Бөлісу құралы:

Справочник по данным мониторинга Брандмауэр Azure

  • Мақала

В этой статье содержатся все справочные сведения о мониторинге для этой службы.

Дополнительные сведения о данных, собираемых для Брандмауэр Azure, и их использовании см. в Брандмауэр Azure мониторинга.

Метрики

В этом разделе перечислены все автоматически собранные метрики платформы для этой службы. Эти метрики также являются частью глобального списка всех метрик платформы, поддерживаемых в Azure Monitor.

Сведения о хранении метрик см. в обзоре метрик Azure Monitor.

Поддерживаемые метрики для Microsoft.Network/azureFirewalls

В следующей таблице перечислены метрики, доступные для типа ресурса Microsoft.Network/azureFirewalls.

  • Все столбцы могут не присутствовать в каждой таблице.
  • Некоторые столбцы могут находиться за пределами области просмотра страницы. Выберите "Развернуть таблицу ", чтобы просмотреть все доступные столбцы.

Заголовки таблиц

  • Категория — группа метрик или классификация.
  • Метрика — отображаемое имя метрик, как оно отображается в портал Azure.
  • Имя в REST API — имя метрики, указанное в REST API.
  • Единица измерения.
  • Агрегирование — тип агрегирования по умолчанию. Допустимые значения: среднее (среднее), минимальное (минимальное), максимальное (максимальное), общее (сумма), число.
  • Измерения - , доступные для метрики.
  • Интервалы интервалов - времени, по которым выборка метрики выполняется. Например, указывает, PT1M что метрика выборка выполняется каждую минуту, каждые 30 минут, PT30M PT1H каждый час и т. д.
  • Экспорт DS— можно ли экспортировать метрики в журналы Azure Monitor с помощью параметров диагностики. Сведения об экспорте метрик см. в статье "Создание параметров диагностики" в Azure Monitor.
Метрика Имя в REST API Единица измерения Агрегат Измерения Интервалы времени Экспорт DS
Количество попаданий правил приложения

Число попаданий в правила приложения		 ApplicationRuleHit Count Total (Sum) Status, , ReasonProtocol PT1M Да
Обработанные данные

Общий объем данных, обработанных этим брандмауэром		 DataProcessed Байт Total (Sum) <none> PT1M Да
Состояние работоспособности брандмауэра

Указывает общую работоспособность этого брандмауэра		 FirewallHealth Процент По средней Status, Reason PT1M Да
Проба задержки

Оценка средней задержки брандмауэра по измерению пробы задержки		 FirewallLatencyPng Миллисекунды По средней <none> PT1M Да
Количество попаданий в правила сети

Число попаданий в сетевые правила		 NetworkRuleHit Count Total (Sum) Status, , ReasonProtocol PT1M Да
Использование портов SNAT

Процент исходящих портов SNAT, используемых в данный момент		 SNATPortUtilization Процент Среднее, максимальное Protocol PT1M Да
Пропускная способность

Пропускная способность, обрабатываемая этим брандмауэром		 Throughput BitsPerSecond По средней <none> PT1M No

Состояние работоспособности брандмауэра

В предыдущей таблице метрика состояния работоспособности брандмауэра имеет два измерения:

  • Состояние: возможные значения Healthy (Работоспособен), Degraded (Снижение работоспособности), Unhealthy (Не работоспособен).
  • Причина: указывает на причину соответствующего состояния брандмауэра.

Если порты SNAT используются более 95%, они считаются исчерпанными, а работоспособность составляет 50 % с состоянием=Понижение и причина=SNAT-порт. Брандмауэр сохраняет обработку трафика и существующие подключения не затрагиваются. Однако новые подключения могут не быть установлены периодически.

Если порты SNAT используются менее чем на 95 %, брандмауэр считается работоспособным и отображается уровень работоспособности 100 %.

Если сведения об использовании портов SNAT отсутствуют, отображается состояние работоспособности 0 %.

Использование портов SNAT

Для метрики использования портов SNAT при добавлении дополнительных общедоступных IP-адресов в брандмауэр доступны дополнительные порты SNAT, что снижает использование портов SNAT. Кроме того, при масштабировании брандмауэра по разным причинам (например, ЦП или пропускной способности) больше портов SNAT также становятся доступными.

