Perguntas frequentes (FAQ) do Network Watcher

O Inspetor de Rede fornece um conjunto de ferramentas para monitorar, diagnosticar, exibir métricas e habilitar ou desabilitar logs para recursos IaaS (Infraestrutura como Serviço), que incluem máquinas virtuais, redes virtuais, gateways de aplicativos, balanceadores de carga e outros recursos em uma rede virtual do Azure. Não é uma solução para monitorar a infraestrutura PaaS (Platform-as-a-Service) ou obter análises web/móveis.

O Network Watcher fornece três conjuntos principais de recursos:

• Monitorização
  • O modo de exibição de topologia mostra os recursos em sua rede virtual e as relações entre eles.
  • O monitor de conexão permite monitorar a conectividade e a latência entre pontos de extremidade dentro e fora do Azure.
• Ferramentas de diagnóstico de rede
  • A verificação do fluxo de IP permite detetar problemas de filtragem de tráfego no nível da máquina virtual.
  • O diagnóstico NSG permite detetar problemas de filtragem de tráfego em uma máquina virtual, conjunto de dimensionamento de máquina virtual ou nível de gateway de aplicativo.
  • O próximo salto ajuda você a verificar rotas de tráfego e detetar problemas de roteamento.
  • A solução de problemas de conexão permite uma verificação única de conectividade e latência entre uma máquina virtual e o host Bastion, o gateway de aplicativo ou outra máquina virtual.
  • A captura de pacotes permite capturar o tráfego da máquina virtual.
  • A solução de problemas de VPN executa várias verificações de diagnóstico em seus gateways e conexões VPN para ajudar a depurar problemas.
• Trânsito
  • Os logs de fluxo de rede virtual e os logs de fluxo de grupo de segurança de rede permitem registrar o tráfego de rede que passa por suas redes virtuais e NSGs (grupos de segurança de rede), respectivamente.
  • A análise de tráfego processa os dados do log de fluxo do grupo de segurança de rede, permitindo visualizar, consultar, analisar e entender o tráfego da rede.

Para obter informações mais detalhadas, consulte Visão geral do Inspetor de Rede.

Consulte Preços do Observador de Rede para obter detalhes de preços sobre diferentes componentes do Observador de Rede.

Consulte Regiões do Observador de Rede para saber mais sobre as regiões que suportam o Observador de Rede.

Consulte Permissões RBAC do Azure necessárias para usar o Inspetor de Rede para obter uma lista detalhada das permissões necessárias para cada um dos recursos do Inspetor de Rede.

O serviço Inspetor de Rede é ativado automaticamente para cada assinatura. Tem de ativar manualmente o Observador de Rede se tiver optado por não ativar automaticamente o Observador de Rede. Para obter mais informações, consulte Habilitar ou desabilitar o Azure Network Watcher.

O recurso pai do Inspetor de Rede é implantado com uma instância exclusiva em cada região. Formato de nomenclatura padrão: NetworkWatcher_RegionName. Exemplo: NetworkWatcher_centralus é o recurso Network Watcher para a região "EUA Central". Você pode personalizar o nome da instância do Inspetor de Rede usando PowerShell ou API REST.

O Observador de Rede só precisa ser ativado uma vez por região e por assinatura para que seus recursos funcionem. O Inspetor de Rede é habilitado em uma região criando uma instância do Inspetor de Rede nessa região.

O recurso Inspetor de Rede representa o serviço de back-end para o Inspetor de Rede, que é totalmente gerenciado pelo Azure. No entanto, você pode criar ou excluir o recurso Inspetor de Rede para habilitá-lo ou desabilitá-lo em uma região específica. Para obter mais informações, consulte Habilitar ou desabilitar o Azure Network Watcher.

Não, não há suporte para mover o recurso Inspetor de Rede ou qualquer um de seus recursos filhos entre regiões. Para obter mais informações, consulte Suporte a operações de movimentação para recursos de rede.

Sim, há suporte para mover o recurso Inspetor de Rede entre grupos de recursos. Para obter mais informações, consulte Suporte a operações de movimentação para recursos de rede.

