【入門編】 GCP VPCフローログ(VPC Flow Logs)の生成条件とサンプリング – クラウドインフラと仮想化ネットワーク実践ガイド

GCP VPCフローログを攻略せよ！「ネットワークの郵便配達」を可視化する魔法の仕組み

みなさん、こんにちは。SREとして日々クラウドの巨大な迷宮と向き合っていると、「あれ、今パケットはどこで迷子になったんだ？」という場面に遭遇することがよくあります。

そんな時、僕たちエンジニアの頼れる味方となるのがVPCフローログです。でも、名前に「フロー」とか「ログ」とか付くと、なんだか難しそうに感じますよね。今日はこの仕組みを、私たちの身近な「郵便配達」に例えて、優しく、かつ現場のリアルな知見を交えて解説していきたいと思います。

—

1. VPCフローログとは？「ネットワークの宛先記録簿」

想像してみてください。あなたは巨大なマンション（GCPのVPC）の管理人です。そこには何百人もの住民（VMインスタンス）が住んでいて、毎日膨大な手紙（パケット）がやり取りされています。

「AさんからBさんに手紙が届いたのか？」「宛先不明で戻ってきたのではないか？」

これを記録するのがVPCフローログです。ネットワークインターフェースを通過する通信の「誰が、どこへ、何を、どれくらい送ったか」というメタデータ（手紙の封筒の表面のような情報）を、Cloud Loggingという巨大なデータベースにせっせと記録してくれる仕組みなんです。

—

2. なぜ全部を記録しないの？「サンプリング」という賢い工夫

ここで一つ疑問が浮かぶはずです。「すべての手紙を完璧に記録すればいいじゃないか！」と。

しかし、もし数万台のVMが毎秒数ギガバイトの通信を行っているとしたら、そのすべてを記録するだけで、ログサーバーはパンクし、あなたのクラウド利用料は恐ろしいことになりますよね。

そこで登場するのがサンプリング（Sampling）です。

サンプリングレートの正体

サンプリングレートは、「100通の手紙のうち、何通を記録簿に載せるか」を決める割合です。

1.0 なら「全部記録！」（正確だけどコスト高）
0.1 なら「10通に1通だけランダムに記録！」（大まかな傾向は掴める）

「なぜ間引くの？」と思うかもしれませんが、ネットワークのトラブルシューティングにおいて、実は「全数記録」が必要なケースはごく稀です。多くの場合、通信のパターンを把握できれば十分。この「バランス感覚」こそが、SREの腕の見せ所なんです。

—

3. 設定の現場：どうやって調整する？

実際にVPCフローログを有効化する際、私たちはいくつかのパラメータをいじります。Google Cloud CLIで設定する際のイメージを見てみましょう。

# 特定のサブネットに対してフローログを有効にするコマンド例
gcloud compute networks subnets update [サブネット名] \
    --region=[リージョン名] \
    --enable-flow-logs \
    --logging-filter="true" \
    --aggregation-interval=INTERVAL_5_SEC \
    --flow-sampling=0.5 \
    --metadata=INCLUDE_ALL_METADATA

ここで重要なパラメータを紐解きます。

--aggregation-interval：これは「記録をまとめる時間」です。例えば INTERVAL_5_SEC なら、5秒間に発生した同じ通信のやり取りを「1つの塊」として集計します。
--flow-sampling：先ほど説明した「抽出割合」です。0.0から1.0の間で設定します。
--metadata：手紙の宛先だけでなく、どのインスタンスから出たものか等の「詳細情報」をどれだけ付加するかを指定します。

—

4. 現場で役立つ「心構え」

最後に、現場でこのログを使う時のコツを一つだけ。

「ログはサンプリングされている」という前提を忘れないでください。

たまに、「通信が1回だけ発生したはずなのに、ログに記録されていない！」と焦る方がいます。でも、サンプリングレートが低いと、その1回が「たまたま記録されない方」に選ばれてしまうことはよくある話です。

もし重要なセキュリティ調査で「絶対に1パケットも見逃せない」という場合は、--flow-sampling=1.0 に設定しますが、それ以外の運用監視であれば、0.1〜0.5程度で「通信の傾向」を掴むのが、コストと精度のバランスが取れた「大人の選択」になります。

—

まとめ：一歩ずつ理解していきましょう

VPCフローログは、あなたのクラウドインフラが「健康に呼吸しているか」を教えてくれる聴診器のようなものです。

1. 仕組みを理解する（郵便配達の記録簿だと思えばいい！）
2. 目的を絞る（全量記録か、傾向把握か？）
3. コストを意識する（サンプリングレートを適切に！）

まずは開発環境などで「とりあえず有効化」してみて、Cloud Loggingの画面でどんな情報が流れてくるか眺めてみてください。IPアドレスやポート番号が並ぶその画面が、いつしか「ネットワークの地図」に見えてくるはずです。

ネットワークの世界は奥が深いですが、こうして少しずつ紐解いていけば決して怖い場所ではありません。一緒に、快適なクラウドライフを作っていきましょう！