Monitoraggio e osservabilità della rete

Questo articolo illustra come monitorare, diagnosticare e risolvere i problemi delle risorse di rete Azure usando strumenti di Network Watcher, log di flusso, Analisi del traffico e Monitoraggio di Azure Informazioni dettagliate sulla rete. Usare queste linee guida per pianificare una strategia di osservabilità di rete che offre visibilità su modelli di traffico, integrità della connettività ed eventi di sicurezza.

Informazioni su questo articolo

Il monitoraggio della rete in Azure si estende sulla diagnostica, la visibilità del flusso, i test di connettività e i dashboard operativi. Azure fornisce strumenti appositamente creati a diversi livelli dello stack di monitoraggio:

Diagnostica e risoluzione dei problemi: Identificare il motivo per cui un pacchetto specifico è consentito o negato, tracciare la route accettata da un pacchetto e acquisire il traffico per l'analisi approfondita.
Visibilità del flusso: Registrare i metadati relativi a ogni flusso di rete tra le reti virtuali per l'analisi della sicurezza, la conformità e la pianificazione della capacità.
Monitoraggio della connettività: Testare continuamente la raggiungibilità tra endpoint (Azure, locali ed esterni) e avvisare quando la connettività peggiora.
Dashboard operativi: Visualizzare la topologia di rete, l'integrità e le metriche tra sottoscrizioni senza distribuire agenti.

Questo articolo illustra gli strumenti che riguardano ogni livello e consente di scegliere la combinazione appropriata per l'ambiente.

Chi ha bisogno di questo articolo

Leggere questo articolo se si applicano una o più di queste condizioni:

È necessaria visibilità sul traffico di rete, sull'integrità della connettività, sul routing o sugli eventi di sicurezza in Azure.
Sono necessari strumenti per risolvere i problemi di filtro dei pacchetti, hop successivi, integrità del tunnel o errori di connettività imprevisti.
Sono necessari log di flusso, analisi del traffico o dashboard per indagini sulla sicurezza, pianificazione della capacità o operazioni.
È necessario il monitoraggio continuo per Azure, percorsi di rete locali o tra cloud.

Tip

Si segue un percorso di scenario? Selezionare lo scenario nella parte superiore della pagina per indicazioni personalizzate. Le linee guida di base seguenti si applicano a tutti i lettori.

Focus su lift-and-shift: configurare il monitoraggio dopo aver stabilito la baseline di migrazione. È necessaria l'osservabilità della rete per verificare che la connettività funzioni come previsto, le prestazioni soddisfino i requisiti e i modelli di traffico corrispondano alla documentazione di pre-migrazione. Network Watcher offre visibilità immediata sulla possibilità di verificare se i carichi di lavoro migrati possono raggiungere le proprie dipendenze.

Focus sulla modernizzazione: il monitoraggio fa parte della progettazione di destinazione, non di un'operazione successiva. L'idoneità per la produzione richiede l'osservabilità della rete dal primo giorno. I carichi di lavoro di Servizio Azure Kubernetes (AKS) e di ambiente del servizio app di Azure generano modelli di traffico complessi attraverso più spoke, regioni ed endpoint privati, che devono essere monitorati in modo proattivo.

Focus sul multi-cloud: il monitoraggio è essenziale perché gli ambienti multi-cloud sono operativamente più difficili da diagnosticare. Quando il traffico attraversa tunnel VPN crittografati tra Azure e AWS o Google Cloud, si perde visibilità al limite del tunnel. Sono necessari strumenti di monitoraggio sul lato Azure per rilevare gli aumenti della latenza, la perdita di pacchetti e gli errori di connettività attraverso i limiti del cloud.

Azure servizi e funzionalità

La tabella seguente descrive gli strumenti di monitoraggio e diagnostica di base disponibili nella rete Azure.

