Registros de flujo de VPC

Una línea de registro de flujo con los campos por defecto trae, en este orden: versión, cuenta, interfaz, dirección de origen, dirección de destino, puerto de origen, puerto de destino, protocolo, paquetes, bytes, inicio, fin, acción y estado del registro. El protocolo 6 es TCP, el 17 UDP y el 1 ICMP. Las horas son segundos desde 1970 (hora Unix).

La acción dice si el tráfico se aceptó (ACCEPT) o se rechazó (REJECT). Un rechazo significa que un grupo de seguridad o una ACL de red no lo permitió; el registro no dice cuál de los dos. Los grupos de seguridad tienen estado y las ACL de red no: una respuesta que una ACL no permite aparece como REJECT aunque la petición se hubiera aceptado.

Un rechazo aislado es ruido de internet. Muchos rechazos desde el mismo origen contra el mismo puerto son un patrón que merece mirarse: alguien insiste en un servicio que no debería estar expuesto, o un sistema interno está mal configurado. El registro no dice qué se buscaba, solo qué se intentó y qué se rechazó.

Abre la consulta de flujos rechazados del laboratorio y agrupa por dirección de origen los rechazos hacia el puerto 22.

El campo bytes permite medir el volumen de una conversación. Una misma pareja de direcciones suele aparecer en varias líneas, una por conexión o por intervalo, y para el total hay que sumarlas. Conviene sumar solo lo aceptado, porque el tráfico rechazado no llegó a su destino.

En el laboratorio, la interfaz de la instancia con la IP 10.30.1.14 abrió conexiones hacia 198.51.100.9. Suma los bytes de las líneas ACCEPT de ese origen a ese destino por el puerto 443 de destino; otros puertos u otras acciones no cuentan.

El registro de flujo habla de interfaces de red, no de servidores con nombre. Para atribuir un volumen hay que cruzar el identificador de interfaz con el inventario: la tabla interfaces del laboratorio dice qué instancia hay detrás de cada una. Es el paso que convierte una línea en una frase que se puede escribir en un informe.

Suma, por interfaz, los bytes aceptados con destino a 198.51.100.9 y quédate con la de mayor volumen.

Los registros de flujo no capturan todo el tráfico IP. No se registra, entre otros, el que las instancias envían al servidor DNS de Amazon, el que va a y desde 169.254.169.254 (metadatos de la instancia), el de sincronización de hora en 169.254.169.123 ni el de DHCP. Si se usa un servidor DNS propio, sí se registra. Es un punto ciego que conviene recordar antes de decir que «no hay rastro» de algo.