Compartilhar via

Referência de dados de monitoramento do Firewall do Azure

  • Artigo

Este artigo contém todas as informações de referência de monitoramento para este serviço.

Consulte Monitorar o Firewall do Azure para obter detalhes sobre os dados que você pode coletar para o Firewall do Azure e como usá-los.

Métricas

Esta seção lista todas as métricas da plataforma coletadas automaticamente para este serviço. Essas métricas também fazem parte da lista global de todas as métricas da plataforma com suporte no Azure Monitor.

Para obter informações sobre retenção de métricas, consulte Visão geral das métricas do Azure Monitor.

Métricas com suporte para Microsoft.Network/azureFirewalls

A tabela a seguir lista as métricas disponíveis para o tipo de recurso Microsoft.Network/azureFirewalls.

  • Nem todas as colunas podem estar presentes em todas as tabelas.
  • Algumas colunas podem estar além da área de visualização da página. Selecione Expandir tabela para exibir todas as colunas disponíveis.

Títulos de tabela

  • Categoria: o grupo ou classificação de métricas.
  • Métrica: o nome de exibição da métrica como aparece no portal do Azure.
  • Nome na API REST: o nome da métrica, conforme mencionado na API REST.
  • Unidade: unidade de medida
  • Agregação: o tipo de agregação padrão. Valores válidos: Médio (Méd.), Mínimo (Mín.), Máximo (Máx.), Total (Soma), Contagem.
  • Dimensões: as Dimensões disponíveis para a métrica.
  • Intervalos de agregação: os Intervalos em que a métrica é amostrada. Por exemplo, PT1M indica que a métrica é amostrada a cada minuto, PT30M a cada 30 minutos, PT1H a cada hora e assim por diante.
  • Exportação de DS: se a métrica é exportável para os Logs do Azure Monitor via configurações de diagnóstico. Para obter mais informações sobre exportação de métricas, consulte as Criar configurações de diagnóstico no Azure Monitor.
Métrica Nome na API REST Unidade Agregação Dimensões Granularidade de tempo Exportação de DS
Contagem de ocorrências das regras do aplicativo

Número de vezes que as regras de aplicativo ocorreram		 ApplicationRuleHit Count Total (Soma) Status, Reason, Protocol PT1M Sim
Dados processados

Volume total de dados processados por esse firewall		 DataProcessed Bytes Total (Soma) <none> PT1M Sim
Estado de integridade do firewall

Indica a integridade geral deste firewall		 FirewallHealth Porcentagem Média Status, Reason PT1M Sim
Sonda de latência

Estimativa da latência média do Firewall, medido pela investigação de latência		 FirewallLatencyPng Milissegundos Média <none> PT1M Sim
Contagem de ocorrências das regras de rede

Número de vezes que as regras de rede ocorreram		 NetworkRuleHit Count Total (Soma) Status, Reason, Protocol PT1M Sim
Utilização da porta SNAT

Porcentagem de portas SNAT de saída em uso no momento		 SNATPortUtilization Percentual Média, Máximo Protocol PT1M Sim
Taxa de transferência

Taxa de transferência processada por este firewall		 Throughput BitsPerSecond Média <none> PT1M Não

Estado de integridade do firewall

Na tabela anterior, a métrica de estado de integridade do firewall tem duas dimensões:

  • Status: os valores possíveis são Íntegro, Degradado, Não íntegro.
  • Motivo: indica o motivo do status correspondente do firewall.

Se as portas SNAT forem usadas mais de 95%, elas serão consideradas esgotadas e a integridade será de 50% com status=Degraded e reason=SNAT port. O firewall mantém o tráfego de processamento, e as conexões existentes não são afetadas. No entanto, novas conexões podem não ser estabelecidas de forma intermitente.

Se as portas SNAT forem usadas com menos de 95%, o firewall será considerado íntegro, e a integridade será mostrada como 100%.

Se nenhum uso de portas SNAT for relatado, a integridade será mostrada como 0%.

Utilização da porta SNAT

Para a métrica de utilização da porta SNAT, quando você adiciona mais endereços IP públicos ao firewall, mais portas SNAT estão disponíveis, reduzindo a utilização das portas SNAT. Além disso, quando o firewall é dimensionado por diferentes motivos (por exemplo, CPU ou taxa de transferência), mais portas SNAT também ficam disponíveis.

