Surveillance et observabilité du réseau

Cet article explique comment surveiller, diagnostiquer et résoudre les problèmes Azure ressources réseau à l’aide d’outils Network Watcher, de journaux de flux, de Traffic Analytics et de Azure Monitor Network Insights. Utilisez ces conseils pour planifier une stratégie d’observabilité réseau qui vous donne une visibilité sur les modèles de trafic, l’intégrité de la connectivité et les événements de sécurité.

Présentation de cet article

La surveillance du réseau dans Azure couvre les diagnostics, la visibilité des flux, les tests de connectivité et les tableaux de bord opérationnels. Azure fournit des outils spécialement conçus à différents niveaux de la pile de supervision :

  • Diagnostics et résolution des problèmes : Identifiez pourquoi un paquet spécifique est autorisé ou refusé, tracez l’itinéraire qu’un paquet prend et capturez le trafic pour une analyse approfondie.
  • Visibilité du flux : Enregistrez les métadonnées relatives à chaque flux réseau sur vos réseaux virtuels pour l’examen de la sécurité, la conformité et la planification de la capacité.
  • Surveillance de la connectivité : Testez en permanence l’accessibilité entre les points de terminaison (Azure, locaux et externes) et alertez quand la connectivité se dégrade.
  • Tableaux de bord opérationnels : Visualisez la topologie réseau, l’intégrité et les métriques entre les abonnements sans déployer d’agents.

Cet article traite des outils qui traitent de chaque couche et vous aide à choisir la combinaison appropriée pour votre environnement.

Qui a besoin de cet article

Lisez cet article si une ou plusieurs de ces conditions s’appliquent :

  • Vous avez besoin d’une visibilité sur le trafic réseau, l’intégrité de la connectivité, les décisions de routage ou les événements de sécurité dans Azure.
  • Vous avez besoin d’outils pour résoudre les problèmes de filtrage de paquets, tronçons suivants, intégrité du tunnel ou échecs de connectivité inattendus.
  • Vous avez besoin de journaux de flux, d’analyse du trafic ou de tableaux de bord pour les enquêtes de sécurité, la planification de la capacité ou les opérations.
  • Vous avez besoin d’une surveillance continue pour Azure, les chemins d’accès réseau locaux ou interclouds.

Tip

Suivre le parcours du scénario ? Sélectionnez votre scénario en haut de la page pour obtenir des conseils personnalisés. Les conseils fondamentaux qui suivent s’appliquent à tous les lecteurs.

Objectif de la migration lift-and-shift : configurez la supervision après avoir établi votre référence de migration. Vous avez besoin d’une observabilité réseau pour vérifier que la connectivité fonctionne comme prévu, que les performances répondent à vos besoins et que les modèles de trafic correspondent à votre documentation de pré-migration. Network Watcher offre une visibilité immédiate sur la capacité de vos charges de travail migrées à atteindre leurs dépendances.

Priorité de modernisation : La supervision fait partie de votre architecture cible, et non d’une réflexion après coup. La préparation de la production nécessite l’observabilité du réseau dès le premier jour. Vos charges de travail AKS et App Service Environment (ASE) génèrent des modèles de trafic complexes entre plusieurs spokes, régions et points de terminaison privés que vous devez surveiller de manière proactive.

Priorité au multicloud : La surveillance est essentielle, car les environnements multicloud sont plus difficiles à diagnostiquer d’un point de vue opérationnel. Lorsque le trafic traverse des tunnels VPN chiffrés entre Azure et AWS ou Google Cloud, vous perdez de la visibilité à la limite du tunnel. Vous avez besoin d’outils de supervision côté Azure pour détecter les augmentations de latence, la perte de paquets et les défaillances de connectivité entre les limites du cloud.

Azure services et fonctionnalités

Le tableau suivant décrit les outils de supervision et de diagnostic de base disponibles dans Azure mise en réseau.

