流日志是什么
VPC 流日志按网卡维度记录流量明细：五元组、动作（允许还是拒绝）、包数与字节数，并可投递到日志服务或对象存储。它属于旁路采集，不影响业务转发，最大价值在于能覆盖没有登录权限的资源——比如第三方托管的主机或只开放了特定端口的中间件，安全审计与连通性排查都能拿到证据。
基本信息
| 记录对象 | 弹性网卡（ENI）维度的流量信息 |
|---|---|
| 捕获范围 | 支持全部 / 允许 / 拒绝过滤，便于快速定位被拦截的流量 |
| 投递目标 | 日志服务 SLS、对象存储 OSS（阿里云） |
| 典型用途 | 安全审计、异常访问排查、连通性问题的旁路证据 |
| 计费 | 采集本身不改变流量，日志存储与投递按量计费 |
典型使用场景
- 排查「配置看着都对但连不通」：看目标网卡上是否真的收到了 SYN
- 安全审计：确认某台实例在深夜是否访问过陌生外网地址
- 确认安全组或 ACL 拦截：只采集拒绝流量，快速筛出被丢掉的来源
- 合规留痕：对关键业务网卡长期采集，满足等保与内部审计要求
- 容量分析：按字节数统计某网卡的实际流量规模，为带宽调整提供依据
启用流日志
启用流日志
VPC 控制台 → 流日志 → 创建流日志
资源类型：弹性网卡
选择网卡：eni-xxxxxxxx
流量类型：全部 / 允许 / 拒绝
投递目的地：日志服务 SLS（Project/Logstore）
建议：先只采「拒绝」验证成本与可用性，再逐步扩到全量记录字段读法
| 字段 | 含义 | 排查价值 |
|---|---|---|
| 五元组 | 源与目的地址端口、协议 | 确认流量是否到达目标网卡 |
| 动作 | 允许或拒绝 | 判断是否被安全策略丢弃 |
| 包数与字节数 | 聚合统计量 | 识别异常访问与带宽占用 |
| 采集窗口 | 聚合时间范围 | 按时间对齐业务日志定位 |
流日志是旁路采集、不影响业务流量，但会产生日志存储费用，投产前评估量级。