Usługa Network Watcher — często zadawane pytania

Usługa Network Watcher udostępnia zestaw narzędzi do monitorowania, diagnozowania, wyświetlania metryk oraz włączania lub wyłączania dzienników dla zasobów IaaS (infrastruktura jako usługa), które obejmują maszyny wirtualne, sieci wirtualne, bramy aplikacji, moduły równoważenia obciążenia i inne zasoby w sieci wirtualnej platformy Azure. Nie jest to rozwiązanie do monitorowania infrastruktury PaaS (platforma jako usługa) ani uzyskiwania analizy internetowej/mobilnej.

Usługa Network Watcher udostępnia trzy główne zestawy możliwości:

• Monitoring
  • Widok topologii przedstawia zasoby w sieci wirtualnej i relacje między nimi.
  • Monitor połączeń umożliwia monitorowanie łączności i opóźnień między punktami końcowymi wewnątrz i na zewnątrz platformy Azure.
• Narzędzia diagnostyczne sieci
  • Weryfikacja przepływu adresów IP umożliwia wykrywanie problemów z filtrowaniem ruchu na poziomie maszyny wirtualnej.
  • Diagnostyka sieciowej grupy zabezpieczeń umożliwia wykrywanie problemów z filtrowaniem ruchu na poziomie maszyny wirtualnej, zestawu skalowania maszyn wirtualnych lub bramy aplikacji.
  • Następny przeskok pomaga zweryfikować trasy ruchu i wykryć problemy z routingiem.
  • Rozwiązywanie problemów z połączeniem umożliwia jednorazowe sprawdzanie łączności i opóźnień między maszyną wirtualną a hostem usługi Bastion, bramą aplikacji lub inną maszyną wirtualną.
  • Przechwytywanie pakietów umożliwia przechwytywanie ruchu maszyny wirtualnej.
  • Rozwiązywanie problemów z siecią VPN uruchamia wiele testów diagnostycznych bram sieci VPN i połączeń w celu ułatwienia debugowania problemów.
• Ruch
  • Dzienniki przepływu sieciowych grup zabezpieczeń i dzienniki przepływu sieci wirtualnej umożliwiają rejestrowanie ruchu sieciowego przechodzącego odpowiednio przez sieciowe grupy zabezpieczeń i sieci wirtualne.
  • Analiza ruchu przetwarza dane dziennika przepływu sieciowej grupy zabezpieczeń, umożliwiając wizualizowanie, wykonywanie zapytań, analizowanie i zrozumienie ruchu sieciowego.

Aby uzyskać bardziej szczegółowe informacje, zobacz Omówienie usługi Network Watcher.

Zobacz Cennik usługi Network Watcher, aby uzyskać szczegółowe informacje o różnych składnikach usługi Network Watcher.

Zobacz Regiony usługi Network Watcher, aby dowiedzieć się więcej o regionach, które obsługują usługę Network Watcher.

Zobacz Uprawnienia RBAC platformy Azure wymagane do korzystania z usługi Network Watcher , aby uzyskać szczegółową listę wymaganych uprawnień dla każdej funkcji usługi Network Watcher.

Usługa Network Watcher jest automatycznie włączona dla każdej subskrypcji. Należy ręcznie włączyć usługę Network Watcher, jeśli zrezygnowano z automatycznego włączania usługi Network Watcher. Aby uzyskać więcej informacji, zobacz Włączanie lub wyłączanie usługi Azure Network Watcher.

Zasób nadrzędny usługi Network Watcher jest wdrażany z unikatowym wystąpieniem w każdym regionie. Domyślny format nazewnictwa: NetworkWatcher_RegionName. Przykład: NetworkWatcher_centralus to zasób usługi Network Watcher dla regionu "Środkowe stany USA". Nazwę wystąpienia usługi Network Watcher można dostosować przy użyciu programu PowerShell lub interfejsu API REST.

Usługa Network Watcher musi być włączona tylko raz na region dla subskrypcji, aby jej funkcje działały. Usługa Network Watcher jest włączona w regionie przez utworzenie wystąpienia usługi Network Watcher w tym regionie.

Zasób usługi Network Watcher reprezentuje usługę zaplecza dla usługi Network Watcher, która jest w pełni zarządzana przez platformę Azure. Można jednak utworzyć lub usunąć zasób usługi Network Watcher, aby włączyć lub wyłączyć go w określonym regionie. Aby uzyskać więcej informacji, zobacz Włączanie lub wyłączanie usługi Azure Network Watcher.

Nie, przenoszenie zasobu usługi Network Watcher ani żadnych zasobów podrzędnych w różnych regionach nie jest obsługiwane. Aby uzyskać więcej informacji, zobacz Obsługa operacji przenoszenia dla zasobów sieciowych.

Tak, przenoszenie zasobu usługi Network Watcher między grupami zasobów jest obsługiwane. Aby uzyskać więcej informacji, zobacz Obsługa operacji przenoszenia dla zasobów sieciowych.

