Monitoramento e observabilidade de rede

Este artigo explica como monitorar, diagnosticar e solucionar problemas nos recursos de rede do Azure usando as ferramentas do Observador de Rede, logs de fluxo, Traffic Analytics e Network Insights do Azure Monitor. Use essas diretrizes para planejar uma estratégia de observabilidade de rede que dê visibilidade aos padrões de tráfego, à integridade da conectividade e aos eventos de segurança.

O que este artigo aborda

O monitoramento de rede em Azure abrange diagnóstico, visibilidade do fluxo, teste de conectividade e painéis operacionais. Azure fornece ferramentas criadas com finalidade em diferentes camadas da pilha de monitoramento:

  • Diagnóstico e solução de problemas: Identifique por que um pacote específico é permitido ou negado, rastreie a rota que um pacote usa e capture o tráfego para análise profunda.
  • Visibilidade do fluxo: Registre metadados sobre cada fluxo de rede em suas redes virtuais para investigação de segurança, conformidade e planejamento de capacidade.
  • Monitoramento de conectividade: Teste continuamente a acessibilidade entre pontos de extremidade (Azure, locais e externos) e alerta quando a conectividade é degradada.
  • Painéis operacionais: Visualize a topologia, a integridade e as métricas de rede entre assinaturas sem implantar agentes.

Este artigo aborda as ferramentas que abordam cada camada e ajuda você a escolher a combinação certa para seu ambiente.

Quem precisa deste artigo

Leia este artigo se uma ou mais dessas condições se aplicarem:

  • Você precisa de visibilidade sobre tráfego de rede, integridade da conectividade, decisões de roteamento ou eventos de segurança no Azure.
  • Você precisa de ferramentas para solucionar problemas de filtragem de pacotes, próximos saltos, integridade do túnel ou falhas de conectividade inesperadas.
  • Você precisa de logs de fluxo, análise de tráfego ou painéis para investigações de segurança, planejamento de capacidade ou operações.
  • Você precisa de monitoramento contínuo para caminhos de rede no Azure, locais ou entre nuvens.

Tip

Seguindo um cenário específico? Selecione seu cenário na parte superior da página para obter diretrizes personalizadas. As diretrizes principais a seguir se aplicam a todos os leitores.

Foco em migração direta: configure o monitoramento após estabelecer sua linha de base de migração. Você precisa de observabilidade de rede para validar que a conectividade funciona conforme o esperado, o desempenho atende aos seus requisitos e os padrões de tráfego correspondem à documentação de pré-migração. Observador de Rede fornece visibilidade imediata sobre se suas cargas de trabalho migradas podem alcançar suas dependências.

Foco da modernização: O monitoramento faz parte da arquitetura-alvo, não é algo pensado só depois. A preparação para a produção requer a observabilidade da rede desde o primeiro dia. Suas cargas de trabalho do AKS e do Ambiente de Serviço de Aplicativos (ASE) geram padrões de tráfego complexos em vários spokes, regiões e pontos de extremidade privados que você deve monitorar proativamente.

Foco em nuvem cruzada: o monitoramento é essencial porque ambientes de nuvem cruzada são operacionalmente mais difíceis de solucionar problemas. Quando o tráfego cruza túneis VPN criptografados entre Azure e a AWS ou o Google Cloud, você perde a visibilidade no limite do túnel. Você precisa de ferramentas de monitoramento no lado Azure para detectar aumentos de latência, perda de pacotes e falhas de conectividade entre limites de nuvem.

Azure serviços e recursos

A tabela a seguir descreve as principais ferramentas de monitoramento e diagnóstico disponíveis no Azure rede.

