Amazon VPC에서 NAT 게이트웨이 트래픽의 상위 기여자를 찾으려면 어떻게 해야 하나요?

간략한 설명

Amazon VPC의 NAT 게이트웨이를 통한 트래픽을 가장 많이 유발하는 요소를 찾으려면 다음 작업을 완료하십시오.

• Amazon CloudWatch 지표를 사용하면 트래픽 급증 시간을 식별할 수 있습니다.
• CloudWatch Logs를 사용하면 트래픽 급증을 유발하는 인스턴스를 식별할 수 있습니다.
• Amazon Simple Storage Service(S3) 또는 Amazon Athena를 사용하면 트래픽 급증을 유발하는 인스턴스를 식별할 수 있습니다.

해결 방법

참고: 다음 단계에서 다음 값을 적절한 정보로 바꾸십시오.

• example-NAT-private-IP를 NAT 게이트웨이 프라이빗 IP 주소로
• example-VPC-CIDR을 Amazon VPC CIDR로
• example-database-name.example-table-name을 데이터베이스 및 테이블 이름으로
• example-y.y를 Amazon VPC CIDR의 처음 두 8진수로

CloudWatch 지표를 사용하면 트래픽 급증 시간 식별

특정 스파이크 시간을 식별하고 NAT 게이트웨이를 모니터링하려면 다음 CloudWatch 지표를 사용하십시오.

• BytesInFromSource - 업로드
• BytesInFromDestination - 다운로드

Amazon VPC 또는 NAT 게이트웨이 탄력적 네트워크 인터페이스에 대해 Amazon VPC 흐름 로그가 활성화되어 있는지 확인하십시오. Amazon VPC 흐름 로그를 활성화하지 않았다면 흐름 로그를 생성하여 이 옵션을 활성화하십시오. Amazon VPC 흐름 로그를 활성화하면 흐름 로그 데이터가 CloudWatch Logs 또는 Amazon S3에 게시됩니다.

CloudWatch Logs Insights를 사용하여 트래픽 급증을 유발하는 인스턴스 식별

참고: 필요에 따라 CloudFormation 템플릿을 사용하여 다음 쿼리를 통합하는 CloudWatch 대시보드를 생성할 수 있습니다.

다음 단계를 완료하십시오.

1. CloudWatch 콘솔을 엽니다.

2. 탐색 창에서 Logs Insights를 선택합니다.

3. 드롭다운 목록에서 NAT 게이트웨이에 대한 로그 그룹을 선택합니다.

4. 사전 정의된 시간 범위를 선택하거나, 사용자 지정을 선택하여 시간 범위를 직접 설정합니다.

5. NAT 게이트웨이를 통해 가장 많은 트래픽을 보내는 인스턴스를 식별하려면 다음 명령을 실행합니다.

   filter (dstAddr like example-NAT-private-IP and isIpv4InSubnet(srcAddr, example-VPC-CIDR)) | stats sum(bytes) as bytesTransferred by srcAddr, dstAddr| sort bytesTransferred desc
   | limit 10

6. 해당 인스턴스에서 들어오고 나가는 트래픽을 식별하려면 다음 명령을 실행합니다.

   filter (dstAddr like example-NAT-private-IP and isIpv4InSubnet(srcAddr, example-VPC-CIDR)) or (srcAddr like example-NAT-private-IP and isIpv4InSubnet(dstAddr, example-VPC-CIDR))| stats sum(bytes) as bytesTransferred by srcAddr, dstAddr| sort bytesTransferred desc
   | limit 10

7. Amazon VPC에서 해당 인스턴스가 가장 많이 통신하는 인터넷 대상을 식별하려면 다음 명령을 실행합니다.
   업로드하는 경우:

   filter (srcAddr like example-NAT-private-IP and not isIpv4InSubnet(dstAddr, example-VPC-CIDR)) | stats sum(bytes) as bytesTransferred by srcAddr, dstAddr| sort bytesTransferred desc
   | limit 10

   다운로드하는 경우:

   filter (dstAddr like example-NAT-private-IP and not isIpv4InSubnet(srcAddr, example-VPC-CIDR)) | stats sum(bytes) as bytesTransferred by srcAddr, dstAddr| sort bytesTransferred desc
   | limit 10

Amazon S3 또는 Athena를 사용하여 트래픽 급증을 유발하는 인스턴스 식별

다음 단계를 완료하십시오.