NetworkWatcherRG to grupa zasobów, która jest automatycznie tworzona dla zasobów usługi Network Watcher. Na przykład wystąpienia regionalne usługi Network Watcher i zasoby dziennika przepływu sieciowej grupy zabezpieczeń są tworzone w grupie zasobów NetworkWatcherRG . Nazwę grupy zasobów usługi Network Watcher można dostosować przy użyciu programu PowerShell, interfejsu wiersza polecenia platformy Azure lub interfejsu API REST.

Usługa Azure Network Watcher nie przechowuje danych klientów, z wyjątkiem monitora połączeń. Monitor połączeń przechowuje dane klientów, które są automatycznie przechowywane przez usługę Network Watcher w jednym regionie w celu spełnienia wymagań dotyczących przechowywania danych w regionie.

Usługa Network Watcher ma następujące limity:

Tak, usługa Network Watcher jest domyślnie odporna na strefy.

Żadna konfiguracja nie jest konieczna do włączenia odporności strefy. Odporność strefy dla zasobów usługi Network Watcher jest domyślnie dostępna i zarządzana przez samą usługę.

Agent usługi Network Watcher jest wymagany dla dowolnej funkcji usługi Network Watcher, która generuje lub przechwytuje ruch z maszyny wirtualnej.

Funkcje przechwytywania pakietów, rozwiązywania problemów z połączeniem i monitorowania połączeń wymagają obecności rozszerzenia usługi Network Watcher.

Najnowszą wersją rozszerzenia usługi Network Watcher jest 1.4.3422.1. Aby uzyskać więcej informacji, zobacz Aktualizowanie rozszerzenia usługi Azure Network Watcher do najnowszej wersji.

• Linux: agent usługi Network Watcher używa dostępnych portów rozpoczynających się od port 50000 momentu, gdy osiągnie wartość port 65535.
• Windows: agent usługi Network Watcher używa portów, które system operacyjny odpowiada podczas wykonywania zapytania o dostępne porty.

Agent usługi Network Watcher wymaga wychodzącej łączności TCP z usługą 169.254.169.254 port 80 over and 168.63.129.16 over port 8037. Agent używa tych adresów IP do komunikowania się z platformą Azure.

Nie, monitor połączeń nie obsługuje klasycznych maszyn wirtualnych. Aby uzyskać więcej informacji, zobacz Migrowanie zasobów IaaS z modelu klasycznego do usługi Azure Resource Manager.

Topologię można dekorować z platformy spoza platformy Azure do platformy Azure tylko wtedy, gdy docelowy zasób platformy Azure i zasób monitora połączeń znajdują się w tym samym regionie.

Tej samej maszyny wirtualnej platformy Azure nie można używać z różnymi konfiguracjami w tym samym monitorze połączeń. Na przykład używanie tej samej maszyny wirtualnej z filtrem i bez filtru w tym samym monitorze połączeń nie jest obsługiwane.

Problemy wyświetlane na pulpicie nawigacyjnym monitora połączeń znajdują się podczas odnajdywania topologii lub eksploracji przeskoku. Mogą wystąpić przypadki, w których próg ustawiony dla % utraty lub RTT jest osiągany, ale nie znaleziono żadnych problemów na przeskokach.

W monitorze połączeń (klasycznym) nie ma opcji wyboru protokołu. Testy w monitorze połączeń (klasycznym) używają tylko protokołu TCP i dlatego podczas migracji tworzymy konfigurację PROTOKOŁU TCP w testach w nowym monitorze połączeń.

Obecnie istnieje granica regionalna, gdy punkt końcowy korzysta z agentów usługi Azure Monitor i Arc ze skojarzonym obszarem roboczym usługi Log Analytics. W związku z tym ograniczeniem skojarzony obszar roboczy usługi Log Analytics musi znajdować się w tym samym regionie co punkt końcowy usługi Arc. Dane pozyskane w poszczególnych obszarach roboczych można połączyć w jednym widoku, zobacz Wykonywanie zapytań o dane w obszarach roboczych, aplikacjach i zasobach usługi Log Analytics w usłudze Azure Monitor.

Dzienniki przepływu umożliwiają rejestrowanie 5-krotkowego przepływu informacji o ruchu ip platformy Azure, który przechodzi przez sieciową grupę zabezpieczeń lub sieć wirtualną platformy Azure. Nieprzetworzone dzienniki przepływu są zapisywane na koncie usługi Azure Storage. W tym miejscu możesz dalej przetwarzać, analizować, wykonywać zapytania lub eksportować je zgodnie z potrzebami.

Dane dziennika przepływu są zbierane poza ścieżką ruchu sieciowego, więc nie mają wpływu na przepływność ani opóźnienie sieci. Dzienniki przepływu można tworzyć lub usuwać bez ryzyka wpływu na wydajność sieci.