Tool O que ele fornece Quando usar isso
Observador de Rede Serviço de plataforma que fornece recursos de diagnóstico, monitoramento e logs para redes virtuais do Azure. Habilitado automaticamente por região quando você cria uma rede virtual. Ponto de partida para qualquer solução de problemas de rede. Use a verificação de fluxo de IP, o próximo salto e a captura de pacotes para diagnóstico em tempo real.
Logs de fluxo de VNet Registre metadados (origem, destino, porta, protocolo, ação) para todo o tráfego que flui por meio de uma rede virtual. Avalia as regras NSG e as regras de administrador de segurança Gerenciador de Rede Virtual do Azure. Habilite todas as redes virtuais de produção para investigação de segurança, auditoria de conformidade e planejamento de capacidade. Substitui os logs de fluxo do NSG.
Logs de fluxo do NSG (desativados) Registre as decisões de tráfego tomadas por grupos de segurança de rede no nível da sub-rede ou da NIC. Apenas para implantações legadas. Migre para logs de fluxo de VNet antes de 30 de setembro de 2027. Nenhum novo registro de fluxo NSG poderá ser criado após 30 de junho de 2025.
Análise de Tráfego Agrega e visualiza dados de log de fluxo em um espaço de trabalho do Log Analytics. Mostra padrões de tráfego, os principais comunicadores, portas abertas e a distribuição geográfica dos fluxos. Obtenha visibilidade operacional dos dados de log de fluxo sem gravar consultas personalizadas. Identifique anomalias e riscos de segurança em toda a rede.
Monitor de Conexão Testa continuamente a conectividade entre endpoints de origem e destino usando sondas TCP, ICMP ou HTTP. Dá suporte Azure VMs, hosts locais (via Azure Arc) e URLs externas. Monitore a conformidade do SLA para conexões híbridas, detecte regressões de conectividade e valide se as regras de firewall permitem o tráfego esperado.
Captura de pacotes Captura pacotes de e para uma máquina virtual sem exigir acesso à VM. Armazena capturas em uma conta de armazenamento ou localmente na VM. Análise profunda de pacotes durante investigações de segurança ou ao diagnosticar problemas de conectividade de camada de aplicativo.
Verificação de fluxo de IP Testa se um pacote específico é permitido ou negado, avaliando as regras do NSG e as regras de administração de segurança do AVNM para uma tupla de cinco elementos (IP de origem, IP de destino, porta de origem, porta de destino, protocolo). Solucione por que uma VM não pode chegar a um destino ou por que o tráfego está bloqueado inesperadamente. Obtenha resultados imediatos sem captura de pacotes.
Próximo Salto Mostra o tipo do próximo salto e o endereço IP do tráfego que sai de uma interface de rede específica. Avalia rotas efetivas, incluindo rotas definidas pelo usuário, rotas BGP e rotas do sistema. Diagnosticar o roteamento assimétrico, verificar se o tráfego flui por meio de uma solução de virtualização de rede esperada ou identificar por que o tráfego está sendo descartado.
Informações de Rede do Azure Monitor Fornece uma exibição de topologia completa e métricas de integridade para todos os recursos de rede implantados sem a necessidade de instalação do agente ou configuração adicional. Painéis operacionais que mostram a integridade do recurso, as métricas e as dependências entre assinaturas, grupos de recursos e regiões.

Como escolher

Diagrama mostrando o fluxo de decisão da ferramenta de monitoramento, com o Observador de Rede se ramificando em diagnósticos, logs de fluxo, monitoramento de conectividade e painéis operacionais.

Comece com Observador de Rede para solução de problemas

Observador de Rede é sua primeira parada para diagnosticar problemas de conectividade. Ele é habilitado automaticamente em todas as regiões em que você tem uma rede virtual. Não há nenhuma configuração adicional necessária.

Use a seguinte abordagem ao solucionar problemas:

  1. Verificação do fluxo de IP: Verifique se o tráfego é permitido ou negado e localize a regra responsável por essa decisão. Essa ferramenta faz testes em relação às regras de NSG e às regras de administrador de segurança do Gerenciador de Rede Virtual do Azure (AVNM).
  2. Próximo Salto: Confirme o caminho de roteamento e identifique se o tráfego atinge o próximo salto pretendido (Internet, gateway de rede virtual, NVA ou nenhum).
  3. Captura de pacotes: Se a Verificação de Fluxo de IP e o Próximo Salto não revelarem o problema, capture pacotes para análise no nível do protocolo.