Outil Ce qu’il fournit Quand l′utiliser ?
Observateur de réseau Service de plateforme qui fournit des fonctionnalités de diagnostic, de supervision et de journalisation pour Azure réseaux virtuels. Activé automatiquement par région lorsque vous créez un réseau virtuel. Point de départ pour toute résolution des problèmes réseau. Utilisez la vérification du flux IP, le tronçon suivant et la capture de paquets pour les diagnostics en temps réel.
Journaux de flux VNet Enregistrez les métadonnées (source, destination, port, protocole, action) pour tout le trafic transitant par un réseau virtuel. Évalue à la fois les règles NSG et les règles d’administration de la sécurité d’Azure Virtual Network Manager. Activez tous les réseaux virtuels de production pour l’examen de sécurité, l’audit de conformité et la planification de la capacité. Remplace les journaux de flux NSG.
Journaux de flux NSG (en cours de suppression) Enregistrez les décisions de trafic prises par les groupes de sécurité réseau au niveau du sous-réseau ou de la carte réseau. Déploiements hérités uniquement. Migrez vers les journaux de flux VNet avant le 30 septembre 2027. Aucun nouveau journal de flux NSG ne peut être créé après le 30 juin 2025.
Traffic Analytics Agrège et visualise les données de journal de flux dans un espace de travail Log Analytics. Affiche les schémas de trafic, les principaux émetteurs, les ports ouverts et la répartition géographique des flux. Bénéficiez d’une visibilité opérationnelle des données du journal de flux sans écrire de requêtes personnalisées. Identifiez les anomalies et les risques de sécurité sur votre réseau.
Moniteur de Connexion Teste en permanence la connectivité entre les points de terminaison source et de destination à l’aide de sondes TCP, ICMP ou HTTP. Prend en charge les machines virtuelles Azure, les hôtes locaux (via Azure Arc) et les URL externes. Surveillez la conformité du contrat SLA pour les connexions hybrides, détectez les régressions de connectivité et vérifiez que les règles de pare-feu autorisent le trafic attendu.
Capture de paquets Capture les paquets vers et à partir d’une machine virtuelle sans avoir besoin d’accéder à la machine virtuelle. Stocke les captures dans un compte de stockage ou localement sur la machine virtuelle. Analyse approfondie des paquets pendant les enquêtes de sécurité ou lors du diagnostic des problèmes de connectivité de la couche Application.
Vérification du flux IP Vérifie si un paquet spécifique est autorisé ou bloqué en évaluant les règles NSG et les règles d’administration de sécurité d’AVNM pour un quintuplet (IP source, IP de destination, port source, port de destination, protocole). Résolvez les raisons pour lesquelles une machine virtuelle ne peut pas atteindre une destination ou pourquoi le trafic est bloqué de manière inattendue. Obtenez des résultats immédiats sans capture de paquets.
Saut suivant Affiche le type de tronçon et l’adresse IP suivants pour le trafic quittant une interface réseau spécifique. Évalue les itinéraires effectifs, notamment les itinéraires définis par l’utilisateur, les itinéraires BGP et les itinéraires système. Diagnostiquez le routage asymétrique, vérifiez que le trafic transite par une appliance virtuelle réseau attendue ou identifiez pourquoi le trafic est supprimé.
Azure Monitor Network Insights Fournit une vue de topologie complète et des métriques d’intégrité pour toutes les ressources réseau déployées sans nécessiter l’installation de l’agent ou une configuration supplémentaire. Tableaux de bord opérationnels qui montrent l’intégrité des ressources, les métriques et les dépendances entre les abonnements, les groupes de ressources et les régions.

Comment choisir

Diagramme montrant le processus décisionnel de l’outil de surveillance, où Network Watcher se ramifie vers les diagnostics, les journaux de flux, la surveillance de la connectivité et les tableaux de bord opérationnels.

Commencer par Network Watcher pour la résolution des problèmes

Network Watcher est votre premier arrêt pour diagnostiquer les problèmes de connectivité. Elle est automatiquement activée dans chaque région où vous disposez d’un réseau virtuel. Aucune configuration supplémentaire n’est requise.

Utilisez l’approche suivante lors de la résolution des problèmes :

  1. Vérification du flux IP : Vérifiez si le trafic est autorisé ou refusé et trouvez la règle responsable de cette décision. Cet outil teste les règles de sécurité NSG et les règles d’administrateur de sécurité Azure Virtual Network Manager (AVNM).
  2. Saut suivant : Vérifiez le chemin de routage et déterminez si le trafic atteint le saut suivant prévu (internet, passerelle de réseau virtuel, appliance virtuelle réseau (NVA) ou aucun).
  3. Capture de paquets : Si la vérification du flux IP et le tronçon suivant ne révèlent pas le problème, capturez les paquets pour l’analyse au niveau du protocole.