NetworkWatcherRG é um grupo de recursos que é criado automaticamente para recursos do Network Watcher. Por exemplo, as instâncias regionais do Inspetor de Rede e os recursos de log de fluxo do grupo de segurança de rede são criados no grupo de recursos NetworkWatcherRG . Você pode personalizar o nome do grupo de recursos do Inspetor de Rede usando PowerShell, CLI do Azure ou API REST.

O Observador de Rede do Azure não armazena dados do cliente, exceto para o monitor de Conexão. O monitor de conexão armazena dados do cliente, que são armazenados automaticamente pelo Inspetor de Rede em uma única região para atender aos requisitos de residência de dados na região.

O Network Watcher tem os seguintes limites:

Sim, o serviço Inspetor de Rede é resiliente a zonas por padrão.

Nenhuma configuração é necessária para habilitar a resiliência de zona. A resiliência de zona para recursos do Inspetor de Rede está disponível por padrão e é gerenciada pelo próprio serviço.

O Agente Inspetor de Rede é necessário para qualquer recurso do Inspetor de Rede que gere ou intercete tráfego de uma máquina virtual.

Os recursos Monitor de conexão, Captura de pacotes e Solução de problemas de conexão (teste de conectividade) exigem a presença da extensão Network Watcher.

A última versão da extensão Network Watcher é 1.4.3783.1. Para obter mais informações, consulte Atualizar a extensão do Azure Network Watcher para a versão mais recente.

• Linux: o Network Watcher Agent usa portas disponíveis a partir de port 50000 até chegar ao port 65535.
• Windows: o Agente Inspetor de Rede usa as portas com as quais o sistema operacional responde quando consultado por portas disponíveis.

O Agente Inspetor de Rede requer conectividade TCP de saída para 169.254.169.254 várias vezes port 80168.63.129.16port 8037. O agente usa esses endereços IP para se comunicar com a plataforma Azure.

Não, o monitor de ligação não suporta VMs clássicas. Para obter mais informações, consulte Migrar recursos IaaS do clássico para o Azure Resource Manager.

A topologia pode ser decorada de não-Azure para o Azure somente se o recurso do Azure de destino e o recurso do monitor de conexão estiverem na mesma região.

A mesma VM do Azure não pode ser usada com configurações diferentes no mesmo monitor de conexão. Por exemplo, não há suporte para o uso da mesma VM com um filtro e sem um filtro no mesmo monitor de conexão.

Problemas exibidos no painel do monitor de conexão são encontrados durante a descoberta de topologia ou exploração de salto. Pode haver casos em que o limite definido para % de perda ou RTT é atingido, mas não são encontrados problemas no lúpulo.

Não há nenhuma opção de seleção de protocolo no monitor de conexão (clássico). Os testes no monitor de conexão (clássico) usam apenas o protocolo TCP, e é por isso que, durante a migração, criamos uma configuração TCP em testes no novo monitor de conexão.

Atualmente, há um limite regional quando um ponto de extremidade usa agentes do Azure Monitor e Arc com o espaço de trabalho associado do Log Analytics. Como resultado dessa limitação, o espaço de trabalho associado do Log Analytics deve estar na mesma região que o ponto de extremidade Arc. Os dados ingeridos em espaços de trabalho individuais podem ser sindicalizados para uma única exibição, consulte Consultar dados em espaços de trabalho, aplicativos e recursos do Log Analytics no Azure Monitor.

Os logs de fluxo permitem que você registre informações de fluxo de 5 tuplas sobre seu tráfego IP do Azure que passa por um grupo de segurança de rede ou rede virtual do Azure. Os logs de fluxo brutos são gravados em uma conta de armazenamento do Azure. A partir daí, você pode processá-los, analisá-los, consultá-los ou exportá-los conforme necessário.

Os dados do log de fluxo são coletados fora do caminho do tráfego de rede, portanto, não afetam a taxa de transferência ou a latência da rede. Você pode criar ou excluir logs de fluxo sem qualquer risco de impacto no desempenho da rede.

Os logs de fluxo do grupo de segurança de rede registram o tráfego que flui através de um grupo de segurança de rede. Por outro lado, o diagnóstico NSG retorna todos os grupos de segurança de rede que seu tráfego está atravessando e as regras de cada grupo de segurança de rede que são aplicadas a esse tráfego. Use o diagnóstico NSG para verificar se as regras do grupo de segurança de rede estão sendo aplicadas conforme o esperado.