Strumento	Elementi forniti	Quando usarlo
Osservatore di rete	Servizio di piattaforma che fornisce funzionalità di diagnostica, monitoraggio e registrazione per Azure reti virtuali. Abilitata automaticamente per area quando si crea una rete virtuale.	Punto di partenza per qualsiasi risoluzione dei problemi di rete. Utilizzare IP flow verify, next hop e la cattura dei pacchetti per la diagnostica in tempo reale.
Log di flusso della rete virtuale	Metadati dei record (origine, destinazione, porta, protocollo, azione) per tutto il traffico che scorre attraverso una rete virtuale. Valuta sia le regole NSG sia le regole di amministrazione della sicurezza di gestione rete virtuale di Azure.	Abilitare in tutte le reti virtuali di produzione per l'analisi della sicurezza, il controllo della conformità e la pianificazione della capacità. Sostituisce i log di flusso di NSG.
Log dei flussi del gruppo di sicurezza di rete (ritiro)	Registrare le decisioni relative al traffico prese dai gruppi di sicurezza di rete a livello di subnet o scheda di interfaccia di rete.	Solo distribuzioni legacy. Esegui la migrazione ai log di flusso VNet prima del 30 settembre 2027. Non è possibile creare nuovi log dei flussi del gruppo di sicurezza di rete dopo il 30 giugno 2025.
Analisi del traffico	Aggrega e visualizza i dati dei log di flusso in un'area di lavoro Log Analytics. Mostra i modelli di traffico, i principali talker, le porte aperte e la distribuzione del flusso geografico.	Ottenere visibilità operativa dai dati dei log di flusso senza scrivere query personalizzate. Identificare le anomalie e i rischi per la sicurezza in tutta la rete.
Monitor di Connessione	Verifica continuamente la connettività tra gli endpoint di origine e di destinazione usando probe TCP, ICMP o HTTP. Supporta Azure macchine virtuali, host locali (tramite Azure Arc) e URL esterni.	Monitorare la conformità del contratto di servizio per le connessioni ibride, rilevare le regressioni della connettività e verificare che le regole del firewall consentano il traffico previsto.
Trascrivi pacchetti	Acquisisce pacchetti da e verso una macchina virtuale senza richiedere l'accesso alla macchina virtuale. Archivia le acquisizioni in un account di archiviazione o in locale nella macchina virtuale.	Analisi approfondita dei pacchetti durante le indagini sulla sicurezza o durante la diagnosi dei problemi di connettività a livello di applicazione.
Verifica del flusso IP	Verifica se un pacchetto specifico è consentito o negato valutando le regole NSG e le regole di amministrazione della sicurezza di AVNM per una quintupla (IP di origine, IP di destinazione, porta di origine, porta di destinazione, protocollo).	Risolvere i problemi relativi al motivo per cui una macchina virtuale non riesce a raggiungere una destinazione o perché il traffico viene bloccato in modo imprevisto. Ottenere risultati immediati senza acquisizione pacchetti.
Hop successivo	Mostra il tipo di hop successivo e l'indirizzo IP per il traffico che lascia un'interfaccia di rete specifica. Valuta le route valide, incluse route definite dall'utente, route BGP e route di sistema.	Diagnosticare il routing asimmetrico, verificare che il traffico passi attraverso un'appliance virtuale di rete prevista o identificare il motivo per cui il traffico viene eliminato.
Informazioni dettagliate sulla rete di Monitoraggio di Azure	Fornisce una visualizzazione completa della topologia e delle metriche di integrità per tutte le risorse di rete distribuite senza richiedere l'installazione dell'agente o una configurazione aggiuntiva.	Dashboard operativi che mostrano l'integrità delle risorse, le metriche e le dipendenze tra sottoscrizioni, gruppi di risorse e aree.

Come scegliere

Iniziare con Network Watcher per la risoluzione dei problemi

Network Watcher è il primo punto di riferimento per diagnosticare i problemi di connettività. Viene abilitato automaticamente in ogni area in cui si dispone di una rete virtuale. Non è necessaria alcuna configurazione aggiuntiva.

Usare l'approccio seguente per la risoluzione dei problemi:

Verifica flusso IP: Controllare se il traffico è consentito o negato e trovare la regola responsabile di tale decisione. Questo strumento verifica in base alle regole NSG e alle regole di amministratore della sicurezza di gestione rete virtuale di Azure (AVNM).
Hop successivo: Confermare il percorso di routing e verificare se il traffico raggiunge l'hop successivo desiderato (internet, gateway di rete virtuale, NVA o nessuno).
Acquisizione pacchetti: Se la verifica del flusso IP e l'hop successivo non rivelano il problema, acquisire pacchetti per l'analisi a livello di protocollo.