Améliorez la visibilité grâce aux journaux de flux

Après avoir établi des fonctionnalités de diagnostic, activez la journalisation des flux pour une visibilité continue :

  1. Activez les journaux de flux VNet sur tous les réseaux virtuels de production. Les journaux de flux VNet enregistrent le trafic de l'ensemble du réseau virtuel ; il n'est donc pas nécessaire de configurer la journalisation à plusieurs niveaux de NSG. Cette approche évite également les enregistrements en double.
  2. Activez Traffic Analytics afin d’agréger les données de flux dans des tableaux de bord exploitables. Traffic Analytics nécessite un espace de travail Log Analytics. Utilisez un espace de travail dans n’importe quelle région prise en charge sans frais de transfert de données supplémentaires.
  3. Définissez des stratégies de rétention en fonction de vos exigences de conformité. Les enregistrements de journal de flux stockés dans stockage Azure suivent les stratégies de gestion du cycle de vie du compte de stockage.

Ajouter une surveillance continue pour les parcours critiques pour les SLA

Pour les connexions où le temps d’arrêt a un impact sur l’entreprise :

  1. Déployez des tests de surveillance des connexions entre les machines virtuelles Azure, les points de terminaison locaux et les URL externes.
  2. Configurez les alertes à déclencher lorsque les seuils de latence, de perte de paquets ou d’accessibilité sont dépassés.
  3. Utilisez Network Insights pour une vue de topologie qui met en corrélation les métriques d’intégrité sur l’ensemble de votre réseau sans déployer d’agents supplémentaires.

Résumé de la décision

Besoin de surveillance Outil principal Prend en charge l’hybride Nécessite l’agent
« Pourquoi ce paquet est-il bloqué ? » Vérification du flux IP Non Non
« Où ce trafic va-t-il ? » Prochain Saut Non Non
« Qu’est-ce qui s’est passé au cours de la dernière heure ? » Capture de paquets Non Non
« Quel est le modèle de trafic sur mon réseau virtuel ? » Journaux de flux VNet + Traffic Analytics Non Non
« Ma connexion hybride est-elle saine ? » Moniteur de connexion Oui (Azure Arc) Oui (source uniquement)
Quel est l’état général de mon réseau ? Network Insights Partiel Non

Considérations relatives à la conception

Votre priorité de supervision est la validation de base après la migration. Concentrez-vous sur la vérification que les charges de travail migrées peuvent atteindre leurs dépendances et que les performances répondent aux attentes.

  • Network Watcher pour valider la connectivité : utilisez IP Flow Verify et Next Hop pour confirmer que les règles NSG et les tables de routage autorisent le trafic nécessaire à vos applications migrées. Exécutez ces vérifications systématiquement pour chaque charge de travail migrée.
  • Journaux de flux de réseau virtuel pour les modèles de trafic de référence : Activez les journaux de flux de réseau virtuel sur les réseaux virtuels de production pour capturer les modèles de trafic réels de vos charges de travail migrées. Comparez les données de flux à votre documentation de prémiglage pour vérifier que tous les chemins de communication attendus fonctionnent.
  • Moniteur de connexion pour les chemins hybrides : déployez des tests Moniteur de connexion entre des machines virtuelles Azure et des points de terminaison locaux pour vérifier en permanence que les connexions VPN ou ExpressRoute conservent une latence et une disponibilité acceptables.
  • Surveillance avancée différée : Configurez Traffic Analytics et les alertes avancées une fois la migration initiale stabilisée. Commencez par les outils de diagnostic pour valider la connectivité avant d’investir dans des tableaux de bord opérationnels à long terme.

Votre stratégie de supervision prend en charge les charges de travail de production à partir du premier déploiement. Les clusters AKS, les environnements App Service et les architectures actives multirégions nécessitent une observabilité complète.