Criar visibilidade com logs de fluxo

Depois de estabelecer recursos de diagnóstico, ative o log de fluxo para visibilidade contínua:

  1. Habilite os logs de fluxo da VNet em todas as redes virtuais de produção. Os logs de fluxo da VNet registram o tráfego de toda a rede virtual, portanto, você não precisa configurar logs em vários níveis de NSG. Essa abordagem também evita registros duplicados.
  2. Habilite a Análise de Tráfego para agregar dados de fluxo em dashboards nos quais você pode agir. A Análise de Tráfego requer um espaço de trabalho do Log Analytics. Use um workspace em qualquer região com suporte sem incorrer em encargos extras de transferência de dados.
  3. Defina políticas de retenção com base em seus requisitos de conformidade. Os registros de log de fluxo armazenados no Armazenamento do Azure seguem as políticas de gerenciamento do ciclo de vida da conta de armazenamento.

Adicionar monitoramento contínuo para caminhos críticos de SLA

Para conexões em que o tempo de inatividade tem impacto nos negócios:

  1. Implantar testes do Monitor da Conexão entre VMs do Azure, pontos de extremidade locais e URLs externos.
  2. Configure alertas a serem disparados quando os limites de latência, perda de pacote ou alcance forem excedidos.
  3. Use o Network Insights para uma exibição de topologia que correlaciona as métricas de integridade em toda a rede sem implantar agentes extras.

Resumo da decisão

Necessidade de monitoramento Ferramenta primária Dá suporte a híbridos Requer agente
"Por que esse pacote está bloqueado?" Verificação de fluxo de IP No No
"Para onde vai esse tráfego?" Próximo Salto No No
"O que aconteceu na última hora?" Captura de pacotes No No
"Qual é o padrão de tráfego em minha VNet?" Logs de fluxo de VNet + Análise de Tráfego No No
Minha conexão híbrida está saudável? Monitor da Conexão Sim (Azure Arc) Sim (somente origem)
Qual é a saúde geral da minha rede? Análises de rede Parcial No

Considerações sobre o design

Sua prioridade de monitoramento é a validação de linha de base após a migração. Concentre-se em confirmar se as cargas de trabalho migradas conseguem alcançar suas dependências e se o desempenho atende às expectativas.

  • Observador de Rede para validar a conectividade: Use o IP Flow Verify e o Next Hop para confirmar que as regras de NSG e as tabelas de rotas permitem o tráfego de que seus aplicativos migrados precisam. Execute essas verificações sistematicamente para cada carga de trabalho migrada.
  • Logs de fluxo de VNet para padrões de tráfego de referência: habilite os logs de fluxo de VNet em redes virtuais de produção para capturar os padrões de tráfego reais de suas cargas de trabalho migradas. Compare os dados de fluxo com a documentação de pré-migração para verificar se todos os caminhos de comunicação esperados estão funcionando.
  • Monitor da Conexão para caminhos híbridos: implante testes Monitor da Conexão entre Azure VMs e pontos de extremidade locais para validar continuamente que as conexões VPN ou ExpressRoute mantêm latência e disponibilidade aceitáveis.
  • Monitoramento avançado postergado: Configure o Traffic Analytics e alertas avançados depois que a migração inicial estiver estável. Comece com as ferramentas de diagnóstico para validar a conectividade antes de investir em painéis operacionais de longo prazo.

Sua estratégia de monitoramento oferece suporte a cargas de trabalho de produção desde a primeira implantação. Clusters do AKS, Ambientes do Serviço de Aplicativo e arquiteturas multirregionais ativas-ativas exigem observabilidade completa.