Efetivamente, uma determinada porcentagem de utilização de portas SNAT pode ficar inativa sem que você adicione nenhum endereço IP público, apenas porque o serviço foi escalado horizontalmente. Você pode controlar diretamente o número de endereços IP públicos disponíveis para aumentar as portas disponíveis em seu firewall. No entanto, você não pode controlar diretamente a colocação em escala do firewall.

Se o firewall estiver em execução no esgotamento de porta SNAT, você deverá adicionar pelo menos cinco endereços IP públicos. Isso aumenta o número de portas SNAT disponíveis. Para obter mais informações, confira Recursos do Firewall do Azure.

Sonda de latência AZFW

A métrica de Investigação de Latência do AZFW mede a latência geral ou média do Firewall do Azure em milissegundos. Os administradores podem usar essa métrica para as seguintes finalidades:

  • Diagnosticar se Firewall do Azure é a causa da latência na rede

  • Monitore e alerte se houver problemas de latência ou desempenho, para que as equipes de TI possam se envolver proativamente.

  • Pode haver vários motivos que podem causar alta latência no Firewall do Azure. Por exemplo, alta utilização da CPU, alta taxa de transferência ou um possível problema de rede.

    Essa métrica não mede a latência de ponta a ponta de um determinado caminho de rede. Em outras palavras, essa investigação de integridade de latência não mede a quantidade de latência que Firewall do Azure adiciona.

  • Quando a métrica de latência não está funcionando conforme o esperado, o valor 0 aparece no painel de métricas.

  • Como referência, a latência média esperada para um firewall é de aproximadamente 1 m/s. Esse valor pode variar dependendo do tamanho e do ambiente da implantação.

  • A investigação de latência é baseada na tecnologia de Malha de Ping da Microsoft. Portanto, são esperados picos intermitentes na métrica de latência. Esses picos são normais e não sinalizam um problema com o Firewall do Azure. Eles fazem parte da configuração de rede de host padrão que dá suporte ao sistema.

    Como resultado, se você tiver alta latência consistente que dure mais do que os picos típicos, considere apresentar um tíquete de suporte para obter assistência.

    Captura de tela mostrando a métrica da Sonda de Latência do Firewall do Azure.

Dimensões de métrica

Para obter mais informações sobre o que são dimensões de métrica, confira Métricas multidimensionais.

Este serviço tem as dimensões a seguir associadas a essas métricas.

  • Protocolo
  • Motivo
  • Status

Logs de recursos

Esta seção lista os tipos de logs de recursos que você pode coletar para o este serviço. A seção extrai da lista de todos os tipos de categoria de logs de recursos com suporte no Azure Monitor.

Logs de recursos com suporte para Microsoft.Network/azureFirewalls

Categoria Nome de exibição da categoria Tabela de log Com suporte a plano de log básico Com suporte a transformações de tempo-ingestão Consultas de exemplo Custos de exportação
AZFWApplicationRule Regra de Aplicativo de Firewall do Azure AZFWApplicationRule

Contém todos os dados de log de regras do aplicativo. Cada correspondência entre o plano de dados e a regra do Aplicativo cria uma entrada de log com o pacote do plano de dados e os atributos da regra correspondente.

 Não Não Consultas Sim
AZFWApplicationRuleAggregation Agregação de regra de rede do Firewall do Azure (Análise de Política) AZFWApplicationRuleAggregation

Contém dados agregados de log de regras de aplicativo para Análise de Política.

 Não No Sim
AZFWDnsQuery Consulta DNS do Firewall do Azure AZFWDnsQuery

Contém todos os dados de log de eventos do DNS Proxy.

 Não Não Consultas Sim
AZFWFatFlow Log de fluxos Fat do Firewall do Azure AZFWFatFlow

Essa consulta retorna os principais fluxos entre instâncias do Firewall do Azure. O log contém informações de fluxo, taxa de transmissão de data (em unidades de megabits por segundo) e o período de tempo em que os fluxos foram registrados. Siga a documentação para habilitar o log de fluxo superior e detalhes sobre como ele é registrado.