1. Amazon S3 콘솔 또는 Athena 콘솔을 엽니다.

2. 테이블을 생성합니다. 데이터베이스 및 테이블 이름에 주석을 달고 다음 필터를 추가하여 특정 시간 범위의 상위 기여자를 확인합니다.
   start>= (example-timestamp-start)
   end>= (example-timestamp-end)

3. NAT 게이트웨이를 통해 가장 많은 트래픽을 보내는 인스턴스를 식별하려면 다음 명령을 실행합니다.

   SELECT srcaddr,dstaddr,sum(bytes) FROM example-database-name.example-table-name WHERE srcaddr like example-y.y AND dstaddr like example-NAT-private-IP group by 1,2 order by 3 desclimit 10;

4. 해당 인스턴스에서 들어오고 나가는 트래픽을 식별하려면 다음 명령을 실행합니다.

   SELECT srcaddr,dstaddr,sum(bytes) FROM example-database-name.example-table-name WHERE (srcaddr like example-y.y AND dstaddr like example-NAT-private-IP) or (srcaddr like example-NAT-private-IP AND dstaddr like example-y.y) group by 1,2 order by 3 desclimit 10;

5. Amazon VPC에서 해당 인스턴스가 가장 많이 통신하는 인터넷 대상을 식별하려면 다음 명령을 실행합니다.
   업로드하는 경우:

   SELECT srcaddr,dstaddr,sum(bytes) FROM example-database-name.example-table-name WHERE (srcaddr like example-NAT-private-IP AND dstaddr not like example-y.y) group by 1,2 order by 3 desclimit 10;

   다운로드하는 경우:

   SELECT srcaddr,dstaddr,sum(bytes) FROM example-database-name.example-table-name WHERE (srcaddr not like example-y.y AND dstaddr like example-NAT-private-IP) group by 1,2 order by 3 desclimit 10;

CloudWatch Logs Insights를 사용하여 인터넷 대상과 통신하는 인스턴스 식별

인스턴스가 통신하는 인터넷 대상을 찾으려면 사용자 지정 VPC 흐름 로그를 사용해야 합니다. 이러한 VPC 흐름 로그에는 추가 필드인 pkt-srcaddr 및 pkt-dstaddr이 포함되어야 합니다. 자세한 내용은 NAT 게이트웨이를 통한 트래픽을 참조하십시오.

VPC 흐름 로그의 예:

${version} ${account-id} ${interface-id} ${srcaddr} ${dstaddr} ${srcport} ${dstport} ${protocol} ${packets} ${bytes} ${start} ${end} ${action} ${log-status} ${pkt-srcaddr} ${pkt-dstaddr}

다음 단계를 완료하십시오.

1. CloudWatch 콘솔을 엽니다.
2. 탐색 창에서 Logs Insights를 선택합니다.
3. 드롭다운 목록에서 VPC 흐름 로그의 로그 그룹을 선택합니다.
4. 사전 정의된 시간 범위를 선택하거나, 사용자 지정을 선택하여 시간 범위를 직접 설정합니다.
5. NAT 게이트웨이를 통해 인터넷 대상으로 가장 많은 트래픽을 보내는 인스턴스를 식별하려면 다음 명령을 실행합니다.
   업로드 트래픽의 경우:

   parse @message "* * * * * * * * * * * * * * * " as version, account_id, interface_id, srcaddr, dstaddr, srcport, dstport, protocol, packets, bytes, start, end, action, log_status, pkt_srcaddr, pkt_dstaddr
   | filter (dstaddr like 'example-NAT-private-IP' and isIpv4InSubnet(pkt_srcaddr, 'example-VPC-CIDR'))
   | stats sum(bytes) as bytesTransferred by pkt_srcaddr, pkt_dstaddr
   | sort bytesTransferred desc
   | limit 10

   다운로드 트래픽의 경우:

   parse @message " * * * * * * * * * * * * * * *" as version, account_id, interface_id, srcaddr, dstaddr, srcport, dstport, protocol, packets, bytes, start, end, action, log_status, pkt_srcaddr, pkt_dstaddr
   | filter (srcaddr like 'example-NAT-private-IP' and !isIpv4InSubnet(pkt_srcaddr, 'example-VPC-CIDR'))
   | stats sum(bytes) as bytesTransferred by pkt_srcaddr, pkt_dstaddr
   | sort bytesTransferred desc
   | limit 10

관련 정보

샘플 쿼리

Amazon VPC 흐름 로그 쿼리

Amazon Athena를 사용하여 VPC 흐름 로그를 분석하려면 어떻게 해야 합니까?

AWS Cost Explorer를 사용하여 데이터 전송 비용 분석