Creación, cambio, habilitación, deshabilitación o eliminación de registros de flujo de NSG

• Una cuenta de Azure con una suscripción activa. Cree una cuenta gratuita.

• Proveedor de Insights. Para más información, consulte Registro del proveedor de Insights.

• Un grupo de seguridad de red. Si necesita crear un grupo de seguridad de red, vea Crear, cambiar o eliminar un grupo de seguridad de red.

• Una cuenta de almacenamiento de Azure. Si necesita crear una cuenta de almacenamiento, consulte Creación de una cuenta de almacenamiento mediante Azure Portal.

• Una cuenta de Azure con una suscripción activa. Cree una cuenta gratuita.

• Proveedor de Insights. Para más información, consulte Registro del proveedor de Insights.

• Un grupo de seguridad de red. Si necesita crear un grupo de seguridad de red, vea Crear, cambiar o eliminar un grupo de seguridad de red.

• Una cuenta de almacenamiento de Azure. Si necesita crear una cuenta de almacenamiento, consulte Creación de una cuenta de almacenamiento mediante PowerShell.

• Azure Cloud Shell o Azure PowerShell.

  Los pasos de este artículo ejecutarán los cmdlets de Azure PowerShell de forma interactiva en Azure Cloud Shell. Para ejecutar los cmdlets en Cloud Shell, seleccione Abrir Cloud Shell en la esquina superior derecha de un bloque de código. Seleccione Copiar para copiar el código y péguelo, a continuación, en Cloud Shell para ejecutarlo. También podrá ejecutar Cloud Shell desde Azure Portal.

  También podrá instalar Azure PowerShell localmente para ejecutar los cmdlet. En este artículo se requiere el módulo de Azure PowerShell. Si ejecuta PowerShell localmente, inicie sesión en Azure con el cmdlet Connect-AzAccount.

• Una cuenta de Azure con una suscripción activa. Cree una cuenta gratuita.

• Proveedor de Insights. Para más información, consulte Registro del proveedor de Insights.

• Un grupo de seguridad de red. Si necesita crear un grupo de seguridad de red, vea Crear, cambiar o eliminar un grupo de seguridad de red.

• Una cuenta de almacenamiento de Azure. Si necesita crear una cuenta de almacenamiento, consulte Crear una cuenta de almacenamiento mediante la CLI de Azure.

• Azure Cloud Shell o la CLI de Azure.

  Los pasos de este artículo ejecutarán los comandos de la CLI de Azure de forma interactiva en Azure Cloud Shell. Para ejecutar los comandos en Cloud Shell, seleccione Abrir Cloud Shell en la esquina superior derecha de un bloque de código. Seleccione Copiar para copiar el código y péguelo en Cloud Shell para ejecutarlo. También podrá ejecutar Cloud Shell desde Azure Portal.

  También puede instalar la CLI de Azure localmente para ejecutar los comandos. Si ejecuta la CLI de Azure localmente, inicie sesión en Azure con el comando az login.

El proveedor Microsoft.Insights debe estar registrado para registrar correctamente el tráfico que fluye por una red virtual. Si no está seguro de si el proveedor Microsoft.Insights está registrado, compruebe su estado en Azure Portal siguiendo estos pasos:

1. En el cuadro de búsqueda que aparece en la parte superior del portal, escriba suscripciones. En los resultados de la búsqueda, seleccione Suscripciones.

   

2. Seleccione la suscripción de Azure para la que quiere habilitar el proveedor en Suscripciones.

3. En Configuración, seleccione Proveedores de recursos.

4. Escriba insight en el cuadro de filtro.

5. Confirme que el estado que se muestra para el proveedor es Registrado. Si el estado es NotRegistered, seleccione el proveedor Microsoft.Insights. Después, seleccione Registrar.

   

El proveedor Microsoft.Insights debe registrarse para registrar correctamente el tráfico en una red virtual. Si no está seguro de si el proveedor Microsoft.Insights está registrado, use Register-AzResourceProvider para registrarlo:

# Register Microsoft.Insights provider.
Register-AzResourceProvider -ProviderNamespace 'Microsoft.Insights'

El proveedor Microsoft.Insights debe registrarse para registrar correctamente el tráfico en una red virtual. Si no está seguro de si el proveedor Microsoft.Insights está registrado, use az provider register para registrarlo:

# Register Microsoft.Insights provider.
az provider register --namespace 'Microsoft.Insights'

1. En el cuadro de búsqueda que aparece en la parte superior del portal, escriba network watcher. En los resultados de la búsqueda, seleccione Network Watcher.

