラーリング ポリシーの一覧表示

Console

gcloud

API

パケット ミラーリング ポリシーの情報の取得

Console

gcloud

API

パケット ミラーリング ポリシーの無効化または有効化

Console

gcloud

API

パケット ミラーリング ポリシーの削除

Console

gcloud

API

トラブルシューティング

パケットミラーリングの使用

ファイアウォールルール

パケットミラーリングポリシーの作成

パケットミラーリングポリシーの変更

パケットミラーリングポリシーの一覧表示

パケットミラーリングポリシーの情報の取得

パケットミラーリングポリシーの無効化または有効化

パケットミラーリングポリシーの削除