Наблюдатель за сетями часто задаваемые вопросы (вопросы и ответы)

Наблюдатель за сетями предоставляет набор средств для мониторинга, диагностики, просмотра метрик и включения или отключения журналов для ресурсов IaaS (инфраструктура как услуга), которые включают виртуальные машины, виртуальные сети, шлюзы приложений, подсистемы балансировки нагрузки и другие ресурсы в виртуальной сети Azure. Это не решение для мониторинга инфраструктуры PaaS (платформа как услуга) или получения веб-аналитики или мобильных устройств.

Наблюдатель за сетями предоставляет три основных набора возможностей:

• Контроль
  • В представлении топологии отображаются ресурсы в виртуальной сети и связи между ними.
  • Монитор подключений позволяет отслеживать подключение и задержку между конечными точками внутри и за пределами Azure.
• Средства диагностики сети
  • Проверка IP-потока позволяет обнаруживать проблемы с фильтрацией трафика на уровне виртуальной машины.
  • NSG диагностика позволяет обнаруживать проблемы с фильтрацией трафика на уровне виртуальной машины, масштабируемого набора виртуальных машин или шлюза приложений.
  • Следующий прыжок помогает проверить маршруты трафика и обнаружить проблемы с маршрутизацией.
  • Устранение неполадок подключения обеспечивает однократную проверку подключения и задержки между виртуальной машиной и узлом Бастиона, шлюзом приложений или другой виртуальной машиной.
  • Запись пакетов позволяет записывать трафик виртуальной машины.
  • Устранение неполадок VPN выполняет несколько проверок диагностика vpn-шлюзов и подключений для отладки проблем.
• Движение
  • Журналы потоков группы безопасности сети и журналы потоков виртуальной сети позволяют регистрировать сетевой трафик, проходящий через группы безопасности сети (NSG) и виртуальные сети соответственно.
  • Аналитика трафика обрабатывает данные журнала потоков группы безопасности сети, позволяющие визуализировать, запрашивать, анализировать и анализировать сетевой трафик.

Дополнительные сведения см. в Наблюдатель за сетями обзоре.

См. Наблюдатель за сетями цены на различные компоненты Наблюдатель за сетями.

Ознакомьтесь с Наблюдатель за сетями регионами, чтобы узнать о регионах, поддерживающих Наблюдатель за сетями.

Подробный список необходимых разрешений для каждой возможности Наблюдатель за сетями см. в разрешениях Azure RBAC, необходимых для использования Наблюдатель за сетями.

Служба Наблюдатель за сетями автоматически включена для каждой подписки. Вы должны вручную включить Наблюдатель за сетями, если вы отказались от автоматического включения Наблюдатель за сетями. Дополнительные сведения см. в статье "Включение или отключение Azure Наблюдатель за сетями".

Родительский ресурс Наблюдателя за сетями развертывается с использованием уникального экземпляра в каждом регионе. Формат именования по умолчанию: NetworkWatcher_RegionName. Пример: NetworkWatcher_centralus — это ресурс Наблюдателя за сетями для региона "Центральная часть США". Имя экземпляра Наблюдатель за сетями можно настроить с помощью PowerShell или REST API.

Наблюдатель за сетями необходимо включить один раз в каждом регионе для каждой подписки, чтобы ее функции работали. Наблюдатель за сетями включен в регионе путем создания экземпляра Наблюдатель за сетями в этом регионе.

Ресурс Наблюдатель за сетями представляет серверную службу для Наблюдатель за сетями, которая полностью управляется Azure. Однако можно создать или удалить ресурс Наблюдатель за сетями, чтобы включить или отключить его в определенном регионе. Дополнительные сведения см. в статье "Включение или отключение Azure Наблюдатель за сетями".

Нет, перемещение Наблюдатель за сетями ресурса или любого дочернего ресурса в разных регионах не поддерживается. Дополнительные сведения см. в разделе "Поддержка операций перемещения для сетевых ресурсов".

Да, поддерживается перемещение ресурсов Наблюдатель за сетями между группами ресурсов. Дополнительные сведения см. в разделе "Поддержка операций перемещения для сетевых ресурсов".

NetworkWatcherRG — это группа ресурсов, которая автоматически создается для Наблюдатель за сетями ресурсов. Например, в группе ресурсов NetworkWatcherRG создаются Наблюдатель за сетями региональные экземпляры и ресурсы журнала потоков группы безопасности сети. Вы можете настроить имя группы ресурсов Наблюдатель за сетями с помощью PowerShell, Azure CLI или REST API.

Azure Наблюдатель за сетями не хранит данные клиентов, за исключением монитора подключений. Монитор подключений хранит данные клиента, которые автоматически хранятся Наблюдатель за сетями в одном регионе для удовлетворения требований к месту расположения данных в регионе.

Наблюдатель за сетями имеет следующие ограничения:

Да, служба Наблюдатель за сетями по умолчанию устойчива к зонам.

Настройка не требуется для включения устойчивости зоны. Устойчивость в пределах зоны для ресурсов Наблюдателя за сетями доступна по умолчанию и находится под управлением самой службой.

Агент Наблюдатель за сетями необходим для любой функции Наблюдатель за сетями, которая создает или перехватывает трафик из виртуальной машины.

Функции отслеживания пакетов, устранения неполадок подключения и монитора подключений требуют наличия расширения Наблюдатель за сетями.

Последняя версия расширения 1.4.3422.1Наблюдатель за сетями . Дополнительные сведения см. в статье об обновлении расширения Azure Наблюдатель за сетями до последней версии.

• Linux: агент Наблюдатель за сетями использует доступные порты, начиная с port 50000 его достиженияport 65535.
• Windows: агент Наблюдатель за сетями использует порты, с которыми отвечает операционная система при запросе доступных портов.