  • Logs de fluxo de VNet em todos os spokes: habilite os logs de fluxo de VNet em todas as redes virtuais spoke. Suas cargas de trabalho em contêineres geram padrões de tráfego que abrangem várias sub-redes e pontos de extremidade privados em cada spoke.
  • Análise de Tráfego para visibilidade operacional: implante a Análise de Tráfego com um espaço de trabalho do Log Analytics para agregar dados de fluxo em todos os spokes. Os operadores de rede usam painéis do Análise de Tráfego para identificar os principais usuários, fluxos anômalos e tendências de capacidade em toda a infraestrutura.
  • Responsabilidade de monitoramento da equipe de aplicativo: As equipes de aplicativos monitoram suas próprias cargas de trabalho (métricas do AKS, diagnóstico do ASE). A equipe central de operações de rede monitora a infraestrutura compartilhada: firewalls dos hubs, gateways de VPN, links de peering e conectividade entre regiões.
  • Monitor da Conexão para ambiente multirregional: Implante testes do Monitor da Conexão entre regiões para validar continuamente se a conectividade entre hubs atende aos requisitos do seu SLA ativo-ativo. Configure alertas para aumentos de latência que possam indicar alterações de congestionamento ou roteamento de backbone.
  • Monitor da Conexão para desempenho de ponta a ponta: Use o Monitor da Conexão para acompanhar o desempenho de ponta a ponta em sua topologia hub-spoke, incluindo o tráfego que atravessa o Firewall do Azure em cada hub regional. O Monitor da Conexão substitui o Monitor de Desempenho de Rede, agora obsoleto, e fornece visualizações unificadas da topologia em saltos entre o Azure, ambientes locais e a Internet.

Os ambientes entre nuvens apresentam desafios de monitoramento exclusivos porque você perde a visibilidade no limite do túnel VPN. O tráfego que entra em um túnel IPsec para a AWS ou o Google Cloud desaparece do monitoramento no lado do Azure até que uma resposta seja recebida.

  • Monitoramento de tráfego entre nuvens: Habilite os logs de fluxo da VNet na rede virtual que hospeda seu hub Gateway de VPN ou WAN Virtual. Esses logs capturam o tráfego entrando e saindo dos túneis entre nuvens, oferecendo dados volumetricos e distribuição de protocolo para comunicação entre nuvens.
  • Medição de latência: Implante testes do Monitor da Conexão de VMs do Azure para pontos de extremidade na AWS ou no Google Cloud. Use sondas ICMP ou TCP para medir a latência de ida e volta através dos túneis criptografados. Defina limites de alerta com base nos requisitos do aplicativo.
  • Solução de problemas de túneis criptografados: Quando a conectividade entre nuvens falhar, use os recursos Próximo Salto e Verificação de Fluxo de IP do Observador de Rede para confirmar se o roteamento no lado do Azure e as regras do NSG ainda direcionam o tráfego em direção ao Gateway de VPN. Os logs de diagnóstico do Gateway de VPN mostram o status da negociação IKE e a integridade do túnel.
  • Monitorando ambos os lados: Azure monitoramento abrange o lado Azure da conectividade entre nuvens. Coordene com a configuração do AWS CloudWatch ou do Google Cloud Monitoring para obter visibilidade de ponta a ponta. Alerta sobre alterações no estado do túnel de ambos os provedores.
  • Observador de Rede como ponto de partida: use o diagnóstico de Observador de Rede para isolar se as falhas de conectividade se originam no lado Azure (regras NSG, tabelas de rotas, configuração de gateway) ou no lado remoto (regras de firewall do AWS ou do Google Cloud, configuração de VPN).

Monitorar os custos de rede

A rede é um custo recorrente que o monitoramento deve tornar visível. Use Gerenciamento de Custos da Microsoft para identificar quais recursos impulsionam seus gastos de rede. Os dados processados pelo Firewall do Azure, unidades de escala do gateway, endereços IP públicos, transferência de dados inter-regional e emparelhamento global e ingestão do Log Analytics são contribuintes comuns. Filtre a análise de custos pelo provedor de recursos Microsoft.Network, agrupe por recurso e defina alertas de orçamento para que aumentos inesperados (por exemplo, um aumento no tráfego de replicação entre regiões) sejam identificados cedo. Correlacione picos de custo com logs de fluxo e Análise de Tráfego para encontrar os padrões de tráfego subjacentes.

