网络观察程序的常见问题解答 (FAQ)

Azure 网络观察程序提供一系列工具来监视、诊断、查看指标，以及启用或禁用 IaaS（基础结构即服务）资源的日志，其中包括虚拟机、虚拟网络、应用程序网关、负载均衡器，以及 Azure 虚拟网络中的其他资源。 它不是用于监视 PaaS（平台即服务）基础结构或获取 Web/移动分析数据的解决方案。

网络观察程序提供三个主要功能集：

• 监视
  • 拓扑视图显示虚拟网络中的资源及其相互关系。
  • 连接监视器可用于监视 Azure 内部和外部终结点之间的连接性和延迟。
• 网络诊断工具
  • IP 流验证可用于在虚拟机级别检测流量筛选问题。
  • NSG 诊断可用于在虚拟机、虚拟机规模集或应用程序网关级别检测流量筛选问题。
  • 下一跃点可帮助验证流量路由和检测路由问题。
  • 连接故障排除支持在虚拟机和堡垒主机、应用程序网关或其他虚拟机之间进行一次性连接和延迟检查。
  • 数据包捕获使你能够捕获虚拟机流量。
  • VPN 故障排除针对 VPN 网关和连接运行多项诊断检查，以帮助调试问题。
• 交通
  • 通过虚拟网络流日志和网络安全组流日志，可分别记录通过虚拟网络和网络安全组 (NSG) 的网络流量。
  • 流量分析处理网络安全组流日志数据，使你能够可视化、查询、分析和了解网络流量。

有关更多详细信息，请参阅 Azure 网络观察程序概述。

有关不同 Azure 网络观察程序组件定价的详细信息，请参阅 Azure 网络观察程序定价。

有关哪些区域支持 Azure 网络观察程序，请参阅 Azure 网络观察程序区域。

请参阅使用 Azure 网络观察程序所需的 Azure RBAC 权限，详细了解 Azure 网络观察程序中每个功能所需的权限列表。

Azure 网络观察程序服务是为每个订阅自动启用的。 如果选择了不自动启用 Azure 网络观察程序，则必须手动启用 Azure 网络观察程序。 有关详细信息，请参阅启用或禁用 Azure 网络观察程序。

网络观察程序父资源是使用每个区域中的唯一实例部署的。 默认命名格式：NetworkWatcher_RegionName。 示例：NetworkWatcher_centralus 是“美国中部”区域的网络观察程序资源。 可以使用 PowerShell 或 REST API 自定义网络观察程序实例的名称。

仅需为每个区域的每个订阅启用网络观察程序一次，即可正常使用其功能。 在区域内创建网络观察程序实例即可在该区域中启用网络观察程序。

网络观察程序资源代表网络观察程序的后端服务，由 Azure 完全托管。 不过，可创建或删除网络观察程序资源，以在特定区域中启用或禁用它。 有关详细信息，请参阅启用或禁用 Azure 网络观察程序。

否，不支持跨区域移动网络观察程序资源或其任何子资源。 有关详细信息，请参阅网络资源的移动操作支持。

是，支持在资源组之间移动网络观察程序资源。 有关详细信息，请参阅网络资源的移动操作支持。

NetworkWatcherRG 是为 Azure 网络观察程序资源自动创建的资源组。 例如，网络观察程序区域实例和网络安全组流日志资源都是在 NetworkWatcherRG 资源组中创建的。 可以使用 PowerShell、Azure CLI 或 REST API 自定义网络观察程序资源组的名称。

Azure 网络观察程序不会存储客户数据，连接监视器除外。 连接监视器可存储客户数据，网络观察程序会自动将该数据存储在单个区域中，以满足区域内数据驻留要求。

网络观察程序具有以下限制：

是，网络观察程序服务默认具有区域复原能力。

无需配置即可启用区域复原能力。 默认情况下，网络观察程序资源的区域复原能力可用，并由服务本身管理。

对于任何生成或拦截来自虚拟机的流量的网络观察程序功能，网络观察程序代理都是必需的。

连接监视器、数据包捕获和连接故障排除（连接性测试）功能要求具备网络观察程序扩展。

网络观察程序扩展的最新版本为 1.4.3614.3。 有关更多详细信息，请参阅将 Azure 网络观察程序扩展更新到最新版本。

• Linux：网络观察程序代理使用从 port 50000 开始直到 port 65535 的可用端口。
• Windows：网络观察程序代理在查询可用端口时使用操作系统响应的端口。