2. En Registros, seleccione Registros de flujo.

3. En Network Watcher | Registros de flujo, seleccione + Crear o el botón azul Crear registro de flujo.

   

4. En la pestaña Aspectos básicos de Crear un registro de flujo, escriba o seleccione los siguientes valores.

   Configuración	Importancia
   Detalles del proyecto
   Suscripción	Seleccione la suscripción de Azure del grupo de seguridad de red que desea registrar.
   Tipo de registro de flujo	Seleccione Grupo de seguridad de red y + Seleccionar recurso de destino. Seleccione el grupo de seguridad de red para el que desea registrar el flujo y elija Confirmar selección.
   Nombre del registro de flujo	Escriba un nombre para el registro de flujo o deje el nombre predeterminado. Azure Portal usa {ResourceName}-{ResourceGroupName}-flowlog como nombre predeterminado para el registro de flujo. myNSG-myResourceGroup-flowlog es el nombre predeterminado que se usa en este artículo.
   Detalles de instancia
   Suscripción	Seleccione la suscripción de Azure de la cuenta de almacenamiento.
   Cuentas de almacenamiento	Seleccione la cuenta de almacenamiento en la que desea guardar los registros de flujo. Si desea crear una nueva cuenta de almacenamiento, seleccione Crear una nueva cuenta de almacenamiento.
   Retención (días)	Escriba un período de retención para los registros (esta opción solo está disponible con cuentas de almacenamiento Standard v2 de uso general). Escriba 0 si desea conservar los datos de los registros de flujo en la cuenta de almacenamiento para siempre (hasta que los elimine manualmente de la cuenta de almacenamiento). Para obtener información sobre los precios, consulte Precios de Azure Storage.

   

5. Para permitir el análisis de tráfico, seleccione el botón Siguiente: Análisis o seleccione la pestaña Análisis. Escriba o seleccione los siguientes valores:

   Configuración	Importancia
   Versión de los registros de flujo	Seleccione la versión del registro de flujo del grupo de seguridad de red; las opciones disponibles son: Versión 1 y Versión 2. La versión predeterminada es la 2. Para obtener más información, consulte Registro de flujo para grupos de seguridad de red.
   Habilitar el análisis del tráfico	Active la casilla para habilitar el análisis de tráfico para el registro de flujo.
   Intervalo de procesamiento del análisis de tráfico	Seleccione el intervalo de procesamiento que prefiera; las opciones disponibles son: Cada 1 hora y Cada 10 minutos. El intervalo de procesamiento determinado es cada hora. Para más información, consulte Análisis de tráfico.
   Suscripción	Seleccione la suscripción de Azure para el área de trabajo de Log Analytics.
   Área de trabajo de Log Analytics	Seleccione el área de trabajo de Log Analytics. De manera predeterminada, Azure Portal crea el área de trabajo de Log Analytics DefaultWorkspace-{SubscriptionID}-{Region} en el grupo de recursos defaultresourcegroup-{Region}.

   

   Nota:

   Para crear y seleccionar un área de trabajo de Log Analytics que no sea la predeterminada, consulte Creación de un área de trabajo de Log Analytics.

6. Selecciona Revisar + crear.

7. Revise la configuración y, a continuación, seleccione Crear.

Use el cmdlet New-AzNetworkWatcherFlowLog para crear un registro de flujo. El registro de flujo se crea en el grupo de recursos predeterminado de Network Watcher NetworkWatcherRG.