Pré-requisitos

Antes de implementar o monitoramento de rede, verifique se você atende aos seguintes requisitos:

  • Observador de Rede habilitado: Observador de Rede é habilitado automaticamente por região quando você cria ou atualiza uma rede virtual. Se sua organização optou por não habilitar automaticamente, habilite Observador de Rede manualmente para cada região necessária. Cancelar a participação exige uma solicitação ao Suporte do Azure para reverter isso.
  • Espaço de trabalho do Log Analytics: necessário para Análise de Tráfego e Monitor da Conexão. O workspace pode estar em qualquer região com suporte. Nenhum encargo extra de transferência de dados entre regiões se aplica.
  • Conta de armazenamento: Necessário para o armazenamento de log de fluxo e a saída de captura de pacotes. Use regras de gerenciamento de ciclo de vida para controlar a retenção e o custo.
  • Agente do Azure Arc (somente híbrido): necessário em máquinas locais que servem como pontos de extremidade de origem do Monitor da Conexão . Os terminais de destino não exigem um agente. Monitore qualquer URL, FQDN ou endereço IP.
  • Logs de fluxo de VNet substituindo logs de fluxo de NSG: se você usa logs de fluxo de NSG atualmente, planeje sua migração para logs de fluxo de VNet antes da data de desativação.

Migração de logs de fluxo de NSG para logs de fluxo de VNet

Importante

Os logs de fluxo de NSG serão desativados em 30 de setembro de 2027. Você não pode criar novos logs de fluxo do NSG após 30 de junho de 2025. Migre para logs de fluxo de VNet para manter a visibilidade do tráfego.

Os logs de fluxo da VNet fornecem os mesmos recursos que os logs de fluxo do NSG, além de:

  • Cobertura de todo o tráfego em uma rede virtual, incluindo o tráfego que os NSGs não processam
  • Avaliação de regras de administrador de segurança Gerenciador de Rede Virtual do Azure
  • Avaliação do status de criptografia de VNet
  • Escopo simplificado: não é necessário configurar logs nos níveis de sub-rede e de NIC (placa de interface de rede)
  • Nenhum registro de log duplicado

Passos de migração:

  1. Identifique todas as redes virtuais com logs de fluxo NSG ativos.
  2. Habilite os logs de fluxo de VNet em cada rede virtual com a mesma conta de armazenamento de destino e configuração do Análise de Tráfego.
  3. Verifique se os dados de log de fluxo da VNet são exibidos na Análise de Tráfego.
  4. Desative os logs de fluxo do NSG para evitar a gravação duplicada e os custos de armazenamento desnecessários.

Tip

Desative os logs de fluxo de NSG após confirmar que os logs de fluxo de VNet estão sendo gravados corretamente. Executar ambos simultaneamente cria registros duplicados e dobra os custos de armazenamento.

Azure fornece um script de migração e um caminho Azure Policy para a migração automatizada em escala.

Considerações de segurança

Proteja os dados de monitoramento e controle o acesso às ferramentas de diagnóstico. As subseções a seguir abrangem confidencialidade de dados, retenção, segurança de investigação e acesso baseado em função.

Confidencialidade de dados do log de fluxo

Os registros de log de fluxo contêm metadados sobre todo o tráfego de rede, incluindo endereços IP de origem e destino, portas, protocolos e ações. Trate os dados do log de fluxo como confidenciais:

  • Armazene logs de fluxo em uma conta de armazenamento com controles de acesso e criptografia apropriados.
  • Limite o acesso ao espaço de trabalho do Log Analytics que recebe dados do Traffic Analytics usando o Azure RBAC.
  • Aplique o princípio de privilégio mínimo: os operadores de rede podem precisar de painéis da Análise de Tráfego, mas não de acesso bruto ao log de fluxo.