Creare visibilità con i log dei flussi

Dopo aver stabilito le funzionalità di diagnostica, attivare la registrazione dei flussi per ottenere visibilità continua:

Abilitare i log del flusso VNet in tutte le reti virtuali di produzione. I log dei flussi di VNet registrano il traffico per l'intera rete virtuale, quindi non è necessario configurare la registrazione a livello di più NSG. Questo approccio evita anche record duplicati.
Abilitare Analisi del traffico per aggregare i dati del flusso nei dashboard su cui è possibile agire. Analisi del traffico richiede un'area di lavoro Log Analytics. Usare un'area di lavoro in qualsiasi area supportata senza incorrere in costi aggiuntivi per il trasferimento dei dati.
Impostare i criteri di conservazione in base ai requisiti di conformità. I record dei log di flusso archiviati in Archiviazione di Azure seguono i criteri di gestione del ciclo di vita dell'account di archiviazione.

Aggiungere il monitoraggio continuo per i percorsi critici del contratto di servizio

Per le connessioni in cui il tempo di inattività ha un impatto aziendale:

Distribuisci Monitoraggio connessione testa le connessioni tra macchine virtuali di Azure, endpoint locali e URL esterni.
Configurare gli avvisi per attivare quando vengono superate la latenza, la perdita di pacchetti o le soglie di raggiungibilità.
Usare Network Insights per una visualizzazione della topologia che correla le metriche di integrità nell'intera rete senza distribuire agenti aggiuntivi.

Riepilogo delle decisioni

Necessità di monitoraggio	Strumento principale	Supporta la distribuzione ibrida	Richiede un agente
"Perché questo pacchetto è bloccato?"	Verifica del flusso IP	No	No
"Dove va questo traffico?"	Hop successivo	No	No
"Che cosa è successo nell'ultima ora?"	Acquisizione pacchetti	No	No
"Qual è il modello di traffico nella rete virtuale?"	Log dei flussi di rete virtuale + Analisi del traffico	No	No
La mia connessione ibrida funziona correttamente?	Monitoraggio connessione	Sì (Azure Arc)	Sì (solo origine)
"Qual è la salute complessiva della mia rete?"	Approfondimenti sulla rete	Parziale	No

Considerazioni relative alla progettazione

La priorità di monitoraggio è la convalida di base dopo la migrazione. Concentrarsi nel verificare che i carichi di lavoro migrati possano raggiungere le proprie dipendenze e che le prestazioni siano conformi alle aspettative.

Network Watcher per la verifica della connettività: usare Verifica flusso IP e Hop successivo per confermare che le regole del gruppo di sicurezza di rete (NSG) e le tabelle di routing consentano il traffico richiesto dalle applicazioni migrate. Eseguire questi controlli sistematicamente per ogni carico di lavoro migrato.
Log dei flussi di rete virtuale per i modelli di traffico di base: Abilitare i log dei flussi di rete virtuale nelle reti virtuali di produzione per acquisire i modelli di traffico effettivi dei carichi di lavoro migrati. Confrontare i dati del flusso con la documentazione di pre-migrazione per verificare che tutti i percorsi di comunicazione previsti funzionino.
Monitoraggio connessione per i percorsi ibridi: distribuire test Monitoraggio connessione tra macchine virtuali Azure ed endpoint locali per convalidare continuamente che le connessioni VPN o ExpressRoute mantengano la latenza e la disponibilità accettabili.
Monitoraggio avanzato posticipato: Configurare Analisi del traffico e avvisi avanzati dopo la stabilizzazione della migrazione iniziale. Iniziare con gli strumenti di diagnostica per convalidare la connettività prima di investire in dashboard operativi a lungo termine.

La strategia di monitoraggio supporta i carichi di lavoro di produzione fin dal primo rilascio. I cluster del servizio Azure Kubernetes, gli ambienti del servizio app e le architetture attive a più aree richiedono un'osservabilità completa.

