Řešení potíží se službou Azure Firewall pomocí zachytávání paketů

Funkce zachytávání paketů služby Azure Firewall umožňuje zachytávat a analyzovat síťový provoz pro účely řešení potíží. V tomto článku se dozvíte, jak nakonfigurovat filtry, zachytit provoz a analyzovat výsledky.

Požadavky

• Předplatné služby Azure. Pokud žádné nemáte, vytvořte si bezplatný účet.
• Brána Azure Firewall s povolenou síťovou kartou správce. Viz Nasazení a konfigurace služby Azure Firewall a zásad.
  • Síťové rozhraní pro správu je ve výchozím nastavení povoleno pro nasazení SKU Basic a Virtual WAN.
  • V případě SKU úrovně Standard nebo Premium ve virtuální síti použijte síťovou kartu pro správu služby Azure Firewall k jejímu povolení.

Vytvoření účtu úložiště

Vytvořte účet úložiště a získejte adresu URL SAS pro kontejner, ve kterém jsou zachycené pakety uložené.

Nastavení účtu úložiště

1. Na webu Azure Portal vyberte Vytvořit prostředek, vyhledejte účty úložiště a vyberte Vytvořit.

2. Na kartě Základy zadejte požadované informace pro váš účet úložiště.

3. Na kartě Upřesnit v části Zabezpečení vyberte Povolit povolení anonymního přístupu u jednotlivých kontejnerů. Ponechte ostatní výchozí nastavení.

   

Vytvoření kontejneru

1. Po vytvoření účtu úložiště přejděte k prostředku a v části Úložiště dat vyberte Kontejnery.

2. Vyberte + Kontejner a zadejte název nového kontejneru.

3. V případě úrovně anonymního přístupu vyberte Kontejner (anonymní přístup pro čtení pro kontejnery a objekty blob).

   

Vygenerování adresy URL SAS

1. Po vytvoření kontejneru vyberte ... (tři tečky) vedle kontejneru a vyberte Vygenerovat SAS.

2. Na stránce Generovat SAS v části Oprávnění zrušte zaškrtnutí oprávnění ke čtení a vyberte Zapisovat.

   

3. Vyberte Vygenerovat token SAS a adresu URL a zkopírujte vygenerovanou adresu URL SAS.

Důležité

Zachytávání paketů selže, pokud není správně nakonfigurovaná adresa URL SAS účtu úložiště. Postupujte přesně podle všech kroků:

• Povolení anonymního přístupu pro jednotlivé kontejnery
• Nastavení úrovně anonymního přístupu na kontejner
• Udělte pouze oprávnění k zápisu a odemkněte čtení.

Běžné chyby konfigurace:

• Chybějící oprávnění k zápisu na adrese URL SAS
• Přístup na úrovni kontejneru není povolený
• Adresa URL SAS odkazující na úložiště objektů blob místo kontejneru

Konfigurace a spuštění zachytávání paketů

Nakonfigurujte a spusťte zachytávání paketů v bráně firewall.

Přístup k zachytávání paketů

1. V portálu Azure přejděte na bránu firewall.
2. V části Nápověda vyberte Zachytávání paketů.

Konfigurace nastavení zachytávání

1. Na stránce Zachytávání paketů nakonfigurujte následující nastavení:

   • Název zachytávání paketů: Zadejte jedinečný název zachytávání souborů.
   • Výstupní adresa URL SAS: Vložte adresu URL SAS kontejneru úložiště, který jste vytvořili.

   Návod

   Pro každý záznam použijte jedinečné názvy souborů, abyste zachovali předchozí výsledky. Při spuštění více záznamů se stejným názvem souboru na stejnou adresu URL SAS se přepíší existující soubory.

2. Nastavte základní parametry zachycení:

   • Maximální počet paketů: Zadejte hodnotu mezi 100 a 90 000 pakety.
   • Časový limit (sekundy):Zadejte hodnotu mezi 30 a 1 800 sekund.
   • Protokol: Vyberte protokol, který chcete zaznamenat: Jakýkoli protokol, TCP, UDP nebo ICMP.
   • Příznaky TCP: Pokud jste vybrali protokol TCP nebo Jakýkoli protokol, zvolte, které typy paketů se mají zachytit: FIN, SYN, RST, PSH, ACK nebo URG.

   Poznámka:

   Zadejte maximální počet paketů i časový limit. Zachycení se zastaví při dosažení prvního limitu.

Definování filtrů zachycení

1. V části Filtrování určete, které pakety se mají zachytit:

   • Zdrojové IP adresy nebo podsítě
   • Cílové IP adresy nebo podsítě
   • Cílové porty

   Poznámka:

   • Vyžaduje se aspoň jeden filtr.
   • Zachytávání paketů zaznamenává obousměrný provoz, který odpovídá jednotlivým filtrům.
   • Pro více hodnot použijte seznamy oddělené čárkami (například 192.168.1.1, 192.168.2.1 nebo 192.168.1.0/24).
   • Pokud chcete zachytit příchozí i odchozí pakety při použití SNAT, připojení k internetu nebo zpracování pravidel aplikace, zahrňte AzureFirewallSubnet adresní prostor do zdrojového pole.

Spusťte záznam

1. V části Stav vyberte Aktualizovat stav a ověřte, že aktuálně není spuštěno žádné zachytávání paketů.

   

   • Pokud je brána firewall připravená, stav zobrazuje Žádné zachytávání paketů neprobíhá. Můžete spustit nové zachytávání paketů.

   

   • Pokud už probíhá zachytávání paketů, vyberte Zastavit zachytávání paketů a pak aktualizujte stav, abyste potvrdili, že se zastavil před spuštěním nového zachytávání.