• Habilite los registros de flujo de NSG sin análisis de tráfico:

  # Place the network security group properties into a variable.
  $nsg = Get-AzNetworkSecurityGroup -Name 'myNSG' -ResourceGroupName 'myResourceGroup'
  
  # Place the storage account configuration into a variable.
  $sa = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'
  
  # Create a version 1 NSG flow log.
  New-AzNetworkWatcherFlowLog -Name 'myFlowLog' -Location 'eastus' -TargetResourceId $nsg.Id -StorageId $sa.Id -Enabled $true
  

• Habilite los registros de flujo de NSG con análisis de tráfico:

  # Place the network security group properties into a variable.
  $nsg = Get-AzNetworkSecurityGroup -Name 'myNSG' -ResourceGroupName 'myResourceGroup'
  
  # Place the storage account configuration into a variable.
  $sa = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'
  
  # Create a traffic analytics workspace and place its configuration into a variable.
  $workspace = New-AzOperationalInsightsWorkspace -Name 'myWorkspace' -ResourceGroupName 'myResourceGroup' -Location 'eastus'
  
  # Create a version 1 NSG flow log.
  New-AzNetworkWatcherFlowLog -Name 'myFlowLog' -Location 'eastus' -TargetResourceId $nsg.Id -StorageId $sa.Id -Enabled $true -EnableTrafficAnalytics -TrafficAnalyticsWorkspaceId $workspace.ResourceId
  

Use el comando az network watcher flow-log create para crear un registro de flujo de red virtual. El registro de flujo se crea en el grupo de recursos predeterminado de Network Watcher NetworkWatcherRG.

• Habilite los registros de flujo de NSG sin análisis de tráfico:

  # Create a version 1 NSG flow log.
  az network watcher flow-log create --name 'myFlowLog' --nsg 'myNSG' --resource-group 'myResourceGroup' --storage-account 'myStorageAccount' --location 'eastus' 
  

  Si la cuenta de almacenamiento está en un grupo de recursos diferente del grupo de seguridad de red, use el identificador de recurso de la cuenta de almacenamiento en lugar de su nombre:

  # Create a version 1 NSG flow log (the storage account is in a different resource group from the network security group).
  az network watcher flow-log create --name 'myFlowLog' --nsg 'myNSG' --resource-group 'myResourceGroup' --storage-account '/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/StorageRG/providers/Microsoft.Storage/storageAccounts/myStorageAccount' --location 'eastus' 
  

• Habilite los registros de flujo de NSG con análisis de tráfico:

  # Create a traffic analytics workspace.
  az monitor log-analytics workspace create --name 'myWorkspace' --resource-group 'myResourceGroup' --location 'eastus'
  
  # Create a version 1 NSG flow log and enable traffic analytics for it.
  az network watcher flow-log create --name 'myFlowLog' --nsg 'myNSG' --resource-group 'myResourceGroup' --storage-account 'myStorageAccount' --traffic-analytics true --workspace 'myWorkspace' --location 'eastus' 
  

  Si la cuenta de almacenamiento está en un grupo de recursos diferente del grupo de seguridad de red, use el identificador de recurso de la cuenta de almacenamiento en lugar de su nombre.

Para habilitar el análisis de tráfico para un registro de flujo, siga estos pasos:

1. En el cuadro de búsqueda que aparece en la parte superior del portal, escriba network watcher. En los resultados de la búsqueda, seleccione Network Watcher.

2. En Registros, seleccione Registros de flujo.

3. En Network Watcher | Registros de flujo, seleccione l registro de flujo para el que desea habilitar el análisis de tráfico.

4. En Configuración de registros de flujo, bajo Análisis de tráfico, active la casilla Habilitar análisis de tráfico.

   

5. Introduzca o seleccione los siguientes valores:

   Configuración	Importancia
   Suscripción	Seleccione la suscripción de Azure para el área de trabajo de Log Analytics.
   Área de trabajo de Log Analytics	Seleccione el área de trabajo de Log Analytics. De manera predeterminada, Azure Portal crea el área de trabajo de Log Analytics DefaultWorkspace-{SubscriptionID}-{Region} en el grupo de recursos defaultresourcegroup-{Region}.
   Intervalo de registro de tráfico	Seleccione el intervalo de procesamiento que prefiera; las opciones disponibles son: Cada 1 hora y Cada 10 minutos. El intervalo de procesamiento determinado es cada hora. Para más información, consulte Análisis de tráfico.