Агент Наблюдатель за сетями требует исходящего TCP-подключения для 169.254.169.254 перебора и 168.63.129.16 перебора port 80 port 8037. Агент использует эти IP-адреса для взаимодействия с платформой Azure.

Нет, монитор подключений не поддерживает классические виртуальные машины. Дополнительные сведения см. в статье Перенос ресурсов IaaS из классической модели в модель Azure Resource Manager.

Топология может быть украшена из Azure, отличной от Azure, только если целевой ресурс Azure и ресурс монитора подключений находятся в одном регионе.

Одну и ту же виртуальную машину Azure нельзя использовать с разными конфигурациями в одном мониторе подключений. Например, использование одной виртуальной машины с фильтром и без фильтра в одном мониторе подключений не поддерживается.

Проблемы, отображаемые на панели мониторинга монитора подключений, обнаруживаются во время обнаружения топологии или просмотра прыжков. В некоторых случаях пороговое значение, заданное для % потери или RTT, достигается, но проблемы не найдены при прыжках.

В мониторе подключений (классическом) отсутствует параметр выбора протокола. Тесты в мониторе подключений (классический) используют только протокол TCP, поэтому во время миграции мы создадим конфигурацию TCP в тестах в новом мониторе подключения.

В настоящее время существует региональная граница, когда конечная точка использует агенты Azure Monitor и Arc с связанной рабочей областью Log Analytics. В результате этого ограничения связанная рабочая область Log Analytics должна находиться в том же регионе, что и конечная точка Arc. Данные, которые принимаются в отдельные рабочие области, можно объединить для единого представления, см. в статье "Запрос данных" в рабочих областях, приложениях и ресурсах Log Analytics в Azure Monitor.

Журналы потоков позволяют регистрировать данные потока 5 кортежей о IP-трафике Azure, который проходит через группу безопасности сети или виртуальную сеть Azure. Необработанные журналы потоков записываются в учетную запись хранения Azure. Оттуда можно дополнительно обрабатывать, анализировать, запрашивать или экспортировать их по мере необходимости.

Данные журнала потоков собираются вне пути сетевого трафика, поэтому он не влияет на пропускную способность сети или задержку. Вы можете создавать и удалять журналы потоков без риска, что они скажутся на производительности сети.

Журналы потоков группы безопасности сети записывают трафик журнала, проходящий через группу безопасности сети. С другой стороны, NSG диагностика возвращает все группы безопасности сети, которые выполняет трафик, и правила каждой группы безопасности сети, применяемой к этому трафику. Используйте группу безопасности сети диагностика, чтобы убедиться, что правила группы безопасности сети применяются должным образом.

Нет, журналы потоков группы безопасности сети не поддерживают протоколы ESP и AH.

Нет, журналы потоков группы безопасности сети и журналы потоков виртуальной сети не поддерживают протокол ICMP.

Да. Связанный ресурс журнала потоков также будет удален. Данные журнала потоков хранятся в учетной записи хранения за период хранения, настроенный в журнале потоков.

Да, но необходимо удалить связанный ресурс журнала потоков. После переноса группы безопасности сети можно повторно создать журналы потоков, чтобы включить ведение журнала потоков.

Да, вы можете использовать учетную запись хранения из другой подписки, если эта подписка находится в том же регионе группы безопасности сети и связана с тем же клиентом Microsoft Entra группы безопасности сети или подписки виртуальной сети.

Чтобы использовать учетную запись хранения за брандмауэром, необходимо предоставить исключение для доверенных служб Майкрософт для доступа к учетной записи хранения:

1. Перейдите к учетной записи хранения, введя имя учетной записи хранения в поле поиска в верхней части портала.
2. В разделе "Безопасность и сеть" выберите "Сеть" и выберите "Брандмауэры" и "Виртуальные сети".
3. В общедоступном сетевом доступе выберите "Включено" из выбранных виртуальных сетей и IP-адресов. Затем в разделе "Исключения" установите флажок "Разрешить службам Azure" в списке доверенных служб доступ к этой учетной записи хранения.
4. Включите журналы потоков группы безопасности сети, создав журнал потока для целевой группы безопасности сети с помощью учетной записи хранения. Дополнительные сведения см. в разделе "Создание журнала потоков".

Журналы хранения можно проверить через несколько минут. Вы увидите обновленную метку времени или новый json-файл.

Наблюдатель за сетями имеет встроенный резервный механизм, который он использует при подключении к учетной записи хранения за брандмауэром (включен брандмауэр). Он пытается подключиться к учетной записи хранения с помощью ключа, и при сбое он переключается на маркер. В этом случае ошибка 403 регистрируется в журнале действий учетной записи хранения.

Да, Наблюдатель за сетями поддерживает отправку данных журналов потока группы безопасности сети в учетную запись хранения, включенную с помощью частной конечной точки.

Журналы потоков группы безопасности сети совместимы с конечными точками службы без дополнительной настройки. Дополнительные сведения см. в разделе "Включить конечную точку службы".

Журналы потоков версии 2 представляют концепцию состояния потока и хранят сведения о байтах и пакетах, передаваемых. Дополнительные сведения см . в формате журнала потоков группы безопасности сети.

Нет, блокировка только для чтения в группе безопасности сети предотвращает создание соответствующего журнала потока группы безопасности сети.

Да, блокировка не удаляемая в группе безопасности сети не предотвращает создание или изменение соответствующего журнала потока группы безопасности сети.

Да, вы можете автоматизировать журналы потоков групп безопасности сети с помощью шаблонов Azure Resource Manager (шаблонов ARM). Дополнительные сведения см. в разделе "Настройка журналов потоков NSG" с помощью шаблона Azure Resource Manager (ARM).