Não, os logs de fluxo do grupo de segurança de rede não suportam protocolos ESP e AH.

Não, os logs de fluxo do grupo de segurança de rede e os logs de fluxo de rede virtual não suportam o protocolo ICMP.

Sim. O recurso de log de fluxo associado também será excluído. Os dados do log de fluxo são retidos na conta de armazenamento durante o período de retenção configurado no log de fluxo.

Sim, mas você deve excluir o recurso de log de fluxo associado. Depois de migrar o grupo de segurança de rede, você pode recriar os logs de fluxo para habilitar o log de fluxo nele.

Sim, você pode usar uma conta de armazenamento de uma assinatura diferente, desde que essa assinatura esteja na mesma região do grupo de segurança de rede e associada ao mesmo locatário Microsoft Entra do grupo de segurança de rede ou da assinatura da rede virtual.

Deve ativar pelo menos um Registo de Fluxo de Rede Virtual na subscrição. A Análise de Tráfego processa dados apenas a partir dos registos de fluxo ativados, pelo que configurar um registo de fluxo garante que a Análise de Tráfego pode aceder e analisar a atividade da rede para os recursos dessa subscrição.

Para usar uma conta de armazenamento atrás de um firewall, você precisa permitir que serviços confiáveis do Azure acessem sua conta de armazenamento:

1. Vá para a conta de armazenamento digitando o nome da conta de armazenamento na caixa de pesquisa na parte superior do portal.
2. Em Segurança + rede, selecione Rede e, em seguida, selecione Firewalls e redes virtuais.
3. Em Acesso à rede pública, selecione Habilitado a partir de redes virtuais e endereços IP selecionados. Em seguida, em Exceções, marque a caixa ao lado de Permitir que os serviços do Azure na lista de serviços confiáveis acessem essa conta de armazenamento.
4. Habilite os logs de fluxo criando um log de fluxo para o recurso de destino usando a conta de armazenamento. Para obter mais informações, consulte Criar um log de fluxo.

Você pode verificar os logs de armazenamento após alguns minutos. Você verá um TimeStamp atualizado ou um novo arquivo JSON criado.

Atualmente, uma conta de armazenamento suporta 100 regras e cada regra pode acomodar 10 prefixos de blob. Se você atingir o limite, poderá definir a política de retenção como 0 ao habilitar novos logs de fluxo de rede virtual e, em seguida, adicionar manualmente uma regra de retenção para a assinatura.

Para criar uma regra de subscrição de política de retenção, siga estes passos:

1. Vá para a conta de armazenamento digitando o nome da conta de armazenamento na caixa de pesquisa na parte superior do portal.
2. Em Gerenciamento de dados, selecione Gerenciamento do ciclo de vida.
3. Selecione + Adicionar regra.
4. Na seção Detalhes, selecione as seguintes configurações: Escopo da regra:Limitar blobs com filtros, Tipo de blob:Blobs de bloco e Subtipo de blob:Blobs de base.
5. Na secção Blobs básicos, configure as suas definições de retenção.
6. Na seção Conjunto de filtros , formate o prefixo Blob da seguinte forma: "insights-logs-flowlogflowevent/flowLogResourceID=/<yourSubscriptionId>_NETWORKWATCHERRG"
7. Selecione Adicionar.

A regra com um período de retenção mais curto tem precedência.

O Observador de Rede tem um mecanismo de fallback integrado que ele usa ao se conectar a uma conta de armazenamento atrás de um firewall (firewall habilitado). Ele tenta se conectar à conta de armazenamento usando uma chave e, se isso falhar, alterna para um token. Nesse caso, um erro 403 é registrado no log de atividades da conta de armazenamento.

Sim, o Network Watcher suporta o envio de dados de logs de fluxo para uma conta de armazenamento habilitada com um ponto de extremidade privado.

Os logs de fluxo são compatíveis com pontos de extremidade de serviço sem exigir qualquer configuração extra. Para obter mais informações, consulte Habilitar um ponto de extremidade de serviço.

Os logs de fluxo versão 2 introduzem o conceito de estado de fluxo e armazenam informações sobre bytes e pacotes transmitidos. Para obter mais informações, consulte Formato de log de fluxo do grupo de segurança de rede.