Log di flusso macchina virtuale in tutte le reti spoke: abilitare i log di flusso macchina virtuale in tutte le reti virtuali spoke. I carichi di lavoro containerizzati generano modelli di traffico che si distribuiscono tra più subnet ed endpoint privati all'interno di ogni spoke.
Analisi del traffico per la visibilità operativa: Distribuisci Analisi del traffico con un'area di lavoro Log Analytics per aggregare i dati di flusso tra tutti gli spoke. Gli operatori di rete utilizzano le dashboard di analisi del traffico per identificare i principali generatori di traffico, i flussi anomali e le tendenze di capacità nell'intera infrastruttura.
Responsabilità di monitoraggio del team app: I team applicativi monitorano i propri carichi di lavoro (metriche di AKS, diagnostica di ASE). Le operazioni di rete centrale monitorano l'infrastruttura condivisa: firewall hub, gateway VPN, collegamenti di peering e connettività tra aree.
Monitoraggio connessione per ambienti multiregione: Distribuisci test di Monitoraggio connessione tra aree geografiche per convalidare continuamente che la connettività tra hub soddisfi i requisiti SLA active-active. Configurare gli avvisi per gli aumenti di latenza che potrebbero indicare modifiche alla congestione backbone o al routing.
Monitoraggio connessione per le prestazioni end-to-end: Usa Monitoraggio connessione per monitorare le prestazioni end-to-end nell'intera topologia hub-spoke, compreso il traffico che attraversa Firewall di Azure in ogni hub regionale. Monitoraggio connessione sostituisce Network Monitor prestazioni, ormai deprecato, e offre viste unificate della topologia in Azure, in locale e nei passaggi Internet.

Gli ambienti tra cloud presentano problemi di monitoraggio univoci perché si perde visibilità al limite del tunnel VPN. Il traffico che entra in un tunnel IPsec verso AWS o Google Cloud scompare dal monitoraggio lato Azure fino a quando non viene restituita una risposta.

Monitoraggio del traffico tra cloud: Abilita i log dei flussi di VNet nella rete virtuale che ospita il tuo gateway VPN o l'hub di rete WAN virtuale. Questi log registrano il traffico in ingresso e in uscita dai tunnel tra cloud, fornendo dati volumetrici e sulla distribuzione dei protocolli relativi alla comunicazione tra cloud.
Misurazione della latenza: Distribuire test Monitoraggio connessione da macchine virtuali Azure agli endpoint in AWS o Google Cloud. Usare probe ICMP o TCP per misurare la latenza di round trip tra i tunnel crittografati. Impostare le soglie di avviso in base ai requisiti dell'applicazione.
Risoluzione dei problemi relativi ai tunnel crittografati: Quando la connettività tra cloud ha esito negativo, usare l'hop successivo e la verifica del flusso IP di Network Watcher per verificare che il routing lato Azure e le regole del gruppo di sicurezza di rete continuino a indirizzare il traffico verso il Gateway VPN. I log di diagnostica del Gateway VPN mostrano lo stato della negoziazione IKE e lo stato di integrità del tunnel.
Monitoraggio di entrambi i lati: Azure monitoraggio copre il lato Azure della connettività tra cloud. Coordinarsi con la configurazione di AWS CloudWatch o Google Cloud Monitoring per ottenere visibilità end-to-end. Avviso relativo alle modifiche dello stato del tunnel da entrambi i provider.
Network Watcher come punto di partenza: usare la diagnostica Network Watcher per isolare se gli errori di connettività hanno origine sul lato Azure (regole del gruppo di sicurezza di rete, tabelle di route, configurazione del gateway) o sul lato remoto (regole AWS o Google Cloud Firewall, configurazione VPN).

Monitorare i costi di rete

La rete è un costo ricorrente che il monitoraggio deve rendere visibile. Usare Gestione dei costi Microsoft per identificare le risorse che determinano la spesa di rete. I dati elaborati da Firewall di Azure, le unità di scalabilità del gateway, gli indirizzi IP pubblici, il trasferimento dei dati tra aree e tramite peering globale e l'acquisizione dei dati in Log Analytics sono fattori che contribuiscono più comunemente. Filtra l'analisi dei costi in base al provider di risorse Microsoft.Network, raggruppa per risorsa e imposta avvisi sul budget in modo che eventuali aumenti imprevisti (ad esempio, un picco del traffico di replica tra aree geografiche) vengano rilevati tempestivamente. Correlare i picchi di costo con i log di flusso e Analisi del traffico per trovare i modelli di traffico sottostanti.

