Tanya jawab umum (FAQ) Network Watcher

Artikel ini menyediakan jawaban atas beberapa pertanyaan yang sering diajukan tentang Azure Network Watcher.

Umum

Apa itu Network Watcher?

Network Watcher menyediakan serangkaian alat untuk memantau, mendiagnosis, melihat metrik, dan mengaktifkan atau menonaktifkan log untuk sumber daya IaaS (Infrastructure-as-a-Service), yang mencakup komputer virtual, jaringan virtual, gateway aplikasi, load balancer, dan sumber daya lainnya dalam jaringan virtual Azure. Ini bukan solusi untuk memantau infrastruktur PaaS (Platform-as-a-Service) atau mendapatkan analitik web/seluler.

Alat apa saja yang disediakan oleh Network Watcher?

Network Watcher menyediakan tiga set kemampuan utama:

  • Pemantauan
    • Tampilan topologi menunjukkan kepada Anda sumber daya di dalam jaringan virtual dan hubungan di antaranya.
    • monitor Koneksi ion memungkinkan Anda memantau konektivitas dan latensi antara titik akhir di dalam dan di luar Azure.
  • Alat diagnostik jaringan
    • Verifikasi alur IP memungkinkan Anda mendeteksi masalah pemfilteran lalu lintas di tingkat komputer virtual.
    • Diagnostik NSG memungkinkan Anda mendeteksi masalah pemfilteran lalu lintas di komputer virtual, set skala komputer virtual, atau tingkat gateway aplikasi.
    • Lompatan berikutnya membantu Anda memverifikasi rute lalu lintas dan mendeteksi masalah perutean.
    • pemecahan masalah Koneksi ion memungkinkan pemeriksaan konektivitas dan latensi satu kali antara komputer virtual dan host Bastion, gateway aplikasi, atau komputer virtual lainnya.
    • Pengambilan paket memungkinkan Anda menangkap lalu lintas komputer virtual Anda.
    • Pemecahan masalah VPN menjalankan beberapa pemeriksaan diagnostik pada gateway dan koneksi VPN Anda untuk membantu men-debug masalah.
  • Lalu lintas

Untuk informasi selengkapnya, lihat Gambaran umum Network Watcher.

Bagaimana cara kerja harga Network Watcher?

Lihat Harga Network Watcher untuk detail harga tentang komponen Network Watcher yang berbeda.

Di wilayah mana Network Watcher saat ini didukung dan tersedia?

Lihat Wilayah Network Watcher untuk mempelajari wilayah yang mendukung Network Watcher.

Izin apa yang diperlukan untuk menggunakan Network Watcher?

Lihat Izin Azure RBAC yang diperlukan untuk menggunakan Network Watcher untuk daftar terperinci izin yang diperlukan untuk setiap kemampuan Network Watcher.

Bagaimana cara mengaktifkan Network Watcher?

Layanan Network Watcher diaktifkan secara otomatis untuk setiap langganan. Anda harus mengaktifkan Network Watcher secara manual jika Anda menolak pengaktifan otomatis Network Watcher. Untuk informasi selengkapnya, lihat Mengaktifkan atau menonaktifkan Azure Network Watcher.

Apa itu model penyebaran Network Watcher?

Sumber daya induk Network Watcher diterapkan dengan instans unik di setiap wilayah. Format penamaan default: NetworkWatcher_RegionName. Contoh: NetworkWatcher_centralus adalah sumber daya Network Watcher untuk wilayah "US Tengah". Anda dapat menyesuaikan nama instans Network Watcher menggunakan PowerShell atau REST API.

Mengapa Azure hanya mengizinkan satu instans Network Watcher per wilayah?

Network Watcher hanya perlu diaktifkan sekali per wilayah per langganan agar fiturnya berfungsi. Network Watcher diaktifkan di wilayah dengan membuat instans Network Watcher di wilayah tersebut.

Bagaimana cara mengelola sumber daya Network Watcher?

Sumber daya Network Watcher mewakili layanan backend untuk Network Watcher, yang dikelola sepenuhnya oleh Azure. Namun, Anda dapat membuat atau menghapus sumber daya Network Watcher untuk mengaktifkan atau menonaktifkannya di wilayah tertentu. Untuk informasi selengkapnya, lihat Mengaktifkan atau menonaktifkan Azure Network Watcher.