Retenção de dados de diagnóstico

  • Defina políticas de retenção com base nos requisitos de conformidade da sua organização, como PCI DSS, HIPAA ou SOC 2.
  • Use o gerenciamento do ciclo de vida do Armazenamento do Azure para arquivar ou excluir automaticamente os dados do log de fluxo após o período de retenção necessário.
  • Monitore os custos da conta de armazenamento. Redes de alta taxa de transferência geram grandes volumes de dados de log de fluxo.

segurança do Monitor da Conexão

  • O tráfego de sondagem do Monitor da Conexão se origina da infraestrutura do Azure. Verifique se as regras de NSG permitem os intervalos de origem da sonda (use a tag de serviço AzureMonitor para simplificar).
  • Para fontes locais, o agente Azure Arc mantém uma conexão segura com Azure. Siga as políticas de segurança do agente da sua organização.

controle de acesso do Observador de Rede

As operações do Observador de Rede exigem funções específicas do RBAC do Azure. Siga o princípio do privilégio mínimo:

Função Capabilities
Colaborador de rede Acesso completo ao Observador de Rede, incluindo captura de pacotes e configuração de logs de fluxo
Leitor Exibir recursos Observador de Rede e topologia
Função personalizada Escopo para operações específicas (Verificação de Fluxo IP, Próximo Salto) sem acesso total de colaborador

Saiba mais

Próximas Etapas 

Tip

Terminou de explorar? Você chegou ao final do guia principal de design de rede do Azure. Retorne ao navegador de visão geral para revisitar qualquer área de funcionalidade ou continuar a Gerenciador de Rede Virtual do Azure para o gerenciamento de rede centralizado em várias redes virtuais.

Você concluiu o processo de migração de rede. Agora você tem uma topologia hub-and-spoke com conectividade híbrida VPN/ExpressRoute, Firewall do Azure centralizado para tráfego leste-oeste e de saída, Bastion para acesso administrativo seguro e Observador de Rede monitorando a baseline da migração.

Se seus requisitos aumentaram, reveja os artigos condicionais em seu guia de cenário para entrada da Internet, WAF, DDoS e opções multirregionais.

Gerenciamento de rede centralizado. Opcional: Se a sua migração criou um ambiente com várias VNets, use o Gerenciador de Rede Virtual do Azure para governança centralizada.

Retorne à visão geral: explore outras funcionalidades ou examine sua arquitetura.

Você concluiu a trilha de modernização de redes. Agora você tem uma arquitetura multirregional de dois hubs, com o Front Door ou o Traffic Manager para entrada global de tráfego, o Link Privado para conectividade segura com PaaS, segurança em camadas por meio do Firewall do Azure e do WAF, e monitoramento de ponta a ponta em todas as camadas da sua aplicação.

Se seus requisitos forem além da pilha essencial, consulte os artigos suplementares no seu guia de cenários para obter recursos avançados de rede, como failover entre regiões e camadas de segurança adicionais.

Gerenciamento de rede centralizado. Opcional: Se o seu ambiente se estende por várias assinaturas e equipes, use o Gerenciador de Rede Virtual do Azure para o gerenciamento centralizado de políticas.

Retorne à visão geral: explore outras funcionalidades ou examine sua arquitetura.

Você concluiu o caminho de rede entre nuvens. Agora você tem equivalência de Gateway de Trânsito por meio do WAN Virtual do Azure, túneis VPN conectando suas VPCs da AWS e do Google Cloud ao Azure, migração de DNS com o Resolvedor de DNS Privado para resolução de nomes entre nuvens e inspeção segura de hub virtual para todo o tráfego entre nuvens.

Se seus requisitos forem além, consulte os artigos condicionais no seu guia de cenários para obter opções de entrada na Internet, WAF, DDoS e multirregião.

Gerenciamento de rede centralizado. Opcional: se o lado do Azure se tornar um ambiente multissubscrição gerenciado, use o Gerenciador de Rede Virtual do Azure para gerenciamento centralizado.

Retorne à visão geral: explore outras funcionalidades ou examine sua arquitetura.

  • Last updated on