Filtrare i log dei flussi di rete virtuale

La registrazione dei flussi della rete virtuale è una funzionalità di Azure Network Watcher che consente di registrare informazioni sul traffico IP che scorre attraverso una rete virtuale di Azure. Per altre informazioni sulla registrazione dei flussi della rete virtuale, vedere Panoramica dei log dei flussi della rete virtuale.

Questo articolo illustra la funzionalità di filtro dei log dei flussi di rete virtuale. La funzionalità di filtro offre agli utenti opzioni per registrare il traffico all'interno di una rete virtuale (traffico tra reti virtuali) o con due o più reti virtuali (traffico tra reti virtuali). Consente inoltre agli utenti di identificare il traffico basato su intervalli CIDR, il traffico in uscita in ingresso, il traffico Internet e il traffico consentito/negato.

Importante

Il filtro dei log dei flussi di rete virtuale è attualmente disponibile in ANTEPRIMA. Vedere le condizioni per l'utilizzo supplementari per le anteprime di Microsoft Azure per termini legali aggiuntivi che si applicano a funzionalità di Azure in versione beta, in anteprima o in altro modo non ancora disponibili a livello generale.

Campi supportati

Campo Filtrare in base a Example
Direction Direzione del traffico In ingresso, in uscita
SrcIP Indirizzo IP di origine/intervallo CIDR 192.168.1.1, 2001:db8::1/64
SrcPort Intervalli e valori delle porte di origine 1024-65535, 80, 443
DstIP Indirizzi IP di destinazione/intervallo CIDR 192.168.2.1, 2001:db8::2/64
DstPort Intervalli e valori delle porte di destinazione 22, 8080-8090
Protocollo Tipo di protocollo TCP, UDP
Encryption Stato della crittografia Tutti i valori di crittografia supportati e NX_ALL (non crittografati per qualsiasi motivo)

Tutti i campi possono accettare un valore separato da virgole come input. Sono tutti senza distinzione tra maiuscole e minuscole.

Operazioni supportate

I log dei flussi di rete virtuale supportano = e != per ogni campo.

Operandi supportati

I log dei flussi di rete virtuale supportano operandi logici && e || tra due campi.

Formato supportato

  • I campi possono essere forniti in qualsiasi combinazione.
  • Le parentesi quadre non sono attualmente supportate.
  • I campi vengono valutati in base alla precedenza dell'operando logico (AND prima dell'OR) da sinistra a destra.
  • La lunghezza massima della stringa di filtro può essere di 1000 caratteri.

Abilitare il filtro

Per creare i log dei flussi di rete virtuale con il filtro, usare il cmdlet New-AzNetworkWatcherFlowLog .

# Place the virtual network configuration into a variable.
$vnet = Get-AzVirtualNetwork -Name 'myVNet' -ResourceGroupName 'myResourceGroup'

# Place the storage account configuration into a variable.
$storageAccount = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'

# Create a traffic analytics workspace and place its configuration into a variable.
$workspace = New-AzOperationalInsightsWorkspace -Name 'myWorkspace' -ResourceGroupName 'myResourceGroup' -Location 'EastUS'

# Create a VNet flow log with the following filtering criteria: dstip=20.252.145.59 || DstPort=443
New-AzNetworkWatcherFlowLog -Enabled $true -Name 'myVNetFlowLog' -NetworkWatcherName 'NetworkWatcher_eastus' `
    -ResourceGroupName 'NetworkWatcherRG' -StorageId $storageAccount.Id -TargetResourceId $vnet.Id `
    -FormatVersion 2 -EnabledFilteringCriteria 'dstip=20.252.145.59 || DstPort=54300-54400' `
    -EnableTrafficAnalytics -TrafficAnalyticsWorkspaceId $workspace.ResourceId `
    -EnableRetention $true -RetentionPolicyDays 15

Aggiornare il filtro esistente

È possibile modificare i criteri di filtro esistenti per i log dei flussi di rete virtuale usando il cmdlet Set-AzNetworkWatcherFlowLog con condizioni aggiornate senza dover ricreare il log del flusso.

