網路監看員常見問題 (FAQ)

網路監看員提供一套工具來監視、診斷、檢視計量，以及啟用或停用 IaaS (基礎結構即服務) 資源的記錄，其中包括虛擬機器、虛擬網路、應用程式閘道、負載平衡器，以及 Azure 虛擬網路中的其他資源。 此解決方案不適合用來監視 PaaS (平台即服務) 基礎結構或取得 Web/行動分析。

網路監看員提供三組主要功能：

• 監視
  • 拓撲檢視會顯示您虛擬網路中的資源，以及其間的關聯性。
  • 連線監視器可讓您監視 Azure 內外端點之間的連線能力和延遲。
• 網路診斷工具
  • IP 流量驗證 可讓您偵測虛擬機器層級的流量篩選問題。
  • NSG 診斷 可讓您偵測虛擬機器、虛擬機器擴展集或應用程式閘道層級的流量篩選問題。
  • 下一個躍點可協助您驗證流量路由，並偵測路由問題。
  • 連線疑難排解啟用虛擬機器與 Bastion 主機、應用程式閘道或其他虛擬機器之間的一次性連線能力和延遲檢查。
  • 封包擷取可讓您擷取虛擬機器流量。
  • VPN 疑難排解會在 VPN 閘道和連線上執行多個診斷檢查，以協助偵錯問題。
• 交通流量
  • 網路安全性群組流量記錄和虛擬網路流量記錄可讓您分別記錄通過網路安全性群組 (NSG) 和虛擬網路的網路流量。
  • 流量分析會處理網路安全性群組流量記錄資料，讓您能夠視覺化、查詢、分析及了解網路流量。

如需更多詳細資訊，請參閱網路監看員概觀。

如需不同網路監看員元件的價格詳細資料，請參閱網路監看員定價。

請參閱網路監看員區域，以瞭解支援網路監看員的區域。

如需網路監看員每個功能所需權限的詳細清單，請參閱使用網路監看員所需的 Azure RBAC 權限。

每個訂用帳戶都會自動啟用網路監看員服務。 如果您退出宣告網路監看員自動啟用，則必須手動啟用網路監看員。 如需詳細資訊，請參閱啟用或停用 Azure 網路監看員。

網路監看員父資源會在每個區域中透過唯一執行個體來部署。 預設命名格式：NetworkWatcher_RegionName。 範例：NetworkWatcher_centralus 是「美國中部」區域的網路監看員資源。 您可以使用 PowerShell 或 REST API 來自訂網路監看員執行個體的名稱。

網路監看員只需要針對每個訂用帳戶的每個區域啟用一次，即可使其功能正常運作。 網路監看員是在該區域中建立網路監看員執行個體，以在區域中啟用。

網路監看員資源代表網路監看員的後端服務，完全由 Azure 管理。 不過，您可以建立或刪除網路監看員資源，以在特定區域中啟用或刪除它。 如需詳細資訊，請參閱啟用或停用 Azure 網路監看員。

否，不支援跨區域移動網路監看員資源或其任何子資源。 如需詳細資訊，請參閱網路資源的移動作業支援。

是，支援在資源群組之間移動網路監看員資源。 如需詳細資訊，請參閱網路資源的移動作業支援。

NetworkWatcherRG 是針對網路監看員資源自動建立的資源群組。 例如，網路監看員區域執行個體和網路安全性群組流量記錄資源是在 NetworkWatcherRG 資源群組中建立。 您可以使用 PowerShell、 Azure CLI 或 REST API 來自訂網路監看員資源群組的名稱。

除了「連線」監視器服務之外，Azure 網路監看員不會儲存客戶資料。 連線監視器會儲存客戶資料，此資料由網路監看員自動儲存在單一區域中，以滿足區域內的資料落地需求。

網路監看員具有下列限制:

是，網路監看員服務預設為區域復原。

不需要設定即可啟用區域復原。 預設會為網路監看員資源提供區域復原，並由服務本身加以管理。

任何產生或攔截虛擬機器流量的網路監看員功能都需要網路監看員代理程式。

封包擷取、連線疑難排解及連線監視器功能都需要有網路監看員擴充功能。

最新版的網路監看員擴充功能為 1.4.3422.1。 如需詳細資訊，請參閱將 Azure 網路監看員擴充功能更新為最新版本。

• Linux：網路監看員代理程式會使用從 port 50000 開始的可用連接埠，直到到達 port 65535 為止。
• Windows：網路監看員代理程式會使用作業系統在查詢可用連接埠時所回應的連接埠。

網路監看員代理程式需要透過 port 80 輸出 TCP 連線至 169.254.169.254，並透過 port 8037 至 168.63.129.16。 代理程式會使用這些 IP 位址，來與 Azure 平台進行通訊。

否，連線監視器不支援傳統 VM。 如需詳細資訊，請參閱將 IaaS 資源從傳統移轉至 Azure Resource Manager。

只有在目的地 Azure 資源和連線監視器資源位於相同的區域中時，才能將拓撲從非 Azure 裝飾為 Azure。

相同的 Azure VM 無法與相同連線監視器中的不同組態搭配使用。 例如，不支援在相同連線監視器中使用具有篩選和沒有篩選的相同 VM。

在拓撲探索或躍點探索期間，會在連線監視器儀表板上顯示的問題。 在某些情況下，對遺失百分比或 RTT 所做的閾值設定已達到，但躍點上找不到任何問題。

連線監視器 (傳統) 中沒有通訊協定選取選項。 在連線監視器中測試 (傳統) 只會使用 TCP 通訊協定，這就是為什麼在移轉期間，我們會在新連線監視器的測試中建立 TCP 組態。

當端點搭配相關聯的 Log Analytics 工作區使用 Azure 監視器和 Arc 代理程式時，目前有區域邊界。 由於這項限制，相關聯的 Log Analytics 工作區必須位於與 Arc 端點相同的區域中。 擷取至個別工作區的資料可以針對單一檢視進行聯集化，請參閱在 Azure 監視器中跨 Log Analytics 工作區、應用程式和資源查詢資料。

流量記錄可讓您記錄透過網路安全組或 Azure 虛擬網路傳遞之 Azure IP 流量的 5 Tuple 流量資訊。 原始流量記錄會寫入 Azure 儲存體帳戶。 您可以視需要進一步處理、分析、查詢或匯出它們。

流量記錄資料是在網路流量路徑之外收集，因此不會影響網路輸送量或延遲。 您可以建立或刪除流量記錄，而無需擔憂對網路效能造成任何影響。

網路安全性群組流量記錄會記錄流經網路安全性群組的流量。 另一方面，NSG 診斷會傳回流量所流經的所有網路安全性群組，以及套用至此流量的每個網路安全性群組規則。 使用 NSG 診斷來確認您的網路安全性群組規則是否如預期般套用。

否，網路安全性群組流量記錄不支援 ESP 和 AH 通訊協定。

否，網路安全性群組流量記錄和虛擬網路流量記錄不支援 ICMP 通訊協定。

是。 相關聯的流量記錄資源也會一併刪除。 流量記錄資料將按照流量記錄中設定的保留期限保留在儲存體帳戶中。

是，但您必須刪除相關聯的流量記錄資源。 移轉網路安全性群組之後，您可以重新建立流量記錄，以啟用流量記錄。

是的，您可以使用來自不同訂用帳戶的儲存體帳戶，只要該訂用帳戶位於網路安全性群組的相同區域中並且與網路安全性群組或虛擬網路之訂用帳戶的相同 Microsoft Entra 租用戶相關聯即可。

若要使用防火牆後方的儲存體帳戶，您必須為信任的 Microsoft 服務提供例外狀況，以存取儲存體帳戶：

1. 在入口網站頂端的搜尋方塊中輸入儲存體帳戶的名稱，以移至儲存體帳戶。
2. 在 [安全性 + 網路功能]下，選取 [網路]，然後選取 [防火牆和虛擬網路]。
3. 在 [公用網路存取] 中，選取 [已從選取的虛擬網路和 IP 位址啟用]。 然後在 [例外狀況] 中，核取 [允許受信任服務清單上的 Azure 服務以存取此儲存體帳戶] 旁的方塊。
4. 使用儲存體帳戶為您的目標網路安全性群組建立流量記錄，以啟用網路安全性群組流量記錄。 如需詳細資訊，請參閱建立流量記錄。

您可以在幾分鐘後檢查儲存體記錄。 您應該會看到已更新的 TimeStamp 或已建立新的 JSON 檔案。

網路監看員有內建後援機制，在連線到防火牆後方的儲存體帳戶時，會使用此機制 (已啟用防火牆)。 它會嘗試使用金鑰連線到儲存體帳戶，如果失敗，則會切換至權杖。 在此情況下，儲存體帳戶活動記錄中會記錄 403 錯誤。

是，網路監看員支援將網路安全性群組流量記錄資料傳送至使用私人端點啟用的儲存體帳戶。

網路安全性群組流量記錄與服務端點相容，無需任何額外設定。 如需詳細資訊，請參閱啟用服務端點。

流量記錄版本 2 引進了流量狀態的概念並儲存所傳輸位元組和封包的相關資訊。 如需詳細資訊，請參閱網路安全性群組流量記錄格式。

否，網路安全性群組的唯讀鎖定可防止建立對應的網路安全性群組流量記錄。

是，網路安全性群組上的無法刪除鎖定不會防止建立或修改對應的網路安全性群組流量記錄。

是，您可以透過 Azure Resource Manager 範本 (ARM 範本)，將網路安全性群組流量記錄自動化。 如需詳細資訊，請參閱使用 Azure Resource Manager (ARM) 範本設定 NSG 流量記錄。