Фактически этот процент использования портов SNAT может сократиться без добавления общедоступных IP-адресов, так как служба масштабируется. Вы можете напрямую контролировать количество общедоступных IP-адресов, доступных для увеличения портов, доступных в брандмауэре. Но вы не можете напрямую управлять масштабированием брандмауэра.

Если брандмауэр сталкивается с нехваткой портов SNAT, необходимо добавить по крайней мере пять общедоступных IP-адресов. Это увеличивает количество доступных портов SNAT. Дополнительные сведения см. на странице Функции брандмауэра Azure.

Проверка задержки AZFW

Метрика проверки задержки AZFW измеряет общую или среднюю задержку Брандмауэр Azure в миллисекундах. Администраторы могут использовать эту метрику в следующих целях:

  • Диагностика того, является ли Брандмауэр Azure причиной задержки в сети

  • Отслеживайте и оповещайте, если возникают проблемы с задержкой или производительностью, поэтому ИТ-команды могут активно взаимодействовать.

  • Могут возникнуть различные причины, которые могут привести к высокой задержке в Брандмауэр Azure. Например, высокая загрузка ЦП, высокая пропускная способность или возможная проблема с сетью.

    Эта метрика не измеряет сквозную задержку заданного сетевого пути. Другими словами, эта проба работоспособности задержки не измеряет, сколько задержек Брандмауэр Azure добавляет.

  • Если метрика задержки не работает должным образом, значение 0 отображается на панели мониторинга метрик.

  • В качестве ссылки средняя ожидаемая задержка для брандмауэра составляет примерно 1 мс. Это значение может отличаться в зависимости от размера развертывания и среды.

  • Проба задержки основана на технологии Ping Mesh корпорации Майкрософт. Таким образом, периодические пики в метрике задержки должны быть ожидаемыми. Эти пики являются нормальными и не сигнализируют о проблеме с Брандмауэр Azure. Они входят в стандартную настройку сети узлов, которая поддерживает систему.

    В результате, если вы испытываете постоянную высокую задержку, которая длится дольше типичных пиков, рассмотрите возможность подачи запроса в службу поддержки за помощью.

    Снимок экрана: метрика Брандмауэр Azure пробы задержки.

Измерения метрик

Дополнительные сведения о измерениях метрик см. в разделе "Многомерные метрики".

Эта служба имеет следующие измерения, связанные с ее метриками.

  • Протокол
  • Причина
  • Состояние

Журналы ресурсов

В этом разделе перечислены типы журналов ресурсов, которые можно собирать для этой службы. Раздел извлекает из списка всех типов категорий журналов ресурсов, поддерживаемых в Azure Monitor.

Поддерживаемые журналы ресурсов для Microsoft.Network/azureFirewalls

Категория Отображаемое имя категории Таблица журналов Поддерживает базовый план журнала Поддерживает преобразование времени приема Примеры запросов Затраты на экспорт
AZFWApplicationRule Правило приложения службы "Брандмауэр Azure" AZFWApplicationRule

Содержит все данные журнала правил приложения. Каждое совпадение между плоскостью данных и правилом приложения приводит к созданию записи журнала с пакетом плоскости данных и атрибутами соответствующего правила.

 No No Запросы Да
AZFWApplicationRuleAggregation агрегирование сетевого правила Брандмауэр Azure (аналитика политик) AZFWApplicationRuleAggregation

Содержит агрегированные данные журнала правил приложений для Аналитики политик.

 No No Да
AZFWDnsQuery Брандмауэр Azure DNS-запрос AZFWDnsQuery

Содержит все данные журнала событий DNS-прокси.

 No No Запросы Да
AZFWFatFlow журнал потока жира Брандмауэр Azure AZFWFatFlow

Этот запрос возвращает верхние потоки между Брандмауэр Azure экземплярами. Журнал содержит сведения о потоке, скорость передачи дат (в мегабитах в секунду) и период времени записи потоков. Следуйте документации, чтобы включить ведение журнала верхнего потока и подробные сведения о том, как она записывается.