# Place the virtual network configuration into a variable.
$vnet = Get-AzVirtualNetwork -Name 'myVNet' -ResourceGroupName 'myResourceGroup'

# Place the storage account configuration into a variable.
$storageAccount = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'

# Place the workspace configuration into a variable.
$workspace = Get-AzOperationalInsightsWorkspace -Name 'myWorkspace' -ResourceGroupName 'myResourceGroup'

# Update the VNet flow log.
Set-AzNetworkWatcherFlowLog -Enabled $true -Name 'myVNetFlowLog' -NetworkWatcherName 'NetworkWatcher_eastus' `
    -ResourceGroupName 'NetworkWatcherRG' -StorageId $storageAccount.Id -TargetResourceId $vnet.Id `
    -FormatVersion 2 -EnabledFilteringCriteria 'dstip=20.252.145.59 || DstPort=443' `
    -EnableTrafficAnalytics -TrafficAnalyticsWorkspaceId $workspace.ResourceId `
    -EnableRetention $true -RetentionPolicyDays 15

Filtro basato su RecordTypes

È possibile filtrare i log dei flussi di rete virtuale in base allo stato di un flusso di rete. Lo stato del flusso rappresenta la fase del ciclo di vita di una connessione osservata da Network Watcher, ad esempio quando un flusso inizia, continua, termina o viene negato.

Usare il parametro RecordTypes per specificare gli stati del flusso da registrare. Il parametro accetta uno o più valori delimitati da virgole.

Valori RecordType Supportati

Valore Descrizione
B Inizio: quando viene creato un flusso. Non vengono fornite statistiche.
C Proseguimento: flusso continuo. Vengono fornite statistiche a intervalli di cinque minuti.
E Fine: quando un flusso viene terminato. Statistiche vengono fornite.
D Negare: quando un flusso è negato.

Scenari di esempio che usano RecordTypes

Scenario Valore dei RecordTypes
Acquisire solo il traffico negato "D"
Acquisire eventi di creazione e terminazione del flusso "B,E"
Acquisire solo statistiche di traffico attive "C"
Acquisire il ciclo di vita completo del flusso "B,C,E"

Gestire la condizione di filtro RecordTypes

È possibile abilitare il filtro RecordTypes durante la creazione del log del flusso scegliendo quali formati di record di flusso raccogliere per personalizzare l'output di registrazione senza generare dati non necessari. È anche possibile aggiornare la condizione di filtro RecordTypes per un log di flusso esistente.

# Enable RecordTypes filtering while creating flowlog 
New-AzNetworkWatcherFlowLog `
  -Enabled $true -Name <FlowLog Name> `
  -NetworkWatcherName <Network Watcher Name> `
  -ResourceGroupName NetworkWatcherRG `
  -StorageId <Storage Account ID> `
  -TargetResourceId <Target Resource/VNet ID> `
  -RecordTypes "<Record Types>"

# Enable RecordTypes and EnabledFilteringCriteria filtering while creating flow log
New-AzNetworkWatcherFlowLog `
  -Enabled $true -Name <FlowLog Name> `
  -NetworkWatcherName <Network Watcher Name> `
  -ResourceGroupName <Resource Group Name> `
  -StorageId <Storage Account ID> `
  -TargetResourceId <Target Resource/VNet ID> `
  -EnabledFilteringCriteria "<Filtering Criteria Expression>" `
  -RecordTypes "<Record Types>"

# Update RecordTypes filtering condition on existing flow log
Set-AzNetworkWatcherFlowLog `
  -Enabled $true  -Name <FlowLog Name> `
  -NetworkWatcherName <Network Watcher Name> `
  -ResourceGroupName <Resource Group Name> `
  -StorageId <Storage Account ID> `
  -TargetResourceId <Target Resource/VNet ID> `
  -RecordTypes "<Record Types>"

# Remove RecordTypes filtering condition from existing flow log
Set-AzNetworkWatcherFlowLog `
  -Enabled $true  -Name <FlowLog Name> `
  -NetworkWatcherName <Network Watcher Name> `
  -ResourceGroupName <Resource Group Name> `
  -StorageId <Storage Account ID> `
  -TargetResourceId <Target Resource/VNet ID> `
  -RecordTypes ""

Contenuti correlati

  • Ultimo aggiornamento: