Azure Güvenlik Duvarı sorunlarını gidermek için paket yakalamayı kullanma

Azure Güvenlik Duvarı'nın paket yakalama özelliği, sorun giderme amacıyla ağ trafiğini yakalamanıza ve analiz etmenizi sağlar. Bu makalede filtreleri yapılandırma, trafiği yakalama ve sonuçları analiz etme adımları gösterilmektedir.

Önkoşullar

• Bir Azure aboneliği. Hesabınız yoksa ücretsiz bir hesap oluşturun.
• Yönetim NIC'nin etkinleştirildiği bir Azure Güvenlik Duvarı. Bkz. Azure Güvenlik Duvarı'nı ve ilkesini dağıtma ve yapılandırma.
  • Yönetim NIC'i Temel SKU ve Sanal WAN dağıtımlarında varsayılan olarak etkindir.
  • Sanal ağdaki Standart veya Premium SKU için Azure Güvenlik Duvarı Yönetimi NIC bölümüne bkz. Etkinleştirmek için.

Depolama hesabı oluşturma

Bir depolama hesabı oluşturun ve yakalanan paketlerin depolandığı bir kapsayıcı için SAS URL'si alın.

Depolama hesabını ayarlama

1. Azure portalında Kaynak oluştur'u seçin, Depolama hesapları için arama yapın ve Oluştur'u seçin.

2. Temel Bilgiler sekmesinde depolama hesabınız için gerekli bilgileri girin.

3. Gelişmiş sekmesindeki Güvenlik'in altında Tek tek kapsayıcılarda anonim erişimi etkinleştirmeye izin ver'i seçin. Diğer varsayılan ayarları koruyun.

   

Kapsayıcı oluşturma

1. Depolama hesabını oluşturduktan sonra kaynağa gidin ve Veri depolama altında Kapsayıcılar'ı seçin.

2. + Kapsayıcı'ya tıklayın ve yeni kapsayıcı için bir ad belirtin.

3. Anonim erişim düzeyi için Kapsayıcı (kapsayıcılar ve bloblar için anonim okuma erişimi) seçeneğini belirleyin.

   

SAS URL'si oluşturma

1. Kapsayıcıyı oluşturduktan sonra, yanındaki ... (üç nokta) öğesini seçin ve SAS Oluştur'u seçin.

2. SAS Oluştur sayfasındaki İzinler'in altında Okuma iznini temizleyin ve Yaz'ı seçin.

   

3. SAS belirteci ve URL oluştur'a tıklayın ve oluşturulan SAS URL'sini kopyalayın.

Önemli

Depolama hesabı SAS URL'si doğru yapılandırılmamışsa paket yakalama başarısız olur. Tüm adımları tam olarak izleyin:

• Tek tek kapsayıcılarda anonim erişimi etkinleştirme
• Anonim erişim düzeyini Kapsayıcı olarak ayarlama
• Yalnızca Yazma izni verin ve Okuma iznini kaldırın

Yaygın yapılandırma hataları:

• SAS URL'sinde yazma izinleri eksik
• Kapsayıcı düzeyinde erişim etkin değil
• Kapsayıcı yerine blob depolamaya işaret eden SAS URL'si

Paket yakalamayı yapılandırma ve çalıştırma

Güvenlik duvarınızda paket yakalamayı yapılandırın ve başlatın.

Paket yakalamaya erişim

1. Azure portalında güvenlik duvarınıza gidin.
2. Yardım'ın altında Paket Yakalama'yı seçin.

Yakalama ayarlarını yapılandırma

1. Paket Yakalama sayfasında aşağıdaki ayarları yapılandırın:

   • Paket yakalama adı: Yakalama dosyalarınız için benzersiz bir ad girin.
   • Çıktı SAS URL'si: Oluşturduğunuz depolama kapsayıcısının SAS URL'sini yapıştırın.

   Tavsiye

   Önceki sonuçları korumak için her yakalama için benzersiz dosya adları kullanın. Aynı SAS URL'sine aynı dosya adıyla birden fazla yakalama işlemi gerçekleştirmek, var olan dosyaların üzerine yazar.

2. Temel yakalama parametrelerini ayarlayın:

   • En fazla paket sayısı: 100 ile 90.000 paket arasında bir değer girin.
   • Süre sınırı (saniye):30 ile 1.800 saniye arasında bir değer girin.
   • Protokol: Yakalanacak protokolü seçin: Any, TCP, UDP veya ICMP.
   • TCP Bayrakları: TCP veya Herhangi bir protokol seçtiyseniz, yakalamak istediğiniz paket türlerini seçin: FIN, SYN, RST, PSH, ACK veya URG.

   Uyarı

   Hem en yüksek paket sayısını hem de zaman sınırını belirtin. İlk sınıra ulaşıldığında yakalama durdurulur.

Yakalama filtrelerini tanımlama

1. Filtreleme bölümünde, hangi paketlerin yakalanacağını belirtin:

   • Kaynak IP adresleri veya alt ağlar
   • Hedef IP adresleri veya alt ağlar
   • Hedef bağlantı noktaları

   Uyarı

   • En az bir filtre gereklidir.
   • Paket yakalama, her filtreyle eşleşen çift yönlü trafiği kaydeder.
   • Birden çok değer için virgülle ayrılmış listeler kullanın (örneğin, 192.168.1.1, 192.168.2.1 veya 192.168.1.0/24).
   • SNAT kullanırken, İnternet'e bağlanırken veya uygulama kurallarını işlerken hem gelen hem de giden paketleri yakalamak için kaynak alana adres alanını ekleyin AzureFirewallSubnet .

Yakalamayı başlatma

1. Şu anda paket yakalamanın çalışmadığını doğrulamak için Durum bölümünde Durumu yenile'yi seçin.

   

   • Güvenlik duvarı hazırsa durum, Devam eden paket yakalama yok durumunu gösterir. Yeni bir paket yakalama başlatabilirsiniz.

   

   • Paket yakalama işlemi devam ediyorsa Paket yakalamayı durdur'u seçin, ardından yeni bir yakalama başlatmadan önce durdurulduğunu onaylamak için durumu yenileyin.

   

2. Paketleri yapılandırılmış ayarlarınızla yakalamaya başlamak için Paket yakalamayı başlat'ı seçin.

   Uyarı

   Azure, güvenlik duvarının temel işlem örneklerinin en az yarısından yakalamalar elde edildiğinde paket yakalama işleminin başarılı olduğunu bildirir. Portalda hangi örneklerin yakalama sağladığı görüntülenmez, bu nedenle durum iletisi başarının temel göstergesidir.

Paket yakalama analizi

Paket yakalama tamamlandıktan sonra durum, Paket yakalama başarıyla tamamlandı durumunu görüntüler. Yeni bir paket yakalama başlatmaya hazır.

Yakalama dosyalarını indirme ve inceleme

1. Azure portalında depolama kapsayıcınıza gidin.

   

   Yakalama dosyaları kapsayıcının kök klasörüne kaydedilir. Güvenlik duvarının arka uçtaki her sanal makine örneği için bir tane olmak üzere birden çok pcap dosya görürsünüz.

2. pcap Dosyaları indirin.

   

3. Wireshark gibi bir paket çözümleme aracı kullanarak dosyaları analiz edin.

Paket akışı desenlerini anlama

Her paket yakalama, gelen ve giden paket çiftlerini içerir. Güvenlik duvarının işlediği her paket için yakalamada karşılık gelen bir çift görürsünüz. Aşağıdaki tabloda dört yaygın paket akışı deseni açıklanmaktadır:

Scenario	Gelen paket	Giden paket
Sanal ağdan sanal ağa (SNAT olmadan) Şirket içi sanal ağa (SNAT olmadan)	Kaynak: İstemci Hedef: Sunucu	Kaynak: İstemci Hedef: Sunucu Katman 2 üst bilgileri farklıdır, ancak Katman 3 ve üzeri aynı kalır.
Sanal ağdan sanal ağa ağ geçişi (SNAT ile) Sanal ağdan şirket içi ortama (SNAT ile) Sanal ağdan İnternet'e	Kaynak: İstemci Hedef: Sunucu	Kaynak: Güvenlik Duvarı Hedef: Sunucu SNAT nedeniyle katman 3 kaynak IP değişiklikleri. Katman 4 ve üzeri değişmeden kalır.
Uygulama kuralı akışları	Kaynak: İstemci Hedef: Sunucu	Kaynak: Güvenlik Duvarı Hedef: Sunucu Güvenlik duvarı bağlantıyı proxy'leyerek hedefe yeni bir oturum oluşturduğundan katman 4 ve üzeri farklılık gösterir. Gelen ve giden paketleri eşleştirmek için HTTP veya TLS anahtarlarını kullanın. Katman 7 aynı kalır.
DNAT akışları	Kaynak: İstemci Hedef: Güvenlik duvarı genel IP'si	Kaynak: Güvenlik Duvarı Hedef: DNAT uygulanan özel IP Katman 3 hedef IP'sinin DNAT nedeniyle gelen paketten farkı vardır ve Katman 4 aynı kalır.

Bu senaryolarla ilgili ayrıntılı yönergeler için bkz. Azure Güvenlik Duvarı akışlarında sorun gidermek için paket yakalamayı kullanma.

Sıkça sorulan sorular

Hedef bağlantı noktasını 0 olarak ayarlayarak tüm bağlantı noktalarındaki trafiği yakalayabilir miyim?

Her filtrede en az bir hedef bağlantı noktası belirtmeniz gerekir. Bütün portlarda trafik yakalama desteklenmez.

Ip adresi aralıklarını filtrede kullanabilir miyim?

Filtreler tek tek IP adreslerini veya alt ağları destekler, ancak IP adresi aralıklarını desteklemez. Bir aralık yakalamanız gerekiyorsa, bu adresleri kapsayan bir alt ağ kullanın. Filtrelerinizi en fazla beş IP adresi veya alt ağla sınırlayın.

Tüm trafiği yakalamak için paket üst sınırını veya zaman sınırını boş bırakabilir miyim?

Her iki değer de gereklidir. Gerekirse bunları izin verilen en yüksek değerlere ayarlayın. Her iki sınıra da ulaşıldığında yakalama otomatik olarak durdurulur.

Çalışan paket yakalamayı el ile durdurabilir miyim?

Evet, yakalamayı yapılandırılan sınırlara ulaşmadan önce sonlandırmak için Paket yakalamayı durdur düğmesini seçin.

Paket yakalama sürekli veya döngüsel yakalamaları destekliyor mu?

Döngüsel (sürekli) paket yakalamaları desteklenmez. Sorun giderme için genişletilmiş veya yinelenen bir yakalamaya ihtiyacınız varsa bir Azure destek isteği açın. Microsoft Desteği sizin yerinize daha uzun yakalamalar çalıştırabilir.

Tüm trafiği yakalamak için hedefi 0.0.0.0/0 olarak ayarlayabilir miyim?

Paket yakalama, belirli akışlarla ilgili sorunları gidermek için tasarlanmıştır. Hedefin 0.0.0.0/0 olarak ayarlanması, boş yakalamalara neden olur ve tüm trafiği yakalamaz.

IP adresleri yerine filtrede FQDN kullanabilir miyim?

Filtreler FQDN'leri desteklemez. Ancak, FQDN'yi IP adreslerine çözümlemek ve bu IP adreslerini filtrenize eklemek için DNS kullanabilirsiniz.

TCP bayraklarını işaretsiz bırakmak, tüm bayrakları seçmekle aynı mı?

Hiçbir TCP bayrağı seçilmediğinde (varsayılan), tüm paket türleri yakalanır. Belirli bayrakları yalnızca belirli paket türlerini yakalamak istediğinizde seçin.

ICMP, TCP ve UDP paketlerini aynı anda yakalayabilir miyim?

Evet, tüm paket türlerini yakalamak için protokol olarak Herhangi birini seçin. Protokol alanı, gerektiğinde belirli protokolleri filtrelemek üzere tasarlanmıştır.

Paket yakalamanın başarılı olup olmadığını nasıl bilebilirim?

Azure, yakalamalar temel alınan işlem örneklerinin en az yarısından elde edildiğinde başarıyı bildirir. Boş yakalama dosyaları işlemin başarılı olduğunu gösterir, ancak filtrelerinizle eşleşen trafik bulunamadı. Filtrelerinizi genişletip yakalamayı yeniden çalıştırın.

Sonraki Adımlar

• Azure Güvenlik Duvarı ölçümleri ve uyarıları