 No No Запросы Да
AZFWFlowTrace Журнал трассировки потока Брандмауэр Azure AZFWFlowTrace

Журналы потоков между Брандмауэр Azure экземплярами. Журнал содержит сведения о потоке, флаги и период времени записи потоков. Следуйте документации, чтобы включить ведение журнала трассировки потока и подробные сведения о том, как она записывается.

 Да Нет Запросы Да
AZFWFqdnResolveFailure Сбой разрешения полного доменного имени Брандмауэр Azure No No Да
AZFWIdpsSignature подпись idPS Брандмауэр Azure AZFWIdpsSignature

Содержит все пакеты плоскости данных, которые были сопоставлены с одной или несколькими сигнатурами IDPS.

 No No Запросы Да
AZFWNatRule правило NAT Брандмауэр Azure AZFWNatRule

Содержит все данные журнала событий DNAT (преобразование сетевых адресов назначения). Каждое совпадение между плоскостью данных и правилом DNAT приводит к созданию записи журнала с пакетом плоскости данных и атрибутами соответствующего правила.

 No No Запросы Да
AZFWNatRuleAggregation агрегирование правил NAT Брандмауэр Azure (аналитика политик) AZFWNatRuleAggregation

Содержит агрегированные данные журнала правил NAT для Аналитики политик.

 No No Да
AZFWNetworkRule Правило сети службы "Брандмауэр Azure" AZFWNetworkRule

Содержит все данные журнала правил сети. Каждое совпадение между плоскостью данных и правилом сети приводит к созданию записи журнала с пакетом плоскости данных и атрибутами соответствующего правила.

 No No Запросы Да
AZFWNetworkRuleAggregation агрегирование правил приложений Брандмауэр Azure (аналитика политик) AZFWNetworkRuleAggregation

Содержит агрегированные данные журнала правил сети для Аналитики политик.

 No No Да
AZFWThreatIntel аналитика угроз Брандмауэр Azure AZFWThreatIntel

Содержит все события аналитики угроз.

 No No Запросы Да
AzureFirewallApplicationRule правило приложения Брандмауэр Azure (устаревшая версия Диагностика Azure) AzureDiagnostics

Журналы из нескольких ресурсов Azure.

 No No Запросы No
AzureFirewallDnsProxy Брандмауэр Azure DNS-прокси (устаревшая версия Диагностика Azure) AzureDiagnostics

Журналы из нескольких ресурсов Azure.

 No No Запросы No
AzureFirewallNetworkRule сетевое правило Брандмауэр Azure (устаревшая версия Диагностика Azure) AzureDiagnostics

Журналы из нескольких ресурсов Azure.

 No No Запросы No

Брандмауэр Azure имеет два новых журнала диагностика, которые можно использовать для мониторинга брандмауэра:

  • Верхние потоки
  • Трассировка потока

Верхние потоки

Верхний журнал потоков известен в отрасли как журнал потоков жира и в предыдущей таблице как Брандмауэр Azure журнал потока жира. В журнале верхних потоков отображаются самые высокие подключения, которые способствуют максимальной пропускной способности через брандмауэр.

Совет

Активируйте журналы топ-потоков только при устранении конкретной проблемы, чтобы избежать чрезмерного использования ЦП Брандмауэр Azure.

Скорость потока определяется как скорость передачи данных в мегабитах в секунду. Это мера объема цифровых данных, которые могут передаваться по сети за период времени через брандмауэр. Протокол Top Flows периодически выполняется каждые три минуты. Минимальное пороговое значение для рассмотрения верхнего потока — 1 Мбит/с.

Включите журнал "Основные потоки" с помощью следующих команд Azure PowerShell:

Set-AzContext -SubscriptionName <SubscriptionName>
$firewall = Get-AzFirewall -ResourceGroupName <ResourceGroupName> -Name <FirewallName>
$firewall.EnableFatFlowLogging = $true
Set-AzFirewall -AzureFirewall $firewall

Чтобы отключить журналы, используйте ту же предыдущую команду Azure PowerShell и задайте значение False.