   

6. Seleccione Guardar para aplicar los cambios.

Para deshabilitar el análisis de tráfico de un registro de flujo, siga los pasos anteriores del 1 al 3, luego desactive la casilla Habilitar análisis de tráfico y seleccione Guardar.

Para habilitar el análisis de tráfico en un recurso de registro de flujo, use el cmdlet Set-AzNetworkWatcherFlowLog :

# Place the network security group properties into a variable.
$nsg = Get-AzNetworkSecurityGroup -Name 'myNSG' -ResourceGroupName 'myResourceGroup'

# Place the storage account properties into a variable.
$sa = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'

# Place the workspace configuration into a variable.
$workspace = Get-AzOperationalInsightsWorkspace -Name 'myWorkspace' -ResourceGroupName 'myResourceGroup'

# Update the NSG flow log.
Set-AzNetworkWatcherFlowLog -Enabled $true -Name 'myFlowLog' -Location 'eastus' -TargetResourceId $nsg.Id -StorageId $sa.Id -EnableTrafficAnalytics -TrafficAnalyticsWorkspaceId $workspace.ResourceId -FormatVersion 2

Para deshabilitar el análisis de tráfico en el recurso de registro de flujo y continuar generando y guardando registros de flujo en la cuenta de almacenamiento, use el cmdlet Set-AzNetworkWatcherFlowLog :

# Place the network security group properties into a variable.
$nsg = Get-AzNetworkSecurityGroup -Name 'myNSG' -ResourceGroupName 'myResourceGroup'

# Place the storage account configuration into a variable.
$sa = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'

# Update the NSG flow log.
Set-AzNetworkWatcherFlowLog -Enabled $true -Name 'myFlowLog' -Location 'eastus' -TargetResourceId $nsg.Id -StorageId $sa.Id -FormatVersion 2

Para habilitar el análisis de tráfico en un recurso de registro de flujo, use el comando az network watcher flow-log update.

# Update the NSG flow log.
az network watcher flow-log update --name 'myFlowLog' --nsg 'myNSG' --resource-group 'myResourceGroup' --storage-account 'myStorageAccount' --traffic-analytics true --workspace 'myWorkspace' --log-version '2'

Para deshabilitar el análisis de tráfico en el recurso de registro de flujo y continuar generando y guardando registros de flujo en la cuenta de almacenamiento, use el comando az network watcher flow-log update.

# Update the NSG flow log.
az network watcher flow-log update --name 'myFlowLog' --nsg 'myNSG' --resource-group 'myResourceGroup' --storage-account 'myStorageAccount' --traffic-analytics false --log-version '2'

1. En el cuadro de búsqueda que aparece en la parte superior del portal, escriba network watcher. En los resultados de la búsqueda, seleccione Network Watcher.

2. En Registros, seleccione Registros de flujo.

3. Seleccione el filtro Igualdad de suscripción para elegir una o varias de las suscripciones. Puede aplicar otros filtros como Ubicación igual a enumerar todos los registros de flujo de una región.

   

Usa el cmdlet Get-AzNetworkWatcherFlowLog para enumerar todos los recursos de registro de flujo de una región determinada en tu suscripción:

# Get all flow logs in East US region.
Get-AzNetworkWatcherFlowLog -Location 'eastus' | format-table Name

Usa el comando az network watcher flow-log list para enumerar todos los recursos de registro de flujo de una región determinada en tu suscripción.

# Get all flow logs in East US region.
az network watcher flow-log list --location 'eastus' --out table

1. En el cuadro de búsqueda que aparece en la parte superior del portal, escriba network watcher. En los resultados de la búsqueda, seleccione Network Watcher.

2. En Registros, seleccione Registros de flujo.

3. En Network Watcher | Registros de flujo, seleccione el registro de flujo que desea ver.

4. En Configuración de registros de flujo, puede ver la configuración del recurso de registro de flujo.

   

5. Seleccione Cancelar para cerrar la página de configuración sin realizar cambios.

Use el cmdlet Get-AzNetworkWatcherFlowLog para ver los detalles de un recurso de registro de flujo:

# Get the details of a flow log.
Get-AzNetworkWatcherFlowLog -Name 'myFlowLog' -Location 'eastus'

Use el comando az network watcher flow-log show para ver los detalles de un recurso de registro de flujo:

# Get the details of a flow log.
az network watcher flow-log show --name 'myFlowLog' --resource-group 'NetworkWatcherRG' --location 'eastus'

1. En el cuadro de búsqueda que aparece en la parte superior del portal, escriba cuentas de almacenamiento. En los resultados de la búsqueda, seleccione Cuentas de almacenamiento.