Dapatkah saya memindahkan instans Network Watcher dari satu wilayah ke wilayah lain?

Tidak, memindahkan sumber daya Network Watcher atau sumber daya turunannya di seluruh wilayah tidak didukung. Untuk informasi selengkapnya, lihat Memindahkan dukungan operasi untuk sumber daya jaringan.

Dapatkah saya memindahkan instans Network Watcher dari satu grup sumber daya ke grup sumber daya lainnya?

Ya, memindahkan sumber daya Network Watcher antar grup sumber daya didukung. Untuk informasi selengkapnya, lihat Memindahkan dukungan operasi untuk sumber daya jaringan.

Apa itu NetworkWatcherRG?

NetworkWatcherRG adalah grup sumber daya yang secara otomatis dibuat untuk sumber daya Network Watcher. Misalnya, instans regional Network Watcher dan sumber daya log alur NSG dibuat di grup sumber daya NetworkWatcherRG . Anda dapat menyesuaikan nama grup sumber daya Network Watcher menggunakan PowerShell, Azure CLI, atau REST API.

Apakah Network Watcher menyimpan data pelanggan?

Azure Network Watcher tidak menyimpan data pelanggan, kecuali untuk monitor Koneksi ion. Koneksi ion monitor menyimpan data pelanggan, yang secara otomatis disimpan oleh Network Watcher dalam satu wilayah untuk memenuhi persyaratan residensi data dalam wilayah.

Apa batas sumber daya pada Network Watcher?

Network Watcher memiliki batas berikut:

Sumber daya Batasan
Instans Network Watcher per wilayah per langganan 1 (Satu instans di suatu wilayah untuk mengaktifkan akses ke layanan di wilayah tersebut)
monitor Koneksi per wilayah per langganan 100
Grup pengujian maksimum per pemantau koneksi 20
Sumber dan tujuan maksimum per pemantau koneksi 100
Konfigurasi pengujian maksimum per pemantau koneksi 20
Sesi pengambilan paket per wilayah per langganan 10.000 (Jumlah sesi saja, bukan pengambilan yang disimpan)
Operasi pemecahan masalah VPN per langganan 1 (Jumlah operasi pada satu waktu)

Ketersediaan layanan dan redundansi

Apakah zona Network Watcher tangguh?

Ya, layanan Network Watcher tahan zona secara default.

Bagaimana cara mengonfigurasi layanan Network Watcher agar menjadi zone-resilient?

Tidak ada konfigurasi yang diperlukan untuk mengaktifkan ketahanan zona. Ke-elastisan zona sumber daya untuk Network Watcher tersedia secara default dan dikelola oleh layanan itu sendiri.

Agen Network Watcher

Mengapa saya perlu menginstal Agen Network Watcher?

Agen Network Watcher diperlukan untuk fitur Network Watcher apa pun yang menghasilkan atau mencegat lalu lintas dari komputer virtual.

Fitur mana yang memerlukan Agen Network Watcher?

Fitur pengambilan paket, pemecahan masalah Koneksi ion, dan monitor Koneksi ion mengharuskan ekstensi Network Watcher hadir.

Apa versi terbaru Agen Network Watcher?

Versi terbaru ekstensi Network Watcher adalah 1.4.3206.1. Untuk informasi selengkapnya, lihat Memperbarui ekstensi Azure Network Watcher ke versi terbaru.

Port apa yang digunakan Agen Network Watcher?

  • Linux: Agen Network Watcher menggunakan port yang tersedia mulai dari port 50000 hingga mencapai port 65535.
  • Windows: Agen Network Watcher menggunakan port yang merespons sistem operasi saat dikueri untuk port yang tersedia.

Alamat IP apa yang berkomunikasi dengan Agen Network Watcher?

Agen Network Watcher memerlukan konektivitas TCP keluar ke 169.254.169.254 berulang-ulang 168.63.129.16port 80port 8037. Agen menggunakan alamat IP ini untuk berkomunikasi dengan platform Azure.

Pemantau koneksi

Apakah pemantau koneksi mendukung VM klasik?

