› ›

配置流以监控网络流量

编辑

配置流以监控网络流量

编辑

您可以配置 Packetbeat 以收集和报告网络流的统计信息。流是指在同一时间段内发送的一组共享公共属性（例如相同的源和目标地址以及协议）的数据包。您可以使用此功能分析网络上特定协议的网络流量。

对于每个流，Packetbeat 会报告从源到目标发送的数据包数量和总字节数。每个流事件还包含有关源和目标主机的信息，例如其 IP 地址。对于双向流，Packetbeat 会报告反向流的统计信息。

Packetbeat 收集并报告直至传输层的统计信息。有关导出数据的更多信息，请参阅流事件字段。

以下是流事件在“流”仪表板中可视化的示例

要配置流，请在packetbeat.yml配置文件中使用packetbeat.flows选项。默认情况下，流已启用。如果配置文件中缺少此部分，则网络流将被禁用。

packetbeat.flows:
  timeout: 30s
  period: 10s

以下是由 Packetbeat 发送的流信息的示例。有关每个字段的描述，请参阅流事件字段。

{
  "@timestamp": "2018-11-15T14:41:24.000Z",
  "agent": {
    "hostname": "host.example.com",
    "name": "host.example.com",
    "version": "8.16.0"
  },
  "destination": {
    "bytes": 460,
    "ip": "198.51.100.2",
    "mac": "06-05-04-03-02-01",
    "packets": 2,
    "port": 80
  },
  "event": {
    "dataset": "flow",
    "duration": 3000000000,
    "end": "2018-11-15T14:41:24.000Z",
    "start": "2018-11-15T14:41:21.000Z"
  },
  "flow": {
    "final": true, 
    "id": "FQQA/wz/Dv//////Fv8BAQEBAgMEBQYGBQQDAgGrAMsAcQPGM2QC9ZdQAA",
    "vlan": 171
  },
  "network": {
    "bytes": 470,
    "community_id": "1:t9T66/2c66NQyftAEsr4aMZv4Hc=",
    "packets": 3,
    "transport": "tcp",
    "type": "ipv4"
  },
  "source": {
    "bytes": 10,
    "ip": "203.0.113.3",
    "mac": "01-02-03-04-05-06",
    "packets": 1,
    "port": 38901
  }
}

Packetbeat 将flow.final标志设置为false以指示该事件包含有关其正在跟踪的流的中间报告。流完成后，Packetbeat 会发送最后一个事件，其中flow.final设置为true。如果要聚合流量总和，则需要根据final:true进行筛选，或使用其他一些技术，以便仅获取每个流的最新更新。您可以通过将period: -1s设置为禁用中间报告。

配置选项

编辑

您可以在packetbeat.yml配置文件的packetbeat.flows部分中指定以下选项

`enabled`

编辑

如果设置为 true，则启用流支持。设置为 false 以禁用网络流支持，而无需删除或注释掉 flows 部分。默认值为 true。

`timeout`

编辑

超时配置流的生命周期。如果在超时时间窗口内未收到流的任何数据包，则该流将被终止并报告。默认值为 30 秒。

`period`

编辑

配置报告间隔。所有流都在同一时间点报告。可以通过将值设置为 -1 来禁用定期报告。如果禁用，则流在超时后仍会报告一次。默认值为 10 秒。

`enable_delta_flow_reports`

编辑

配置 network.bytes 和 network.packets 为增量值，而不是每个流周期的累积总和。默认值为 false。

`fields`

编辑

您可以指定的一些可选字段，以向输出添加其他信息。例如，您可以添加可用于筛选日志数据的字段。字段可以是标量值、数组、字典或这些值的任何嵌套组合。默认情况下，您在此处指定的字段将分组在输出文档中的fields子字典下。要将自定义字段存储为顶级字段，请将fields_under_root选项设置为 true。如果在常规配置中声明了重复的字段，则其值将被此处声明的值覆盖。