Например:

Set-AzContext -SubscriptionName <SubscriptionName>
$firewall = Get-AzFirewall -ResourceGroupName <ResourceGroupName> -Name <FirewallName>
$firewall.EnableFatFlowLogging = $false
Set-AzFirewall -AzureFirewall $firewall

Существует несколько способов проверить успешность обновления, но вы можете перейти к обзору брандмауэра и выбрать представление JSON в правом верхнем углу. Ниже приведен пример.

Снимок экрана: JSON с дополнительной проверкой журнала.

Сведения о создании параметра диагностики и включении таблицы для конкретных ресурсов см. в статье "Создание параметров диагностики" в Azure Monitor.

Журналы брандмауэра показывают трафик через брандмауэр в первой попытке TCP-подключения, известного как пакет SYN . Однако такая запись не показывает полного пути передачи пакета в подтверждения TCP. В результате сложно устранить неполадки, если пакет удален или асимметричная маршрутизация. Журнал трассировки потока Брандмауэр Azure решает эту проблему.

Совет

Чтобы избежать чрезмерного использования дисков, вызванных журналами трассировки потока в Брандмауэр Azure с множеством коротких подключений, активируйте журналы только при устранении конкретной проблемы в целях диагностики.

Можно добавить следующие свойства:

  • SYN-ACK: флаг ACK, указывающий подтверждение пакета SYN.

  • FIN: завершен флаг исходного потока пакетов. В потоке TCP больше не передаются данные.

  • FIN-ACK: флаг ACK, указывающий подтверждение пакета FIN.

  • RST: Флаг сброса указывает, что исходный отправитель не получает больше данных.

  • INVALID (потоки): указывает, что пакет не может быть идентифицирован или не имеет никакого состояния.

    Например:

    • Пакет TCP приземляется в экземпляре Масштабируемые наборы виртуальных машин, который не имеет предыдущей истории для этого пакета.
    • Пакеты Bad CheckSum
    • Запись таблицы отслеживания подключений заполнена, а новые подключения не могут быть приняты
    • Чрезмерно отложенные пакеты ACK

Включите журнал трассировки потока с помощью следующих команд Azure PowerShell или перейдите на портале и найдите параметр "Включить ведение журнала TCP-подключений".

Connect-AzAccount 
Select-AzSubscription -Subscription <subscription_id> or <subscription_name>
Register-AzProviderFeature -FeatureName AFWEnableTcpConnectionLogging -ProviderNamespace Microsoft.Network
Register-AzResourceProvider -ProviderNamespace Microsoft.Network

Это изменение может занять несколько минут. После регистрации функции рассмотрите возможность немедленного выполнения обновления Брандмауэр Azure, чтобы изменения вступят в силу немедленно.

Чтобы проверить состояние регистрации AzResourceProvider, можно выполнить команду Azure PowerShell:

Get-AzProviderFeature -FeatureName "AFWEnableTcpConnectionLogging" -ProviderNamespace "Microsoft.Network"

Чтобы отключить журнал, его можно отменить с помощью следующей команды или отменить регистрацию в предыдущем примере портала.

Unregister-AzProviderFeature -FeatureName AFWEnableTcpConnectionLogging -ProviderNamespace Microsoft.Network

Сведения о создании параметра диагностики и включении таблицы для конкретных ресурсов см. в статье "Создание параметров диагностики" в Azure Monitor.

Таблицы журналов Azure Monitor

В этом разделе перечислены таблицы журналов Azure Monitor, относящиеся к этой службе, которые доступны для запроса Log Analytics с помощью запросов Kusto. Таблицы содержат данные журнала ресурсов и, возможно, больше в зависимости от собираемых и перенаправленных к ним данных.

Брандмауэр Azure Microsoft.Network/azureFirewalls

Журнал действий

В связанной таблице перечислены операции, которые можно записать в журнале действий для этой службы. Эти операции представляют собой подмножество всех возможных операций поставщика ресурсов в журнале действий.

Дополнительные сведения о схеме записей журнала действий см . в схеме журнала действий.

Связанный контент