matchnet

입력 레코드의 IP 주소 필드 값이 지정한 네트워크 대역 그룹에 포함되는지 확인하고, 일치하는 레코드를 필터링합니다.

명령어 속성

문법

옵션

guid=STR

대조할 네트워크 대역 그룹의 GUID (name과 함께 사용할 수 없음). guid 또는 name 옵션 중 하나를 반드시 지정해야 합니다.

name=STR

대조할 네트워크 대역 그룹의 이름 (guid와 함께 사용할 수 없음). guid 또는 name 옵션 중 하나를 반드시 지정해야 합니다.

field=FIELD

대조할 IP 주소 필드 이름. field 또는 fields 옵션 중 하나를 반드시 지정해야 합니다.

fields=FIELD, ...

대조할 IP 주소 필드 이름 목록. 쉼표(,)로 구분하여 여러 필드를 지정할 수 있습니다. field와 함께 지정하면 두 옵션에서 지정한 필드를 모두 사용합니다. field 또는 fields 옵션 중 하나를 반드시 지정해야 합니다.

invert=BOOL

대조 결과의 반전 여부 (기본값: f)

• t: 네트워크 대역에 포함되지 않는 레코드를 출력
• f: 네트워크 대역에 포함되는 레코드를 출력

verify=BOOL

네트워크 대역 그룹 존재 여부 검증 (기본값: t)

• t: 파싱 시점에 네트워크 대역 그룹이 존재하는지 검증
• f: 네트워크 대역 그룹 검증을 생략

tag=BOOL

일치한 네트워크 대역 정보의 출력 여부 (기본값: f)

• t: 일치한 네트워크 대역 정보를 _matchnet_result 필드에 맵으로 할당
• f: 네트워크 대역 정보를 출력하지 않음

입력 필드

출력 필드

tag=t 옵션을 지정하면 출력되는 레코드에 subnet_field, subnet_value, subnet_invert를 추가하고, 네트워크 대역에 일치한 경우에만 _matchnet_result를 추가합니다.

_matchnet_result 맵의 키:

오류 코드

파싱 오류

런타임 오류

해당 사항 없음

설명

matchnet 명령어는 입력 레코드에서 field·fields 옵션으로 지정한 필드의 IP 주소 값이 네트워크 대역 그룹에 정의된 서브넷에 포함되는지 확인합니다. IPv4 주소만 지원하며, 필드 값이 null이거나 IPv6 주소이거나 지원하지 않는 타입이면 일치하지 않는 것으로 처리합니다.

guid 또는 name 옵션으로 대조할 네트워크 대역 그룹을 지정합니다. name 옵션을 지정하면 해당 이름의 네트워크 대역 그룹을 조회하여 GUID를 확인합니다. 두 옵션을 동시에 지정하거나 모두 생략하면 오류가 발생하며, name으로 지정한 이름이 존재하지 않거나 여러 그룹에서 중복되는 경우에도 오류가 발생합니다.

tag=t 옵션을 지정하면 일치한 네트워크 대역의 상세 정보(시작 IP, 종료 IP, CIDR, 설명)를 _matchnet_result 필드에 맵으로 할당합니다.

invert=t 옵션을 지정하면 네트워크 대역에 포함되지 않는 레코드만 출력합니다. 여러 필드를 지정한 경우 invert=f(기본값)는 일치하는 필드를 처음 만난 시점에 출력을 확정하지만, invert=t는 반대로 일치하지 않는 필드를 처음 만난 시점에 출력을 확정합니다 — 즉 모든 필드가 네트워크 대역에 포함되어야 그 레코드가 결과에서 제외됩니다.

verify=f 옵션을 지정하면 파싱 시점에 네트워크 대역 그룹의 존재 여부를 검증하지 않습니다. 실시간 스트림 쿼리에서 네트워크 대역 그룹이 나중에 동기화되는 경우에 사용합니다.

네트워크 대역 그룹이 실행 중에 업데이트되면 자동으로 새로운 대역 정보를 반영합니다. 분산 환경에서는 수집 노드에서 실행됩니다.

사용 예

이 사용 예에서 조회하는 WEB_APACHE_SAMPLE 테이블을 준비하려면 쿼리 실습용 데이터를 참고하세요.

1. 네트워크 대역에 포함되는 레코드 필터링

   table limit=1000 WEB_APACHE_SAMPLE
   | matchnet guid=550e8400-e29b-41d4-a716-446655440000 field=src_ip
   

   웹 서버 접근 로그의 출발지 IP 주소가 지정한 네트워크 대역 그룹에 포함되는 레코드만 출력합니다.

2. 네트워크 대역에 포함되지 않는 레코드 필터링

   table limit=1000 WEB_APACHE_SAMPLE
   | matchnet guid=550e8400-e29b-41d4-a716-446655440000 field=src_ip invert=t
   

   출발지 IP 주소가 네트워크 대역 그룹에 포함되지 않는 레코드만 출력합니다.

3. 일치한 네트워크 대역 정보 포함

   table limit=1000 WEB_APACHE_SAMPLE
   | matchnet guid=550e8400-e29b-41d4-a716-446655440000 field=src_ip tag=t
   

   일치하는 레코드에 _matchnet_result 필드를 추가하여 네트워크 대역의 시작 IP, 종료 IP, CIDR, 설명 정보를 맵으로 출력합니다.

4. 네트워크 대역 그룹 검증 생략

   table limit=1000 WEB_APACHE_SAMPLE
   | matchnet guid=550e8400-e29b-41d4-a716-446655440000 field=src_ip verify=f
   

   네트워크 대역 그룹의 존재 여부를 파싱 시점에 검증하지 않고 실행합니다. 실시간 스트림 쿼리에서 네트워크 대역 그룹이 나중에 동기화되는 경우에 사용합니다.

5. 이름으로 네트워크 대역 그룹 지정

   table limit=1000 WEB_APACHE_SAMPLE
   | matchnet name=internal_subnets field=src_ip
   

   GUID 대신 이름으로 네트워크 대역 그룹을 지정하여 대조합니다.

변경 이력