Não, um bloqueio somente leitura em um grupo de segurança de rede impede a criação do log de fluxo do grupo de segurança de rede correspondente.

Sim, um bloqueio não pode excluir no grupo de segurança de rede não impede a criação ou modificação do log de fluxo do grupo de segurança de rede correspondente.

Sim, você pode automatizar os logs de fluxo do grupo de segurança de rede por meio de modelos do Azure Resource Manager (modelos ARM). Para obter mais informações, consulte Configurar logs de fluxo do NSG usando um modelo do Azure Resource Manager (ARM).

Sim, as redes virtuais e os grupos de segurança de rede podem estar em regiões diferentes da região do espaço de trabalho do Log Analytics.

Sim.

Na lista suspensa de seleção de recursos no painel de análise de tráfego, o grupo de recursos do recurso Rede Virtual deve ser selecionado, não o grupo de recursos da máquina virtual ou do grupo de segurança de rede.

A análise de tráfego executa uma verificação de descoberta de recursos a cada 6 horas para identificar novas VMs, NICs, redes virtuais e sub-redes. Quando uma nova VM ou NIC é criada após o ciclo de descoberta mais recente e os dados de fluxo são coletados antes da próxima descoberta, a análise de tráfego ainda não pode associar o tráfego a um recurso conhecido. Como resultado, esses recursos são temporariamente rotulados como desconhecidos na visualização de análise.

Sim, você pode desabilitar o acesso público ao recurso de ponto de extremidade de coleta de dados (DCE) para bloquear o tráfego público de entrada para ele. A ingestão continua a funcionar sem associar o recurso DCE a um escopo de Link Privado do Azure Monitor.

Sim. Se você selecionar um espaço de trabalho existente, verifique se ele foi migrado para o novo idioma de consulta. Se você não quiser atualizar o espaço de trabalho, precisará criar um novo. Para obter mais informações sobre Kusto Query Language (KQL), consulte Consultas de log no Azure Monitor.

Sim, sua conta de armazenamento do Azure pode estar em uma assinatura e seu espaço de trabalho do Log Analytics pode estar em uma assinatura diferente.

Sim. Você pode configurar logs de fluxo a serem enviados para uma conta de armazenamento localizada em uma assinatura diferente, desde que tenha os privilégios apropriados e que a conta de armazenamento esteja localizada na mesma região que o grupo de segurança de rede (logs de fluxo do grupo de segurança de rede) ou a rede virtual (logs de fluxo de rede virtual). A conta de armazenamento de destino deve compartilhar o mesmo locatário do Microsoft Entra do grupo de segurança de rede ou rede virtual.

Não. Todos os recursos devem estar no mesmo locatário, incluindo grupos de segurança de rede (logs de fluxo de grupo de segurança de rede), redes virtuais (logs de fluxo de rede virtual), logs de fluxo, contas de armazenamento e espaços de trabalho do Log Analytics (se a análise de tráfego estiver habilitada).

Sim.

As pastas de trabalho do Traffic Analytics são alimentadas por consultas do Log Analytics. Se a consulta exceder os limites para análise de registos, a pasta de trabalho poderá apresentar erros de memória baixa. Para melhorar o desempenho e reduzir erros de pouca memória, os utilizadores podem usar clusters dedicados de Log Analytics.

Não. Se você excluir a conta de armazenamento usada para logs de fluxo, os dados armazenados no espaço de trabalho do Log Analytics não serão afetados. Você ainda pode exibir dados históricos no espaço de trabalho do Log Analytics (algumas métricas serão afetadas), mas a análise de tráfego não processará mais novos logs de fluxo até que você atualize os logs de fluxo para usar uma conta de armazenamento diferente.

Selecione uma região suportada. Se você selecionar uma região não suportada, receberá um erro "Não encontrado". Para obter mais informações, consulte Regiões suportadas pela análise de tráfego.

O Microsoft.Insights provedor deve estar registrado para que o log de fluxo funcione corretamente. Se não tiveres certeza se o Microsoft.Insights provedor está registrado para a tua assinatura, consulta as instruções de gestão dos logs de fluxo do NSG para saber como registrá-lo.

O painel pode levar até 30 minutos para mostrar relatórios pela primeira vez. A solução deve primeiro agregar dados suficientes para obter insights significativos e, em seguida, gerar relatórios.