网络观察程序代理需要通过 port 80 进行的出站 TCP 连接（连接到 169.254.169.254）以及通过 port 8037 进行的出站 TCP 连接（连接到 168.63.129.16）。 该代理使用这些 IP 地址与 Azure 平台进行通信。

否，连接监视器不支持经典 VM。 有关详细信息，请参阅将 IaaS 资源从经典部署模型迁移到 Azure 资源管理器部署模型。

仅当目标 Azure 资源和连接监视器资源位于同一区域时，才能从非 Azure 到 Azure 修饰拓扑。

同一 Azure VM 不能用于同一连接监视器中的不同配置。 例如，不支持在同一连接监视器中将同一 VM 用于有筛选器的情况和没有筛选器的情况。

在拓扑发现或跃点探索过程中，发现了连接监视器仪表板上显示的问题。 可能会有这样的情况：达到了为丢失百分比或 RTT 设置的阈值，但未在跃点上发现问题。

连接监视器（经典）中没有协议选项。 连接监视器（经典）中的测试仅使用 TCP 协议，这就是在迁移期间我们在新连接监视器的测试中创建 TCP 配置的原因。

当终结点将 Azure Monitor 和 Arc 代理与关联的 Log Analytics 工作区配合使用时，当前存在区域边界。 因此，关联的 Log Analytics 工作区必须与 Arc 终结点位于同一区域。 可以将引入到单个工作区中的数据合并为单个视图，请参阅在 Azure Monitor 中跨 Log Analytics 工作区、应用程序和资源查询数据。

通过流日志，可以记录通过网络安全组或 Azure 虚拟网络传递的 Azure IP 流量的 5 元组流信息。 原始流日志将写入 Azure 存储帐户。 在此处，可以根据需要进一步处理、分析、查询或导出它们。

流日志数据是在网络流量路径的外部收集的，因此不会影响网络吞吐量或延迟。 可以创建或删除流日志，而不会对网络性能产生任何影响。

网络安全组流日志记录了流经网络安全组的流量。 另一方面，NSG 诊断返回流量正在遍历的所有网络安全组，以及应用于此流量的每个网络安全组的规则。 使用 NSG 诊断验证网络安全组规则是否按预期应用。

否，网络安全组流日志不支持 ESP 和 AH 协议。

否，网络安全组流日志和虚拟网络流日志不支持 ICMP 协议。

是的。 关联的流日志资源也将被删除。 流日志数据按照在流日志中配置的保持期保留在存储帐户中。

是的，但你必须删除关联的流日志资源。 迁移网络安全组后，可以重新创建流日志才能在其上启用流日志记录。

可以，只要其他订阅与网络安全组位于同一区域，并且与网络安全组或虚拟网络订阅的同一 Microsoft Entra 租户关联，你就可以使用该订阅中的存储帐户。

若要使用防火墙后面的存储帐户，必须允许受信任的 Azure 服务访问你的存储帐户：

1. 在门户顶部的搜索框中输入存储帐户名称，转到相应存储帐户。
2. 在“安全 + 网络”下，选择“网络”，然后选择“防火墙和虚拟网络”。
3. 在“公共网络访问”中，请选择“从选定的虚拟网络和 IP 地址启用”。 然后在“异常”下，选中“允许受信任的服务列表中的 Azure 服务访问此存储帐户”旁边的复选框。
4. 通过使用存储帐户为目标资源创建流日志来启用流日志。 有关详细信息，请参阅创建流日志。