  • Journaux de flux VNet sur tous les spokes : activez les journaux de flux VNet sur tous les réseaux virtuels spoke. Vos charges de travail conteneurisées génèrent des modèles de trafic qui couvrent plusieurs sous-réseaux et points de terminaison privés au sein de chaque spoke.
  • Traffic Analytics afin d’assurer une visibilité opérationnelle : Déployez Traffic Analytics avec un espace de travail Log Analytics pour agréger les données de flux de tous les spokes. Les opérateurs réseau utilisent les tableaux de bord Traffic Analytics pour identifier les principaux émetteurs de trafic, les flux anormaux et les tendances de capacité dans l'ensemble de l'environnement.
  • Responsabilité de surveillance de l’équipe d’application : Les équipes d’applications surveillent leurs propres charges de travail (métriques AKS, diagnostics ASE). Les opérations de réseau central surveillent l’infrastructure partagée : pare-feu hub, passerelles VPN, liens de peering et connectivité entre régions.
  • Moniteur de connexion pour la multirégion : déployez des tests Moniteur de connexion entre les régions pour vérifier en permanence que la connectivité inter-hub répond à vos exigences de contrat SLA actif/actif. Configurez des alertes pour les augmentations de latence susceptibles d’indiquer des modifications de congestion ou de routage de l’épine dorsale.
  • Moniteur de connexion pour les performances de bout en bout : utilisez Moniteur de connexion pour suivre les performances de bout en bout sur votre topologie hub-spoke, y compris le trafic qui traverse Pare-feu Azure dans chaque hub régional. Moniteur de connexion remplace l’outil obsolète Network Analyseur de performances et fournit des vues de topologie unifiées couvrant Azure, l’environnement local et les sauts Internet.

Les environnements interclouds présentent des défis uniques en matière de supervision, car vous perdez la visibilité à la limite du tunnel VPN. Le trafic qui entre dans un tunnel IPsec vers AWS ou Google Cloud disparaît de la surveillance côté Azure jusqu’à ce qu’une réponse retourne.

  • Surveillance du trafic intercloud : Activez les journaux des flux VNet sur le réseau virtuel qui héberge votre passerelle VPN ou votre hub Virtual WAN. Ces journaux capturent le trafic entrant et sortant des tunnels multicloud, fournissant des données volumétriques et la répartition des protocoles pour les communications multicloud.
  • Mesure de latence : Déployez Moniteur de connexion tests à partir de machines virtuelles Azure sur des points de terminaison dans AWS ou Google Cloud. Utilisez des sondes ICMP ou TCP pour mesurer la latence aller-retour sur les tunnels chiffrés. Définissez des seuils d’alerte en fonction des exigences de votre application.
  • Résolution des problèmes liés aux tunnels chiffrés : Lorsque la connectivité intercloud échoue, utilisez les fonctionnalités Saut suivant et Vérification du flux IP de Network Watcher pour confirmer que le routage côté Azure et les règles de groupe de sécurité réseau continuent de diriger le trafic vers la passerelle VPN. Les journaux de diagnostic de passerelle VPN indiquent l’état de la négociation IKE et l’état de santé du tunnel.
  • La surveillance des deux côtés : Azure surveillance couvre le côté Azure de la connectivité entre les clouds. Coordonnez-vous avec votre configuration AWS CloudWatch ou Google Cloud Monitoring pour obtenir une visibilité de bout en bout. Alerte en cas de changement d’état du tunnel chez les deux fournisseurs.
  • Network Watcher comme point de départ : utilisez Network Watcher diagnostics pour isoler si les défaillances de connectivité proviennent du côté Azure (règles de groupe de sécurité réseau, tables de routage, configuration de passerelle) ou du côté distant (règles de pare-feu AWS ou Google Cloud, configuration VPN).

Surveiller les coûts réseau

La mise en réseau est un coût récurrent que la surveillance doit rendre visible. Utilisez Microsoft Cost Management pour identifier les ressources qui pilotent vos dépenses réseau. Les données traitées par Pare-feu Azure, les unités de mise à l’échelle de passerelle, les adresses IP publiques, le transfert de données interrégional et via peering global, ainsi que l’ingestion dans Log Analytics, sont des facteurs courants. Filtrez l’analyse des coûts par le Microsoft.Network fournisseur de ressources, regroupez par ressource et définissez des alertes budgétaires de sorte que des augmentations inattendues (par exemple, une augmentation du trafic de réplication interrégion) s’affichent tôt. Mettez en corrélation les pics de coût avec les journaux de flux et Traffic Analytics pour identifier les schémas de trafic à l’origine de ces pics.