 Não Não Consultas Sim
AZFWFlowTrace Log de rastreamento de fluxo de Firewall do Azure AZFWFlowTrace

Logs de fluxo entre instâncias do Firewall do Azure. O log contém informações de fluxo, sinalizadores e o período de tempo em que os fluxos foram registrados. Siga a documentação para habilitar o log de rastreamento de fluxo e detalhes sobre como ele é registrado.

 Sim No Consultas Sim
AZFWFqdnResolveFailure Falha na resolução de FQDN do Firewall do Azure Não No Sim
AZFWIdpsSignature Assinatura LDPS do Firewall do Azure AZFWIdpsSignature

Contém todos os pacotes do plano de dados que foram correspondidos com uma ou mais assinaturas IDPS.

 Não Não Consultas Sim
AZFWNatRule Regra NAT do Firewall do Azure AZFWNatRule

Contém todos os dados de log de eventos DNAT (Destination Network Address Translation). Cada correspondência entre o plano de dados e a regra DNAT cria uma entrada de log com o pacote do plano de dados e os atributos da regra correspondente.

 Não Não Consultas Sim
AZFWNatRuleAggregation Agregação de regra NAT do Firewall do Azure (Análise de Política) AZFWNatRuleAggregation

Contém dados de log de regras NAT agregados para análise de políticas.

 Não No Sim
AZFWNetworkRule Regra de Rede de Firewall do Azure AZFWNetworkRule

Contém todos os dados de log da Regra de Rede. Cada correspondência entre o plano de dados e a regra de rede cria uma entrada de log com o pacote do plano de dados e os atributos da regra correspondente.

 Não Não Consultas Sim
AZFWNetworkRuleAggregation Agregação de regra de aplicativo do Firewall do Azure (Análise de Policy) AZFWNetworkRuleAggregation

Contém dados agregados de log de regras de rede para o Policy Analytics.

 Não No Sim
AZFWThreatIntel Inteligência contra ameaças do Firewall do Azure AZFWThreatIntel

Contém todos os eventos de Inteligência contra Ameaças.

 Não Não Consultas Sim
AzureFirewallApplicationRule Regra de aplicativo do Firewall do Azure (Diagnóstico do Azure herdado) AzureDiagnostics

Logs de vários recursos do Azure.

 Não Não Consultas Não
AzureFirewallDnsProxy Proxy DNS do Firewall do Azure (Diagnóstico do Azure herdado) AzureDiagnostics

Logs de vários recursos do Azure.

 Não Não Consultas Não
AzureFirewallNetworkRule Regra de rede do Firewall do Azure (Diagnóstico do Azure herdado) AzureDiagnostics

Logs de vários recursos do Azure.

 Não Não Consultas Não

O Firewall do Azure tem dois novos logs de diagnóstico que você pode usar para ajudar a monitorar o seu firewall:

  • Principais fluxos
  • Rastreamento de fluxo

Principais fluxos

O log de fluxos principais é conhecido no setor como log de fluxo de gordura e, na tabela anterior, como Log de Fluxo de Gordura do Firewall do Azure. O log de fluxos principais mostra as principais conexões que estão contribuindo para a maior taxa de transferência por meio do firewall.

Dica

Só ative os logs de Principais fluxos ao solucionar um problema específico, para evitar o uso excessivo da CPU por parte do Firewall do Azure.

A taxa de fluxo é definida como a taxa de transmissão de dados em unidades de megabits por segundo. É uma medida da quantidade de dados digitais que podem ser transmitidos por uma rede em um período de tempo por meio do firewall. O protocolo Principais Fluxos é executado periodicamente a cada três minutos. O limite mínimo para ser considerado um Fluxo Principal é de 1 Mbps.

Habilite o log de fluxos principais usando os seguintes comandos do Azure PowerShell:

Set-AzContext -SubscriptionName <SubscriptionName>
$firewall = Get-AzFirewall -ResourceGroupName <ResourceGroupName> -Name <FirewallName>
$firewall.EnableFatFlowLogging = $true
Set-AzFirewall -AzureFirewall $firewall

Para desabilitar os logs, use o mesmo comando anterior do Azure PowerShell e defina o valor como False.