几分钟后即可查看存储日志。 你应会看到已更新的时间戳或已创建的新 JSON 文件。

目前，一个存储帐户支持 100 条规则，每个规则可容纳 10 个 Blob 前缀。 如果达到限制，可以在启用新的虚拟网络流日志时将保留策略设置为 0 ，然后手动为订阅添加保留规则。

若要创建保留策略订阅规则，请执行以下步骤：

1. 在门户顶部的搜索框中输入存储帐户名称，转到相应存储帐户。
2. 在 “数据管理”下，选择 “生命周期管理”。
3. 选择 “+ 添加规则”。
4. 在“详细信息”部分中，选择以下设置：规则范围：使用筛选器限制 Blob；Blob 类型：块 Blob；以及 Blob 子类型：基础 Blob。
5. 在“基础 Blob”部分中，配置保留设置。
6. 在 “筛选器集 ”部分中，将 Blob 前缀 的格式设置为以下内容： "insights-logs-flowlogflowevent/flowLogResourceID=/<yourSubscriptionId>_NETWORKWATCHERRG"
7. 选择 并添加。

保留期较短的规则优先。

网络观察程序内置回退机制，在连接到防火墙后面的存储帐户（防火墙已启用）时使用该机制。 该机制尝试使用密钥连接到存储帐户，如果失败，则会切换到令牌。 在这种情况下，存储帐户活动日志中将记录 403 错误。

是，网络观察程序支持将流日志数据发送到启用了专用终结点的存储帐户。

流日志与服务终结点兼容，无需任何额外的配置。 有关详细信息，请参阅启用服务终结点。

流日志版本 2 引入了“流状态”的概念，并会存储有关传输的字节和数据包的信息。 有关详细信息，请参阅网络安全组流日志格式。

否，网络安全组上的“只读”锁会阻止创建相应的网络安全组流日志。

是，网络安全组上的“无法删除”锁不会阻止创建或修改相应的网络安全组流日志。

是，可以通过 Azure 资源管理器模板（ARM 模板）自动执行网络安全组流日志。 有关详细信息，请参阅使用 Azure 资源管理器 (ARM) 模板配置 NSG 流日志。

是的，虚拟网络和网络安全组可以位于与 Log Analytics 工作区区域不同的区域中。

是的。

在流量分析仪表板的资源选择下拉列表中，必须选择 虚拟网络 资源的资源组，而不是虚拟机或网络安全组的资源组。

流量分析每隔 6 小时执行资源发现扫描，以识别新的 VM、NIC、虚拟网络和子网。 在最近的发现周期之后创建新的 VM 或 NIC，并在下一次发现之前收集流数据时，流量分析尚无法将流量与已知资源相关联。 因此，这些资源在分析视图中暂时标记为 未知 。

是的，可以禁用对数据收集终结点（DCE）资源的公共访问，以阻止其的公共入站流量。 在不将 DCE 资源与 Azure Monitor 专用链接范围相关联的情况下，引入将继续工作。

是的。 如果选择现有工作区，请确保它已迁移到新的查询语言。 如果不想升级工作区，则需要创建新的工作区。 有关 Kusto 查询语言（KQL）的详细信息，请参阅 Azure Monitor 中的日志查询。

是的，Azure 存储帐户可以位于一个订阅中，Log Analytics 工作区可以位于不同的订阅中。

是的。 可以配置要发送到不同订阅中的存储帐户的流日志，前提是你具有适当的特权，并且存储帐户位于网络安全组（网络安全组流日志）或虚拟网络（虚拟网络流日志）所在的同一区域。 目标存储帐户必须共享网络安全组或虚拟网络的同一Microsoft Entra 租户。

否。 所有资源必须位于同一租户中，包括网络安全组（网络安全组流日志）、虚拟网络（虚拟网络流日志）、流日志、存储帐户和 Log Analytics 工作区（如果启用了流量分析）。

是的。

流量分析工作簿由 Log Analytics 查询提供支持。 如果查询超出 Log Analytics 的限制，则工作簿可能会显示内存不足错误。 为了提高性能并减少内存不足错误，用户可以使用专用 Log Analytics 群集。