   

2. Vyberte Spustit zachytávání paketů a začněte zachytávat pakety s nakonfigurovaným nastavením.

   Poznámka:

   Azure hlásí operaci zachytávání paketů jako úspěšnou při získání zachycení z alespoň poloviny základních výpočetních instancí brány firewall. Portál nezobrazuje, které instance poskytly zachytávání, takže stavová zpráva je primárním indikátorem úspěchu.

Analýza zachytávání paketů

Po dokončení zachytávání paketů se ve stavu zobrazí úspěšné zachytávání paketů. Připraveno ke spuštění nového zachytávání paketů.

Stažení a prozkoumání souborů zachytávání

1. Na webu Azure Portal přejděte do kontejneru úložiště.

   

   Soubory zachytávání se ukládají do kořenové složky kontejneru. Zobrazí se několik pcap souborů – jeden pro každou instanci virtuálního počítače v back-endu brány firewall.

2. pcap Stáhněte si soubory.

   

3. Analyzujte soubory pomocí nástroje pro analýzu paketů, jako je Wireshark.

Pochopit způsoby toku paketů

Každý záznam paketů obsahuje páry příchozích a odchozích paketů. U každého paketu, který zpracovává brána firewall, uvidíte odpovídající dvojici v záznamu. Následující tabulka popisuje čtyři běžné vzory toku paketů:

Scenario	Příchozí paket	Odchozí paket
Virtuální síť do virtuální sítě (bez SNAT) Virtuální síť do místního prostředí (bez SNAT)	Zdroj: Klient Cíl: Server	Zdroj: Klient Cíl: Server Hlavičky vrstvy 2 se liší, ale vrstvy 3 a vyšší zůstávají stejné.
[Virtuální síť do virtuální sítě (s SNAT) Virtuální síť do místního prostředí (s SNAT) Virtuální síť do internetu	Zdroj: Klient Cíl: Server	Zdroj: Brána firewall Cíl: Server Změny zdrojové IP adresy vrstvy 3 kvůli SNAT Vrstva 4 a vyšší zůstávají beze změny.
Toky pravidel aplikace	Zdroj: Klient Cíl: Server	Zdroj: Brána firewall Cíl: Server Vrstva 4 a vyšší se liší, protože firewall proxy připojení a vytvoří novou relaci k cíli. Ke shodě příchozích a odchozích paketů použijte klíče HTTP nebo TLS. Vrstva 7 zůstává stejná.
Toky DNAT	Zdroj: Klient Cíl: Veřejná IP adresa brány firewall	Zdroj: Brána firewall Cíl: PRIVÁTNÍ IP adresa DNATed Cílová IP adresa vrstvy 3 se liší od příchozího paketu kvůli DNAT, zatímco vrstva 4 zůstává stejná.

Podrobné pokyny k těmto scénářům najdete v tématu Použití zachytávání paketů pro řešení potíží s toky služby Azure Firewall.

Nejčastější dotazy

Můžu zachytit provoz na všech portech nastavením cílového portu na 0?

V každém filtru musíte zadat alespoň jeden cílový port. Zachytávání provozu na všech portech se nepodporuje.

Můžu ve filtru použít rozsahy IP adres?

Filtry podporují jednotlivé IP adresy nebo podsítě, ale ne rozsahy IP adres. Pokud potřebujete zachytit rozsah, použijte podsíť, která tyto adresy pokrývá. Omezte filtry na maximálně pět IP adres nebo podsítí.

Můžu ponechat maximální počet paketů nebo časový limit prázdný pro zachycení veškerého provozu?

Obě hodnoty jsou povinné. V případě potřeby je nastavte na maximální povolené hodnoty. Při dosažení některého limitu se zachytávání automaticky zastaví.

Můžu ručně zastavit probíhající zachytávání paketů?

Ano, výběrem tlačítka Zastavit zachytávání paketů ukončete zachytávání , než dosáhne nakonfigurovaných limitů.

Podporuje zachytávání paketů nepřetržité nebo cyklické zachytávání?

Cyklické (průběžné) zachytávání paketů se nepodporuje. Pokud potřebujete rozšířený nebo opakovaný záznam pro řešení potíží, otevřete žádost o podporu Azure. Podpora Microsoftu může vaším jménem spouštět delší zachytávání.

Můžu nastavit cíl na 0.0.0.0.0/0 pro zachycení veškerého provozu?

Zachytávání paketů je navržené tak, aby vyřešil konkrétní toky. Nastavení cíle na 0.0.0.0/0 způsobí prázdné zachycení a nezachytí veškerý provoz.

Můžu místo IP adres použít plně kvalifikovaný název domény ve filtru?

Filtry nepodporují plně kvalifikované názvy domén. Ale můžete použít DNS k překladu plně kvalifikovaného názvu domény na IP adresy a přidání těchto IP adres do filtru.

Je nechat příznaky TCP nezaškrtnuté totéž jako zvolit všechny příznaky?

Pokud nejsou vybrány žádné příznaky TCP (výchozí), zachytí se všechny typy paketů. Vyberte konkrétní příznaky pouze v případech, kdy chcete zachytit konkrétní typy paketů.

Můžu současně zaznamenávat pakety ICMP, TCP a UDP?

Ano, jako protokol vyberte Libovolný , aby se zachytály všechny typy paketů. Pole protokolu je navržené tak, aby v případě potřeby filtruje konkrétní protokoly.

Jak poznám, jestli bylo zachytávání paketů úspěšné?

Azure hlásí úspěch při získání zachycení z alespoň poloviny základních výpočetních instancí. Prázdné soubory zachycení naznačují, že operace proběhla úspěšně, ale žádný provoz neodpovídá vašim filtrům. Rozšiřte filtry a spusťte zachytávání znovu.

Další kroky

• Metriky a upozornění služby Azure Firewall