2. Seleccione la cuenta de almacenamiento que usó para almacenar los registros.

3. En Almacenamiento de datos, seleccione Contenedores.

4. Seleccione el contenedor insights-logs-networksecuritygroupflowevent.

5. En insights-logs-networksecuritygroupflowevent, navegue por la jerarquía de carpetas hasta que llegue al PT1H.json archivo que desea descargar. Los archivos de registro de flujo de NSG siguen la siguiente ruta de acceso:

   https://{storageAccountName}.blob.core.windows.net/insights-logs-networksecuritygroupflowevent/resourceId=/SUBSCRIPTIONS/{subscriptionID}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/{NetworkSecurityGroupName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json
   

6. Seleccione los puntos suspensivos ... a la derecha del archivo PT1H.json y, luego, elija Descargar.

Para descargar registros de flujo de red virtual desde la cuenta de almacenamiento, use el cmdlet Get-AzStorageBlobContent . Para más información, consulte Descargar un blob.

Los archivos de registro de flujo del NSG guardados en una cuenta de almacenamiento siguen esta ruta:

https://{storageAccountName}.blob.core.windows.net/insights-logs-networksecuritygroupflowevent/resourceId=/SUBSCRIPTIONS/{subscriptionID}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/{NetworkSecurityGroupName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json

Para descargar registros de flujo de red virtual desde la cuenta de almacenamiento, use el comando az storage blob download. Para más información, consulte Descargar un blob.

Los archivos de registro de flujo del NSG guardados en una cuenta de almacenamiento siguen esta ruta:

https://{storageAccountName}.blob.core.windows.net/insights-logs-networksecuritygroupflowevent/resourceId=/SUBSCRIPTIONS/{subscriptionID}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/{NetworkSecurityGroupName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json

1. En el cuadro de búsqueda que aparece en la parte superior del portal, escriba network watcher. En los resultados de la búsqueda, seleccione Network Watcher.

2. En Registros, seleccione Registros de flujo.

3. En Network Watcher | Registros de flujo, seleccione la casilla del registro de flujo que desea deshabilitar.

4. Seleccione Deshabilitar.

   

Use el cmdlet Set-AzNetworkWatcherFlowLog para deshabilitar un registro de flujo:

# Place the network security group properties into a variable.
$nsg = Get-AzNetworkSecurityGroup -Name 'myNSG' -ResourceGroupName 'myResourceGroup'

# Place the storage account properties into a variable.
$sa = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'

# Update the NSG flow log.
Set-AzNetworkWatcherFlowLog -Enabled $false -Name 'myFlowLog' -Location 'eastus' -TargetResourceId $nsg.Id -StorageId $sa.Id

Usa el comando az network watcher flow-log update para desactivar un registro de flujo:

# Disable the flow log.
az network watcher flow-log update --name 'myFlowLog' --nsg 'myNSG' --resource-group 'myResourceGroup' --storage-account 'myStorageAccount' --enabled false

1. En el cuadro de búsqueda que aparece en la parte superior del portal, escriba network watcher. En los resultados de la búsqueda, seleccione Network Watcher.

2. En Registros, seleccione Registros de flujo.

3. En Network Watcher | Registros de flujo, seleccione la casilla del registro de flujo que desea eliminar.

4. Seleccione Eliminar.

   

Para eliminar un recurso de registro de flujo, use el cmdlet Remove-AzNetworkWatcherFlowLog :

# Delete the flow log.
Remove-AzNetworkWatcherFlowLog -Name 'myFlowLog' -Location 'eastus'

Para eliminar un recurso de registro de flujo, use el comando az network watcher flow-log delete :

# Delete the flow log.
az network watcher flow-log delete --name 'myFlowLog' --location 'eastus' --no-wait 'true'