否。 如果删除用于流日志的存储帐户，则 Log Analytics 工作区中存储的数据不会受到影响。 你仍然可以在 Log Analytics 工作区中查看历史数据（某些指标将受到影响），但在更新流日志以使用其他存储帐户之前，流量分析将不再处理任何新的流日志。

选择受支持的区域。 如果选择非支持区域，则会收到“找不到”错误。 有关详细信息，请参阅 流量分析支持的区域。

要使流日志记录正常工作，必须注册 Microsoft.Insights 提供程序。 如果不确定是否已为订阅注册 Microsoft.Insights 提供程序，请参阅管理 NSG 流日志说明，了解如何注册它。

仪表板可能需要长达 30 分钟才能首次显示报表。 解决方案必须首先聚合足够的数据，以便派生有意义的见解，然后生成报表。

请尝试以下选项：

• 更改上栏中的时间间隔。
• 在上部栏中选择其他 Log Analytics 工作区。
• 如果最近启用了流量分析，请尝试在 30 分钟后访问流量分析。

你可能会看到此消息，因为：

• 流量分析最近已启用，可能尚未聚合足够的数据，以便其派生有意义的见解。
• 你使用的是 Log Analytics 工作区的免费版本，并且超出了配额限制。 可能需要使用容量更大的工作区。

尝试针对上一个问题的建议解决方案。 如果问题仍然存在，请在 Microsoft Q&A 中提出问题。

你将在仪表板上看到资源信息;但是，不存在与流相关的统计信息。 由于资源之间没有通信流，数据可能不存在。 等待 60 分钟，然后重新检查状态。 如果问题仍然存在，并且您确信资源之间的通信是正常的，请在 Microsoft Q&A 上提交问题。

流量分析计量。 计量基于服务处理原始流日志数据。 有关详细信息，请参阅网络监视器定价。
Log Analytics 工作区中引入的增强型日志可以免费保留最多 31 天（如果工作区上启用了 Microsoft Sentinel，则最多可免费保留 90 天）。 有关详细信息，请参阅 Azure Monitor 定价。

流量分析的默认处理间隔为 60 分钟，但可以按 10 分钟间隔选择加速处理。 有关详细信息，请参阅 流量分析中的数据聚合。

流量分析在与工作区相同的资源组中创建和管理数据收集规则 (DCR) 和数据收集终结点 (DCE) 资源，其前缀为 NWTA。 如果对这些资源执行任何操作，流量分析可能无法按预期运行。 有关详细信息，请参阅 流量分析中的数据聚合。 有关详细信息，请参阅 Azure Monitor 中的数据收集规则 和 Azure Monitor 中的数据收集终结点。

不建议将锁应用于流量分析创建的 DCR 和 DCE 资源，因为这些资源由服务管理。 删除相关流日志时不会清理锁定的资源。 如果对这些资源执行任何操作，流量分析可能无法按预期运行。 有关详细信息，请参阅 流量分析中的数据聚合。

流量分析依赖于Microsoft内部威胁情报系统来认为 IP 是恶意的。 这些系统使用各种遥测源，例如 Microsoft 产品和服务、Microsoft 的反数字犯罪部门 (DCU)、Microsoft 安全响应中心 (MSRC) 和外部馈送，并在此基础上构建智能。 其中一些数据是微软内部数据。 如果已知 IP 被标记为恶意 IP，请创建支持工单以了解详细信息。

流量分析没有对警报的内置支持。 但是，由于流量分析数据存储在 Log Analytics 中，因此可以编写自定义查询并对其设置警报。 执行以下步骤：

• 可以在流量分析中使用 Log Analytics 链接。
• 使用 流量分析架构 编写查询。
• 选择 “新建警报规则 ”以创建警报。
• 请参阅 “创建新警报规则 ”以创建警报。

否，目前不受支持。 如果 Log Analytics 工作区部署在网络安全外围后面，流量分析将无法从中引入数据。

是的。 连接故障排除和 NSG 诊断不支持专用应用程序网关部署。 有关详细信息，请参阅专用应用程序网关部署。