Application Gatewayを経由する通信のパケットキャプチャを実施したい

Question

Application Gatewayを経由する通信のパケットキャプチャ方法についてご教授いただけますでしょうか。

■背景
現在現行のオンプレミス環境では、
仮想アプライアンスのロードバランサー（以下、現行ロードバランサー）を利用しております。
現行ロードバランサーでは、tcpdump相当のパケットキャプチャ機能があり、
その機能を用いて各通信のSSL/TLSバージョンをキャプチャしております。

この度、Azureへと環境を更改することとなり、
ロードバランサーとしてApplication Gatewayを使用することとなりました。
そのため、現行ロードバランサーにて実施していたようなパケットキャプチャを
Application Gatewayでも実現したいと考えております。

■教えていただきたいこと
Application Gatewayを経由する通信について、
パケットキャプチャを実現する方法をご教授いただけないでしょうか。
Application Gateway自身の機能としてパケットキャプチャができないことは確認しております。

Answer 1

hirahata/平畑　聖也様、

ご連絡ありがとうございます。Application Gateway“自身”で tcpdump 相当のパケットキャプチャを取得する機能は提供されていない前提で考える必要がありそうです。その場合、Azure では別機能として Network Watcher のパケットキャプチャ（= 仮想マシンとの送受信パケットを一時的に取得）などを使って、対象トラフィックの可視化を行うのが現実的です。

Answer 2

一番簡単なのは、Azure の Application Gateway ではなく、希望する機能（tcpdump相当のパケットキャプチャ機能）を持ったサードパーティーの仮想アプライアンスを探してそれを利用することでしょう。

形としては Application Gateway のフロントエンドの IP アドレスのトラフィックをキャプチャーしたいということと思いますが、ご承知のように Application Gateway にはそのような機能はありません。仮想マシンの仮想ネットワーク アダプターであれば Network Watcher でパケットキャプチャーが可能なので、Application Gateway の前に仮想マシンでリバースプロキシを作る（実際にはプロキシせず単に中継するだけ）という手ぐらいしか思いつきません。

• パケット キャプチャの概要 - Azure Network Watcher | Microsoft Learn