Prerequisiti

Prima di implementare il monitoraggio della rete, verificare di soddisfare i requisiti seguenti:

Network Watcher abilitata: Network Watcher viene abilitata automaticamente per ogni area quando si crea o si aggiorna una rete virtuale. Se l'organizzazione ha rifiutato esplicitamente l'abilitazione automatica, abilitare Network Watcher manualmente per ogni area richiesta. La disattivazione richiede una richiesta al supporto di Azure per revocarla.
Area di lavoro di Log Analytics: necessaria per Traffic Analytics e Monitoraggio connessione. L'area di lavoro può trovarsi in qualsiasi area supportata. Non sono previsti costi aggiuntivi per il trasferimento dei dati tra aree.
Account di archiviazione: obbligatorio per archiviare i log di flusso e l'output della cattura dei pacchetti. Usare le regole di gestione del ciclo di vita per controllare la conservazione e i costi.
agente Azure Arc (solo ibrido): obbligatorio nei computer locali che fungono da endpoint di origine Monitoraggio connessione. Gli endpoint di destinazione non richiedono un agente. Monitorare qualsiasi URL, FQDN o indirizzo IP.
Log dei flussi di VNet in sostituzione dei log dei flussi NSG: Se usi attualmente i log dei flussi NSG, pianifica la migrazione ai log dei flussi di VNet prima della data di dismissione.

Migrazione dai log di flusso NSG ai log di flusso VNet

Importante

I log di flusso NSG verranno ritirati il 30 settembre 2027. Non è possibile creare nuovi log di flusso NSG dopo il 30 giugno 2025. Eseguire la migrazione ai log di flusso di VNet per mantenere la visibilità del traffico.

I log dei flussi VNet offrono le stesse funzionalità dei log dei flussi NSG, oltre a:

Copertura di tutto il traffico all'interno di una rete virtuale, incluso il traffico che i gruppi di sicurezza di rete non elaborano
Valutazione delle regole di amministrazione della sicurezza di gestione rete virtuale di Azure
Valutazione dello stato di crittografia della rete virtuale
Ambito semplificato: non è necessario configurare la registrazione a livello di subnet e scheda di interfaccia di rete
Nessun record di log duplicato

Procedura di migrazione:

Identifica tutte le reti virtuali con log di flusso NSG attivi.
Abilitare i log di flusso della rete virtuale per ogni rete virtuale con lo stesso account di archiviazione di destinazione e la stessa configurazione di Traffic Analytics.
Verificare che i dati dei log dei flussi di VNet siano visualizzati in Traffic Analytics.
Disattivare i log di flusso di NSG per evitare registrazioni duplicate e costi di archiviazione non necessari.

Tip

Disattiva i log di flusso NSG dopo aver verificato che i log di flusso della rete virtuale vengano registrati correttamente. L'esecuzione simultanea di entrambi crea record duplicati e raddoppia i costi di archiviazione.

Azure fornisce sia uno script di migrazione che un percorso di Criteri di Azure per la migrazione automatizzata su larga scala.

Considerazioni relative alla sicurezza

Proteggere i dati di monitoraggio e controllare l'accesso agli strumenti di diagnostica. Le sottosezioni seguenti riguardano la riservatezza dei dati, la conservazione, la sicurezza dei probe e l'accesso basato sui ruoli.

Sensibilità dei dati dei log di flusso

I record di log del flusso contengono metadati su tutto il traffico di rete, inclusi indirizzi IP di origine e di destinazione, porte, protocolli e azioni. Considerare i dati del log del flusso come sensibili:

Archiviare i log dei flussi in un account di archiviazione con controlli di accesso e crittografia appropriati.
Limitare l'accesso all'area di lavoro Log Analytics che riceve i dati di Traffic Analytics tramite Azure RBAC.
Applicare il principio dei privilegi minimi: gli operatori di rete potrebbero richiedere dashboard di Analisi del traffico, ma non l'accesso al log del flusso non elaborato.