Por exemplo:

Set-AzContext -SubscriptionName <SubscriptionName>
$firewall = Get-AzFirewall -ResourceGroupName <ResourceGroupName> -Name <FirewallName>
$firewall.EnableFatFlowLogging = $false
Set-AzFirewall -AzureFirewall $firewall

Existem algumas maneiras de verificar se a atualização foi bem-sucedida, mas você pode ir para a Visão Geral do firewall e selecionar o Modo de exibição JSON no canto superior direito. Aqui está um exemplo:

Captura de tela do JSON mostrando uma verificação de log adicional.

Para criar uma configuração de diagnóstico e habilitar a Tabela Específica do Recurso, consulte Criar configurações de diagnóstico no Azure Monitor.

Os logs do firewall mostram o tráfego através do firewall na primeira tentativa de uma conexão TCP, conhecida como pacote SYN . No entanto, essa entrada não mostra a jornada completa do pacote no handshake TCP. Como resultado, será difícil solucionar problemas se um pacote for removido ou se um roteamento assimétrico tiver ocorrido. O Log de Rastreamento de Fluxo do Firewall do Azure aborda essa preocupação.

Dica

Para evitar o uso excessivo de disco causado pelos logs de Rastreamento de fluxo no Firewall do Azure com muitas conexões de curta duração, só ative os logs ao solucionar um problema específico para fins de diagnóstico.

As seguintes propriedades podem ser adicionadas:

  • SYN-ACK: Sinalizador ACK que indica a confirmação do pacote SYN.

  • FIN: sinalizador concluído do fluxo de pacotes original. Nenhum dado é transmitido no fluxo TCP.

  • FIN-ACK: Sinalizador ACK que indica a confirmação do pacote FIN.

  • RST: O sinalizador Redefinir indica que o remetente original não recebe mais dados.

  • INVALID (fluxos): indica que o pacote não pode ser identificado ou não tem nenhum estado.

    Por exemplo:

    • Um pacote TCP chega em uma instância dos Conjuntos de Dimensionamento de Máquinas Virtuais, que não tem nenhum histórico anterior desse pacote
    • Pacotes CheckSum incorretos
    • A entrada da tabela Acompanhamento de Conexão está cheia e novas conexões não podem ser aceitas
    • Pacotes ACK excessivamente atrasados

Habilite o log de rastreamento de fluxo usando os seguintes comandos do Azure PowerShell ou navegue no portal e pesquise Habilitar Log de Conexão TCP:

Connect-AzAccount 
Select-AzSubscription -Subscription <subscription_id> or <subscription_name>
Register-AzProviderFeature -FeatureName AFWEnableTcpConnectionLogging -ProviderNamespace Microsoft.Network
Register-AzResourceProvider -ProviderNamespace Microsoft.Network

Pode levar vários minutos para que essa alteração entre em vigor. Depois que o recurso for registrado, considere a execução de uma atualização no Firewall do Azure para que a alteração entre em vigor imediatamente.

Para verificar o status do registro do AzResourceProvider, você pode executar o comando do Azure PowerShell:

Get-AzProviderFeature -FeatureName "AFWEnableTcpConnectionLogging" -ProviderNamespace "Microsoft.Network"

Para desabilitar o log, você pode cancelar o registro dele usando o comando a seguir ou selecionar Cancelar Registro no exemplo anterior do portal.

Unregister-AzProviderFeature -FeatureName AFWEnableTcpConnectionLogging -ProviderNamespace Microsoft.Network

Para criar uma configuração de diagnóstico e habilitar a Tabela Específica do Recurso, consulte Criar configurações de diagnóstico no Azure Monitor.

Tabelas de Logs do Azure Monitor

Esta seção lista todas as tabelas dos Logs do Azure Monitor relevantes para este serviço e disponíveis para consulta pela análise de logs usando o Kusto. As tabelas contêm dados de log de recursos e possivelmente mais, dependendo do que é coletado e roteado para elas.

Azure Firewall Microsoft.Network/azureFirewalls

Log de atividades

A tabela vinculada lista as operações que podem ser registradas no log de atividades desse serviço. Essas operações são um subconjunto de todas as operações do provedor de recursos possíveis no log de atividades.

Para obter mais informações sobre o esquema de entradas do log de atividades, confira Esquema do log de atividades.

Conteúdo relacionado