Prerequisites

Avant d’implémenter la supervision réseau, vérifiez que vous répondez aux exigences suivantes :

  • Network Watcher activé : Network Watcher est automatiquement activé par région lorsque vous créez ou mettez à jour un réseau virtuel. Si votre organisation a refusé l’activation automatique, activez Network Watcher manuellement pour chaque région requise. Pour annuler cette désinscription, vous devez envoyer une demande au support Azure.
  • espace de travail Log Analytics : requis pour Traffic Analytics et Moniteur de connexion. L’espace de travail peut se trouver dans n’importe quelle région prise en charge. Aucun frais de transfert de données inter-régions supplémentaire ne s’applique.
  • Compte de stockage : Requis pour le stockage du journal de flux et la sortie de capture de paquets. Utilisez des règles de gestion du cycle de vie pour contrôler la rétention et le coût.
  • Agent Azure Arc (hybride uniquement): Requis sur les machines locales qui servent de points de terminaison source de Moniteur de connexion. Les points de terminaison de destination ne nécessitent pas d’agent. Surveillez n’importe quelle URL, nom de domaine complet ou adresse IP.
  • Journaux de flux de réseau virtuel remplaçant les journaux de flux NSG : Si vous utilisez actuellement des journaux de flux NSG, planifiez votre migration vers les journaux de flux de réseau virtuel avant la date de mise hors service.

Migration des journaux de flux NSG vers les journaux de flux VNet

Important

Les journaux de flux NSG seront supprimés le 30 septembre 2027. Vous ne pouvez pas créer de journaux de flux NSG après le 30 juin 2025. Migrez vers les journaux de flux VNet pour conserver la visibilité sur le trafic.

Les journaux de flux de réseau virtuel fournissent les mêmes fonctionnalités que les journaux de flux NSG, ainsi que :

  • Couverture de tout le trafic au sein d’un réseau virtuel, y compris le trafic que les groupes de sécurité réseau ne traitent pas
  • Évaluation des règles d’administrateur de sécurité Azure Virtual Network Manager
  • Évaluation de l’état du chiffrement de réseau virtuel
  • Étendue simplifiée : il n’est pas nécessaire de configurer la journalisation au niveau de la carte d’interface réseau et du sous-réseau
  • Aucune entrée de journal dupliquée

Étapes de migration :

  1. Identifiez tous les réseaux virtuels pour lesquels les journaux de flux NSG sont actifs.
  2. Activez les journaux de flux VNet sur chaque réseau virtuel avec le même compte de stockage de destination et la même configuration Traffic Analytics.
  3. Vérifiez que les données du journal de flux de réseau virtuel s’affichent dans Traffic Analytics.
  4. Désactivez les journaux de flux NSG pour éviter les coûts d’enregistrement en double et de stockage inutiles.

Tip

Désactivez les journaux de flux NSG après avoir confirmé que les journaux de flux de réseau virtuel sont enregistrés correctement. L’exécution simultanée crée des enregistrements en double et double les coûts de stockage.

Azure fournit à la fois un script de migration et un chemin d’accès Azure Policy pour la migration automatisée à grande échelle.

Considérations relatives à la sécurité

Protégez les données de surveillance et contrôlez l’accès aux outils de diagnostic. Les sous-sections suivantes couvrent la confidentialité des données, la rétention, la sécurité de la sonde et l’accès en fonction du rôle.

Sensibilité des données des journaux de flux

Les enregistrements de journal de flux contiennent des métadonnées sur tout le trafic réseau, y compris les adresses IP source et de destination, les ports, les protocoles et les actions. Traitez les données du journal de flux comme sensibles :

  • Stockez les journaux de flux dans un compte de stockage avec les contrôles d’accès et le chiffrement appropriés.
  • Limitez l’accès à l’espace de travail Log Analytics qui reçoit des données Traffic Analytics à l’aide de Azure RBAC.
  • Appliquez le principe du privilège minimum : les opérateurs réseau peuvent avoir besoin de tableaux de bord Traffic Analytics, mais pas d’un accès au journal de flux brut.