Conservazione dei dati di diagnostica

Definire i criteri di conservazione in base ai requisiti di conformità dell'organizzazione, ad esempio PCI DSS, HIPAA o SOC 2.
Usa la gestione del ciclo di vita di Archiviazione di Azure per archiviare o eliminare automaticamente i dati dei log di flusso dopo il periodo di conservazione richiesto.
Monitora i costi dell'account di archiviazione. Le reti ad alta capacità generano grandi volumi di dati di log di flusso.

Sicurezza di Monitoraggio connessione

Il traffico di probe di Monitoraggio connessione proviene dalle infrastrutture di Azure. Verificare che le regole NSG consentano gli intervalli di origine della sonda, usando il tag di servizio AzureMonitor per semplificare.
Per le origini on-premises, l'agente Azure Arc mantiene una connessione sicura con Azure. Segui i criteri di sicurezza per gli agenti dell'organizzazione.

controllo di accesso di Network Watcher

Le operazioni di Network Watcher richiedono ruoli RBAC di Azure specifici. Seguire il principio dei privilegi minimi:

Ruolo	Capacità
Collaboratore di rete	Accesso completo a Network Watcher, inclusi l'acquisizione dei pacchetti e la configurazione dei log di flusso
Lettore	Visualizzare Network Watcher risorse e topologie
Ruolo personalizzato	Ambito di operazioni specifiche (verifica del flusso IP, hop successivo) senza accesso completo ai collaboratori

Gruppi di sicurezza di rete e gruppi di sicurezza delle applicazioni: regole del gruppo di sicurezza di rete valutate dai log dei flussi.
Firewall di Azure e segmentazione di rete: registrazione e metriche di diagnostica del firewall.
Topologia di rete hub-spoke: visibilità a livello di hub e monitoraggio centralizzato.
gestione rete virtuale di Azure e gestione centralizzata: le regole di amministratore della sicurezza AVNM valutate dai log dei flussi della rete virtuale.

Ulteriori informazioni

Passaggi successivi

Tip

Terminata l'esplorazione? È stata raggiunta la fine della guida principale alla progettazione della rete Azure. Tornare allo strumento di navigazione di panoramica per rivedere qualsiasi area di funzionalità o continuare a gestione rete virtuale di Azure per la gestione centralizzata della rete in molte reti virtuali.

È stato completato il percorso di rete lift-and-shift. Ora disponi di una topologia hub-and-spoke con connettività ibrida VPN/ExpressRoute, un Firewall di Azure centralizzato per il traffico east-west e in uscita, Bastion per l'accesso amministrativo sicuro e Network Watcher che monitora la baseline di migrazione.

Se i requisiti sono stati estesi, rivedere gli articoli condizionali nella guida allo scenario per le opzioni di ingresso Internet, WAF, DDoS e multiregione.

Gestione centralizzata della rete. Opzionale: Se la migrazione ha creato un ambiente multi-VNet, usare gestione rete virtuale di Azure per la governance centralizzata.

Tornare alla panoramica: esplorare altre funzionalità o esaminare l'architettura.

È stato completato il percorso di rete di modernizzazione. È ora disponibile un'architettura a doppio hub, multiregione con Frontdoor o Gestione traffico per l'ingresso globale, collegamento privato per la connettività PaaS sicura, la sicurezza a più livelli tramite Firewall di Azure e WAF e il monitoraggio end-to-end nei livelli dell'applicazione.

Se i requisiti sono stati estesi oltre lo stack essenziale, rivedere gli articoli supplementari nella guida allo scenario per funzionalità di rete avanzate, ad esempio failover tra aree e livelli di sicurezza aggiuntivi.

Gestione centralizzata della rete. Opzionale: Se il tuo ambiente si estende su più sottoscrizioni e team, usa gestione rete virtuale di Azure per la gestione centralizzata dei criteri.

Tornare alla panoramica: esplorare altre funzionalità o esaminare l'architettura.

È stato completato il percorso di rete multi-cloud. Ora disponi di funzionalità equivalenti a Transit Gateway tramite rete WAN virtuale di Azure, di tunnel VPN che connettono le VPC AWS e le VPC di Google Cloud ad Azure, del passaggio del DNS con DNS privato Resolver per la risoluzione dei nomi tra i cloud e dell'ispezione sicura nel virtual hub per tutto il traffico tra cloud.