Tidak, pemantau koneksi tidak mendukung VM klasik. Untuk informasi selengkapnya, lihat Memigrasikan sumber daya IaaS ke Azure Resource Manager.

Bagaimana jika topologi saya tidak ditandai atau lompatan saya tidak berisi informasi?

Topologi dapat dihiasi dari non-Azure ke Azure hanya jika sumber daya Azure tujuan dan sumber daya pemantau koneksi berada di wilayah yang sama.

Apa yang terjadi jika pembuatan monitor koneksi gagal dengan kesalahan berikut: "Kami tidak mengizinkan pembuatan titik akhir yang berbeda untuk VM yang sama"?

Azure VM yang sama tidak dapat digunakan dengan konfigurasi yang berbeda di pemantau koneksi yang sama. Misalnya, menggunakan VM yang sama dengan filter dan tanpa filter di pemantau koneksi yang sama tidak didukung.

Apa yang terjadi jika alasan kegagalan pengujian adalah "Tidak ada yang ditampilkan"?

Masalah yang ditampilkan di dasbor monitor koneksi ditemukan selama penemuan topologi atau eksplorasi hop. Mungkin ada kasus di mana ambang yang ditetapkan untuk % kerugian atau RTT tercapai tetapi tidak ada masalah yang ditemukan pada hop.

Saat memigrasikan pemantau koneksi yang ada (klasik) ke pemantau koneksi terbaru, apa yang terjadi jika pengujian titik akhir eksternal hanya dimigrasikan dengan protokol TCP?

Tidak ada opsi pemilihan protokol di pemantau koneksi (klasik). Pengujian di pemantau koneksi (klasik) hanya menggunakan protokol TCP, dan itulah sebabnya, selama migrasi, kami membuat konfigurasi TCP dalam pengujian di monitor koneksi baru.

Apakah ada batasan untuk menggunakan Azure Monitor dan Agen Arc dengan pemantau koneksi?

Saat ini ada batas regional saat titik akhir menggunakan agen Azure Monitor dan Arc dengan ruang kerja Analitik Log terkait. Akibat keterbatasan ini, ruang kerja Analitik Log terkait harus berada di wilayah yang sama dengan titik akhir Arc. Data yang diserap ke dalam ruang kerja individual dapat disatukan untuk satu tampilan, lihat Mengkueri data di seluruh ruang kerja, aplikasi, dan sumber daya Log Analytics di Azure Monitor.

Log alur

Apa yang dilakukan pengelogan alur?

Log alur memungkinkan Anda mencatat informasi alur 5 tuple tentang lalu lintas IP Azure Anda yang melewati grup keamanan jaringan atau jaringan virtual Azure. Log alur mentah ditulis ke akun penyimpanan Azure. Dari sana, Anda dapat memproses, menganalisis, mengkueri, atau mengekspornya lebih lanjut sesuai kebutuhan.

Apakah log alur memengaruhi latensi atau performa jaringan?

Data log alur dikumpulkan di luar jalur lalu lintas jaringan Anda, sehingga tidak memengaruhi throughput atau latensi jaringan. Anda dapat membuat atau menghapus log alur tanpa risiko dampak terhadap performa jaringan.

Apa perbedaan antara log alur NSG dan diagnostik NSG?

Log alur NSG mencatat lalu lintas yang mengalir melalui grup keamanan jaringan. Di sisi lain, diagnostik NSG mengembalikan semua kelompok keamanan jaringan yang dilalui lalu lintas Anda dan aturan setiap kelompok keamanan jaringan yang diterapkan pada lalu lintas ini. Gunakan diagnostik NSG untuk memverifikasi bahwa aturan grup keamanan jaringan Anda diterapkan seperti yang diharapkan.

Dapatkah saya mencatat lalu lintas ESP dan AH menggunakan log alur NSG?

Tidak, log alur NSG tidak mendukung protokol ESP dan AH.

Dapatkah saya mencatat lalu lintas ICMP menggunakan log alur?

Tidak, log alur NSG dan log alur VNet tidak mendukung protokol ICMP.

Dapatkah saya menghapus grup keamanan jaringan yang mengaktifkan pengelogan alur?

Ya. Sumber daya log alur terkait juga akan dihapus. Data log alur disimpan di akun penyimpanan untuk periode retensi yang dikonfigurasi dalam log alur.

