dt-obs-network-flows

网络流量 Skill

分析 Dynatrace 中的网络流量，涵盖三种流量数据来源。本 Skill 介绍网络流量能够支持的使用场景，并根据问题将其引导至合适的数据源和参考文件。各数据源的详细 DQL 位于对应的参考文件中。

网络流量能告诉你什么

网络流量数据可以回答指标和跟踪数据无法回答的问题：

• 谁与谁通信 — 主机、进程、Pod、服务和外部端点之间的通信依赖关系
• 流量最多的实体 — 哪些实体产生的流量最多，可按字节数或连接数统计
• 连接健康状况 — 每段通信中的重置、超时、重传和往返时间（RTT）
• 流量组成 — 协议（TCP/UDP）、目标端口、方向（客户端与服务端）
• 对端解析 — 将原始 IP:端口对端映射回受监控实体（主机、进程、Pod、服务），或标记为外部实体

---

三种流量来源

根据流量所在位置以及捕获流量的对象选择数据源。如果多个来源都适用，请优先选择实体上下文最丰富的来源（通常是 OneAgent）。

来源	捕获方	数据位置	实体上下文	适用场景
OneAgent 流量	主机上的 OneAgent 网络 Agent	Grail 存储桶 default_network_flows 中的事件	丰富 — 捕获实体（客户端或服务端）已解析为主机 / 进程 / Pod smartscape ID；远程对端以 IP:端口表示	与 OneAgent 监控的主机、进程或 Kubernetes Pod 通信的流量。默认且最详细的数据源。
NetFlow / IPFIX / sFlow	网络设备（交换机、路由器），通过 OpenTelemetry Collector 摄取	日志（otel.scope.name == "otelcol/netflowreceiver"；建议路由至专用存储桶）	设备 / 接口级 — 原始 IP、导出器、接口；没有 smartscape 实体	网络硬件捕获到的流量。覆盖网络层的东西向和南北向流量。
云流日志	云服务提供商（AWS VPC / TGW；Azure、GCP 尚无文档）	日志（log.type == "aws.vpc" / "aws.tgw"；建议路由至专用存储桶）	云资源级 — VPC / 子网 / AZ / ENI、TGW 连接；原始 IP，没有 smartscape 实体	云网络内或跨云网络的流量，包括托管服务以及没有 Agent 的资源。

路由逻辑

1. 流量是否与 OneAgent 监控的主机、进程或 Pod 通信？ → OneAgent 流量。请参阅 references/oneagent-flows/oneagent-flows.md。
2. 流量是否来自设备级数据或未受监控的主机？ → NetFlow。请参阅 references/netflow/netflow.md。
3. 流量是否属于云网络 / 托管服务？ → 云流日志（按提供商区分）。AWS：references/cloud-flows/aws/aws.md。

三种来源之间存在重叠。Pod 到 Pod 的流量可能同时出现在 OneAgent 流量中（包含完整的 Pod 上下文）和云流日志中（显示为 ENI 到 ENI）。优先使用包含用户所需实体上下文的数据源；只有主要数据源没有数据时，才提及其他来源。

Dynatrace 中的相关网络数据

网络流是 Dynatrace 网络可观测性的一部分。如果问题与流量无关，请转到以下内容：

用户想要……	使用
主机 NIC 吞吐量、链路利用率、数据包丢弃/错误	dt-obs-hosts → references/host-metrics.md（Network Monitoring 部分）
进程级网络 I/O 和 TCP 连接质量指标	dt-obs-hosts → references/process-monitoring.md
Kubernetes Pod 连接和集群网络拓扑	dt-obs-kubernetes
服务请求率、延迟、错误率	dt-obs-services
外部/合成运行时间和网络可用性监控器	dt-obs-ext-monitors
网络设备——交换机、路由器、防火墙（SNMP/监控）	dt-obs-network-devices （计划中——尚不可用）

未来的宏观 dt-obs-network 技能可能会连接所有网络概念（设备、主机/进程/Pod 指标、流量、可用性监控器、云网络监控）。在该技能推出之前，本技能会保留上述流量相关的交叉链接。

---

参考文件

• references/oneagent-flows/oneagent-flows.md — 已验证。 default_network_flows bucket 的数据模型、字段参考和 DQL：流量最多的通信方、流量图、协议/端口细分、连接健康状况（重置/超时/重传/RTT）、以 bps 为单位的带宽，以及流量中哪一侧是对端。

• references/peer-resolution/peer-resolution.md — 已验证。 用于将原始流量 IP（和可选端口）解析为受监控主机、进程、Kubernetes Pod 或服务（主机 → Pod → 服务 → 外部）的共享 Smartscape 查询。OneAgent 流量和 NetFlow 均使用此查询。

• references/oneagent-flows/configuration.md — 启用和调整 builtin:network-connection-monitoring（生成 OneAgent 流量数据的设置）。

• references/netflow/netflow.md — 已验证。 通过 OpenTelemetry Collector 将 NetFlow/IPFIX/sFlow 摄取到 logs：数据模型、方向语义（单向，无客户端/服务器角色），以及用于查询主要会话/通信方/端口、协议细分、随时间变化的流量和每个导出器/接口视图的 DQL。

• references/netflow/configuration.md — OTel Collector netflow 接收器的摄取路径，以及为 netflow 日志路由到专用 bucket 的建议。

• references/cloud-flows/aws/aws.md — 已验证（AWS）。 将 AWS VPC Flow Logs 和 Transit Gateway 流日志摄取到 logs：aws.vpc/aws.tgw 字段模型（包括 pkt_srcaddr 与 srcaddr 的区别、log_status 筛选），以及用于查询主要会话/通信方/端口、已拒绝流量（安全）、出口 traffic_path、每个 VPC/子网/AZ、VPC 间流量、随时间变化的流量和 TGW 数据包丢失的 DQL。还包括 AWS 实体解析——按 ID 或 aws.object 中的 IP 查找 ENI/实例，以解析共享对端查询遗漏的无 Agent 资源。

• references/cloud-flows/aws/configuration.md — AWS 流日志的 Amazon Data Firehose 摄取路径，以及路由到专用 bucket 的建议。

  （Azure NSG/VNet 和 GCP VPC 流日志尚未编写文档；当租户数据可用时，请将其添加为同级 cloud-flows/<provider>/ 文件夹。）