Tente as seguintes opções:

• Altere o intervalo de tempo na barra superior.
• Selecione um espaço de trabalho diferente do Log Analytics na barra superior.
• Tente acessar a análise de tráfego após 30 minutos, se ela tiver sido ativada recentemente.

Poderá ver esta mensagem porque:

• A análise de tráfego foi habilitada recentemente e pode ainda não ter agregado dados suficientes para obter insights significativos.
• Você está usando a versão gratuita do espaço de trabalho do Log Analytics e ela excedeu os limites de cota. Talvez seja necessário usar um espaço de trabalho com uma capacidade maior.

Experimente as soluções sugeridas para a pergunta anterior. Se os problemas persistirem, levante preocupações nas Perguntas e Respostas da Microsoft.

Você está vendo as informações de recursos no painel; no entanto, não existem estatísticas relacionadas com os fluxos. Os dados podem não estar presentes devido à ausência de fluxos de comunicação entre os recursos. Aguarde 60 minutos e verifique novamente o status. Se o problema persistir e você tiver certeza de que existem fluxos de comunicação entre recursos, levante preocupações nas Perguntas e Respostas da Microsoft.

A análise de tráfego é monitorizada. A medição é baseada no processamento de dados brutos de log de fluxo pelo serviço. Para obter mais informações, consulte Preços do Monitor de Rede.
Os logs aprimorados ingeridos no espaço de trabalho do Log Analytics podem ser retidos gratuitamente por até os primeiros 31 dias (ou 90 dias se o Microsoft Sentinel estiver habilitado no espaço de trabalho). Para obter mais informações, consulte Preços do Azure Monitor.

O intervalo de processamento padrão da análise de tráfego é de 60 minutos, no entanto, você pode selecionar o processamento acelerado em intervalos de 10 minutos. Para obter mais informações, consulte Agregação de dados na análise de tráfego.

A análise de tráfego cria e gerencia recursos de regra de coleta de dados (DCR) e ponto de extremidade de coleta de dados (DCE) no mesmo grupo de recursos do espaço de trabalho, prefixados com NWTA. Se realizar qualquer operação nestes recursos, a análise de tráfego poderá não funcionar conforme esperado. Para obter mais informações, consulte Agregação de dados na análise de tráfego. Para obter mais informações, consulte Regras de coleta de dados no Azure Monitor e Pontos de extremidade de coleta de dados no Azure Monitor.

Não é recomendável aplicar bloqueios aos recursos DCR e DCE criados pela análise de tráfego, pois esses recursos são gerenciados pelo serviço. Os recursos bloqueados não são limpos após a exclusão dos logs de fluxo relacionados. Se realizar qualquer operação nestes recursos, a análise de tráfego poderá não funcionar conforme esperado. Para obter mais informações, consulte Agregação de dados na análise de tráfego.

A análise de tráfego depende dos sistemas internos de inteligência de ameaças da Microsoft para considerar um IP como malicioso. Esses sistemas usam diversas fontes de telemetria, como produtos e serviços da Microsoft, a Microsoft Digital Crimes Unit (DCU), o Microsoft Security Response Center (MSRC) e feeds externos e criam inteligência sobre isso. Alguns desses dados são internos da Microsoft. Se um IP conhecido está a ser sinalizado como malicioso, crie um pedido de suporte para saber os detalhes.

A análise de tráfego não tem suporte integrado para alertas. No entanto, como os dados de análise de tráfego são armazenados no Log Analytics, você pode escrever consultas personalizadas e definir alertas sobre elas. Siga estes passos:

• Você pode usar o link do Log Analytics na análise de tráfego.
• Use o esquema de análise de tráfego para escrever suas consultas.
• Selecione Nova regra de alerta para criar o alerta.
• Consulte Criar uma nova regra de alerta para criar o alerta.

Não, atualmente não é suportado. Se um espaço de trabalho do Log Analytics for implantado atrás de um perímetro de segurança de rede, a análise de tráfego não poderá ingerir dados dele.

Sim. A solução de problemas de conexão e o diagnóstico NSG não oferecem suporte a implantações privadas do Application Gateway. Para obter mais informações, consulte Implantação do Private Application Gateway.