Dzienniki przepływu sieciowej grupy zabezpieczeń rejestrują ruch przepływujący przez sieciową grupę zabezpieczeń. Z drugiej strony diagnostyka sieciowej grupy zabezpieczeń zwraca wszystkie sieciowe grupy zabezpieczeń, które są przesyłane przez ruch i reguły każdej sieciowej grupy zabezpieczeń, które są stosowane do tego ruchu. Użyj diagnostyki sieciowej grupy zabezpieczeń, aby sprawdzić, czy reguły sieciowej grupy zabezpieczeń są stosowane zgodnie z oczekiwaniami.

Nie, dzienniki przepływu sieciowej grupy zabezpieczeń nie obsługują protokołów ESP i AH.

Nie, dzienniki przepływu sieciowej grupy zabezpieczeń i dzienniki przepływu sieci wirtualnej nie obsługują protokołu ICMP.

Tak. Skojarzony zasób dziennika przepływu również zostanie usunięty. Dane dziennika przepływu są przechowywane na koncie magazynu dla okresu przechowywania skonfigurowanego w dzienniku przepływu.

Tak, ale musisz usunąć skojarzony zasób dziennika przepływu. Po przeprowadzeniu migracji sieciowej grupy zabezpieczeń można ponownie utworzyć dzienniki przepływu, aby włączyć rejestrowanie przepływu.

Tak, możesz użyć konta magazynu z innej subskrypcji, o ile ta subskrypcja znajduje się w tym samym regionie sieciowej grupy zabezpieczeń i skojarzona z tą samą dzierżawą firmy Microsoft Entra sieciowej grupy zabezpieczeń lub subskrypcji sieci wirtualnej.

Aby użyć konta magazynu za zaporą, należy podać wyjątek dla zaufanych usług firmy Microsoft w celu uzyskania dostępu do konta magazynu:

1. Przejdź do konta magazynu, wprowadzając nazwę konta magazynu w polu wyszukiwania w górnej części portalu.
2. W obszarze Zabezpieczenia i sieć wybierz pozycję Sieć, a następnie wybierz pozycję Zapory i sieci wirtualne.
3. W obszarze Dostęp do sieci publicznej wybierz pozycję Włączone z wybranych sieci wirtualnych i adresów IP. Następnie w obszarze Wyjątki zaznacz pole wyboru obok pozycji Zezwalaj usługom platformy Azure na liście zaufanych usług w celu uzyskania dostępu do tego konta magazynu.
4. Włącz dzienniki przepływu sieciowej grupy zabezpieczeń, tworząc dziennik przepływu dla docelowej sieciowej grupy zabezpieczeń przy użyciu konta magazynu. Aby uzyskać więcej informacji, zobacz Tworzenie dziennika przepływu.

Dzienniki magazynu można sprawdzić po kilku minutach. Powinien zostać wyświetlony zaktualizowany znacznik czasu lub utworzony nowy plik JSON.

Usługa Network Watcher ma wbudowany mechanizm rezerwowy używany podczas nawiązywania połączenia z kontem magazynu za zaporą (włączona zapora). Próbuje nawiązać połączenie z kontem magazynu przy użyciu klucza, a jeśli to się nie powiedzie, przełączy się na token. W takim przypadku w dzienniku aktywności konta magazynu jest rejestrowany błąd 403.

Tak, usługa Network Watcher obsługuje wysyłanie danych dzienników przepływu sieciowej grupy zabezpieczeń do konta magazynu włączonego z prywatnym punktem końcowym.

Dzienniki przepływu sieciowej grupy zabezpieczeń są zgodne z punktami końcowymi usługi bez konieczności dodatkowej konfiguracji. Aby uzyskać więcej informacji, zobacz Włączanie punktu końcowego usługi.

Dzienniki przepływu w wersji 2 przedstawiają koncepcję stanu przepływu i przechowuje informacje o bajtach i pakietach przesyłanych. Aby uzyskać więcej informacji, zobacz Format dziennika przepływu sieciowej grupy zabezpieczeń.

Nie, blokada tylko do odczytu w sieciowej grupie zabezpieczeń uniemożliwia utworzenie odpowiedniego dziennika przepływu sieciowej grupy zabezpieczeń.

Tak, blokada nie można usunąć w sieciowej grupie zabezpieczeń nie uniemożliwia tworzenia ani modyfikowania odpowiedniego dziennika przepływu sieciowej grupy zabezpieczeń.

Tak, możesz zautomatyzować dzienniki przepływu sieciowej grupy zabezpieczeń za pomocą szablonów usługi Azure Resource Manager (szablony usługi ARM). Aby uzyskać więcej informacji, zobacz Konfigurowanie dzienników przepływu sieciowej grupy zabezpieczeń przy użyciu szablonu usługi Azure Resource Manager (ARM).