Bisakah saya memindahkan grup keamanan jaringan yang memiliki pengelogan alur yang diaktifkan ke grup sumber daya atau langganan yang berbeda?

Ya, tetapi Anda harus menghapus sumber daya log alur terkait. Setelah memigrasikan grup keamanan jaringan, Anda dapat membuat ulang log alur untuk mengaktifkan pengelogan alur di dalamnya.

Dapatkah saya menggunakan akun penyimpanan dalam langganan yang berbeda dari grup keamanan jaringan atau jaringan virtual tempat log alur diaktifkan?

Ya, Anda dapat menggunakan akun penyimpanan dari langganan yang berbeda selama langganan ini berada di wilayah yang sama dari grup keamanan jaringan dan terkait dengan penyewa Microsoft Entra yang sama dari grup keamanan jaringan atau langganan jaringan virtual.

Bagaimana cara menggunakan log alur NSG dengan akun penyimpanan di belakang firewall?

Untuk menggunakan akun penyimpanan di belakang firewall, Anda harus memberikan pengecualian untuk Layanan Microsoft Tepercaya untuk mengakses akun penyimpanan Anda:

  1. Buka akun penyimpanan dengan memasukkan nama akun penyimpanan di kotak pencarian di bagian atas portal.
  2. Di bawah Keamanan + jaringan, pilih Jaringan, lalu pilih Firewall dan jaringan virtual.
  3. Di Akses jaringan publik, pilih Diaktifkan dari jaringan virtual dan alamat IP yang dipilih. Kemudian di bawah Pengecualian, centang kotak di samping Izinkan layanan Azure pada daftar layanan tepercaya untuk mengakses akun penyimpanan ini.
  4. Aktifkan log alur NSG dengan membuat log alur untuk grup keamanan jaringan target Anda menggunakan akun penyimpanan. Untuk informasi selengkapnya, lihat Membuat log alur.

Anda dapat memeriksa log penyimpanan setelah beberapa menit. Anda akan melihat TimeStamp yang diperbarui atau file JSON baru yang dibuat.

Mengapa saya melihat beberapa kesalahan 403 dalam log aktivitas akun penyimpanan?

Network Watcher memiliki mekanisme fallback bawaan yang digunakannya saat menyambungkan ke akun penyimpanan di belakang firewall (firewall diaktifkan). Ini mencoba menyambungkan ke akun penyimpanan menggunakan kunci, dan jika gagal, ia beralih ke token. Dalam hal ini, kesalahan 403 dicatat di log aktivitas akun penyimpanan.

Dapatkah Network Watcher mengirim data log alur NSG ke akun penyimpanan yang diaktifkan dengan Titik Akhir Privat?

Ya, Network Watcher mendukung pengiriman data log alur NSG ke akun penyimpanan yang diaktifkan dengan titik akhir privat.

Bagaimana cara menggunakan log alur NSG dengan akun penyimpanan di belakang Titik Akhir Layanan?

Log alur NSG kompatibel dengan Titik Akhir Layanan tanpa memerlukan konfigurasi tambahan. Untuk informasi selengkapnya, lihat Mengaktifkan titik akhir layanan.

Apa perbedaan antara log alur versi 1 dan 2?

Log alur versi 2 memperkenalkan konsep status alur dan menyimpan informasi tentang byte dan paket yang dikirimkan. Untuk informasi selengkapnya, lihat Format log alur NSG.

Dapatkah saya membuat log alur untuk grup keamanan jaringan yang memiliki kunci baca-saja?

Tidak, kunci baca-saja pada kelompok keamanan jaringan mencegah pembuatan log alur NSG yang sesuai.

Dapatkah saya membuat log alur untuk grup keamanan jaringan yang memiliki kunci yang tidak dapat dihapus?

Ya, kunci yang tidak dapat dihapus pada grup keamanan jaringan tidak mencegah pembuatan atau modifikasi log alur NSG yang sesuai.

Dapatkah saya mengotomatiskan log alur NSG?

Ya, Anda dapat mengotomatiskan log alur NSG melalui templat Azure Resource Manager (templat ARM). Untuk informasi selengkapnya, lihat Mengonfigurasi log alur NSG menggunakan templat Azure Resource Manager (ARM).