Rétention des données de diagnostic

  • Définissez des stratégies de rétention basées sur les exigences de conformité de votre organisation, telles que PCI DSS, HIPAA ou SOC 2.
  • Utilisez stockage Azure gestion du cycle de vie pour archiver ou supprimer automatiquement les données du journal de flux après la période de rétention requise.
  • Surveillez les coûts du compte de stockage. Les réseaux à débit élevé génèrent de grands volumes de données de journal de flux.

sécurité de Moniteur de connexion

  • Le trafic de sonde de Moniteur de connexion provient de l’infrastructure Azure. Assurez-vous que les règles NSG autorisent les plages sources des sondes (utilisez l'étiquette de service AzureMonitor par souci de simplicité).
  • Pour les sources locales, l’agent Azure Arc conserve une connexion sécurisée à Azure. Suivez les stratégies de sécurité de l’agent de votre organisation.

contrôle d’accès à Network Watcher

Les opérations de Network Watcher nécessitent des rôles Azure RBAC spécifiques. Suivez le principe du privilège minimum :

Rôle Capacités
Contributeur de réseau Accès complet à Network Watcher, y compris la capture de paquets et la configuration des journaux de flux
Reader Afficher les ressources et la topologie Network Watcher
Rôle personnalisé Limitez l'accès à des opérations spécifiques (IP Flow Verify, Next Hop) sans accorder un accès complet de contributeur.

Learn more

Étapes suivantes

Tip

Fin de l’exploration ? Vous avez atteint la fin du guide principal de conception de mise en réseau Azure. Revenez au navigateur de vue d’ensemble pour revoir n’importe quelle zone de capacité ou continuer à Azure Virtual Network Manager pour la gestion centralisée du réseau sur de nombreux réseaux virtuels.

Vous avez terminé le parcours de mise en réseau lift-and-shift. Vous disposez maintenant d’une topologie hub-and-spoke avec une connectivité hybride VPN/ExpressRoute, une Pare-feu Azure centralisée pour le trafic est-ouest et sortant, Bastion pour un accès administrateur sécurisé et Network Watcher surveiller votre base de référence de migration.

Si vos besoins ont évolué, consultez de nouveau les sections conditionnelles de votre guide du scénario concernant l’entrée de trafic Internet, le WAF, la protection DDoS et les options multirégion.

Gestion centralisée du réseau. Optionnel: Si votre migration a créé un patrimoine multi-réseaux virtuels, utilisez Azure Virtual Network Manager pour la gouvernance centralisée.

Revenez à la vue d’ensemble : Explorez d’autres fonctionnalités ou passez en revue votre architecture.

Vous avez terminé le parcours de mise en réseau de modernisation. Vous disposez maintenant d’une architecture à double hub, multirégion avec Front Door ou Traffic Manager pour les entrées globales, Private Link pour une connectivité PaaS sécurisée, une sécurité en couches via Pare-feu Azure et WAF, et une supervision de bout en bout sur vos niveaux d’application.

Si vos besoins ont évolué au-delà de la pile essentielle, consultez de nouveau les articles complémentaires de votre guide de scénario concernant des fonctionnalités réseau avancées telles que le basculement entre régions et des couches de sécurité supplémentaires.

Gestion centralisée du réseau. Optionnel: Si votre patrimoine s’étend sur plusieurs abonnements et équipes, utilisez Azure Virtual Network Manager pour la gestion centralisée des stratégies.

Revenez à la vue d’ensemble : Explorez d’autres fonctionnalités ou passez en revue votre architecture.

Vous avez terminé le chemin de mise en réseau intercloud. Vous disposez désormais d’un équivalent à Transit Gateway via Azure Virtual WAN, de tunnels VPN reliant vos VPC AWS et vos VPC Google Cloud à Azure, d’un basculement DNS avec DNS privé Resolver pour la résolution de noms entre clouds, et d’une inspection sécurisée du hub virtuel pour tout le trafic inter-cloud.

Si vos besoins ont évolué, consultez de nouveau les sections conditionnelles de votre guide du scénario concernant les options d’entrée Internet, de WAF, de protection DDoS et de déploiement multirégions.

Gestion centralisée du réseau. Facultatif : Si l’environnement Azure évolue vers un environnement multi-abonnement gouverné, utilisez Azure Virtual Network Manager pour assurer une gestion centralisée.

Revenez à la vue d’ensemble : Explorez d’autres fonctionnalités ou passez en revue votre architecture.

  • Last updated on