Perguntas frequentes (FAQ) do Observador de Rede

O Inspetor de Rede fornece um conjunto de ferramentas para monitorar, diagnosticar, exibir métricas e habilitar ou desabilitar logs para recursos IaaS (Infraestrutura como Serviço), que incluem máquinas virtuais, redes virtuais, gateways de aplicativos, balanceadores de carga e outros recursos em uma rede virtual do Azure. Não é uma solução para monitorar a infraestrutura PaaS (Platform-as-a-Service) ou obter análises web/móveis.

O Observador de Rede fornece três conjuntos principais de recursos:

• Monitorização
  • A vista de topologia mostra-lhe os recursos na sua rede virtual e as relações entre eles.
  • O monitor de ligação permite monitorizar a conectividade e a latência entre extremidades dentro e fora do Azure.
• Ferramentas de diagnóstico de rede
  • A verificação do fluxo de IP permite detetar problemas de filtragem de tráfego no nível da máquina virtual.
  • O diagnóstico de NSG permite detetar problemas de filtragem de tráfego numa máquina virtual, num conjunto de dimensionamento de máquinas virtuais ou ao nível de um gateway de aplicação.
  • O próximo salto ajuda você a verificar rotas de tráfego e detetar problemas de roteamento.
  • Resolução de problemas de ligação permite uma verificação única da conectividade e da latência entre uma máquina virtual e o anfitrião do Bastion, o gateway de aplicações ou outra máquina virtual.
  • A captura de pacotes permite capturar o tráfego da máquina virtual.
  • Resolução de problemas de VPN executa várias verificações de diagnóstico nos seus gateways e ligações VPN para ajudar a diagnosticar problemas.
• Trânsito
  • Os registos de fluxo da rede virtual e os registos de fluxo dos grupos de segurança de rede permitem registar o tráfego de rede que passa pelas suas redes virtuais e pelos grupos de segurança de rede (NSGs), respetivamente.
  • A análise de tráfego processa os dados do log de fluxo do grupo de segurança de rede, permitindo visualizar, consultar, analisar e entender o tráfego da rede.

Para obter informações mais detalhadas, consulte Visão geral do Inspetor de Rede.

Consulte Preços do Observador de Rede para obter detalhes de preços sobre diferentes componentes do Observador de Rede.

Consulte Regiões do Observador de Rede para saber mais sobre as regiões que suportam o Observador de Rede.

Consulte Permissões RBAC do Azure necessárias para usar o Inspetor de Rede para obter uma lista detalhada das permissões necessárias para cada um dos recursos do Inspetor de Rede.

O serviço Inspetor de Rede é ativado automaticamente para cada assinatura. Tem de ativar manualmente o Observador de Rede se tiver optado por não ativar automaticamente o Observador de Rede. Para obter mais informações, consulte Habilitar ou desabilitar o Observador de Rede do Azure.

O recurso principal do Observador de Rede é implementado com uma instância única em cada região. Formato de nomenclatura padrão: NetworkWatcher_RegionName. Exemplo: NetworkWatcher_centralus é o recurso Observador de Rede para a região "EUA Central". Você pode personalizar o nome da instância do Inspetor de Rede usando PowerShell ou API REST.

O Observador de Rede só precisa ser ativado uma vez por região e por assinatura para que seus recursos funcionem. O Inspetor de Rede é habilitado em uma região criando uma instância do Inspetor de Rede nessa região.

O recurso Inspetor de Rede representa o serviço de back-end para o Inspetor de Rede, que é totalmente gerenciado pelo Azure. No entanto, você pode criar ou excluir o recurso Inspetor de Rede para habilitá-lo ou desabilitá-lo em uma região específica. Para obter mais informações, consulte Habilitar ou desabilitar o Observador de Rede do Azure.

Não, não há suporte para mover o recurso Inspetor de Rede ou qualquer um de seus recursos filhos entre regiões. Para obter mais informações, consulte Suporte a operações de movimentação para recursos de rede.

Sim, há suporte para mover o recurso Inspetor de Rede entre grupos de recursos. Para obter mais informações, consulte Suporte para operações de movimentação de recursos de rede.

NetworkWatcherRG é um grupo de recursos que é criado automaticamente para recursos do Observador de Rede. Por exemplo, as instâncias regionais do Inspetor de Rede e os recursos de log de fluxo do grupo de segurança de rede são criados no grupo de recursos NetworkWatcherRG . Você pode personalizar o nome do grupo de recursos do Inspetor de Rede usando PowerShell, CLI do Azure ou API REST.

O Observador de Rede do Azure não armazena dados do cliente, exceto para o monitor de Conexão. O monitor de conexão armazena dados do cliente, que são armazenados automaticamente pelo Inspetor de Rede em uma única região para atender aos requisitos de residência de dados na região.

O Observador de Rede tem os seguintes limites:

Sim, o serviço Inspetor de Rede é resiliente a zonas por padrão.

Nenhuma configuração é necessária para habilitar a resiliência de zona. A resiliência de zona para recursos do Inspetor de Rede está disponível por padrão e é gerenciada pelo próprio serviço.

O Agente Inspetor de Rede é necessário para qualquer recurso do Inspetor de Rede que gere ou intercete tráfego de uma máquina virtual.

Os recursos Monitor de conexão, Captura de pacotes e Solução de problemas de conexão (teste de conectividade) exigem a presença da extensão Observador de Rede.

A versão mais recente da extensão Observador de Rede é1.4.3914.3... Para obter mais informações, consulte Atualizar a extensão do Observador de Rede do Azure para a versão mais recente.

• Linux: o Observador de Rede Agent usa portas disponíveis a partir de port 50000 até chegar ao port 65535.
• Windows: o Agente Inspetor de Rede usa as portas com as quais o sistema operacional responde quando consultado por portas disponíveis.

O Agente do Observador de Rede requer conectividade TCP de saída para 169.254.169.254 através de port 80 e para 168.63.129.16 através de port 8037. O agente usa esses endereços IP para se comunicar com a plataforma Azure.

Não, o monitor de ligação não suporta VMs clássicas. Para obter mais informações, consulte Migrar recursos IaaS do clássico para o Azure Resource Manager.

A topologia pode ser decorada de não-Azure para o Azure somente se o recurso do Azure de destino e o recurso do monitor de conexão estiverem na mesma região.

A mesma VM do Azure não pode ser usada com configurações diferentes no mesmo monitor de conexão. Por exemplo, não há suporte para o uso da mesma VM com um filtro e sem um filtro no mesmo monitor de conexão.

Os problemas apresentados no painel do monitor de ligação são detetados durante a deteção da topologia ou a exploração de saltos. Pode haver casos em que o valor limite definido para a % de perda ou o RTT é atingido, mas não sejam encontrados problemas nos saltos.

Não há nenhuma opção de seleção de protocolo no monitor de conexão (clássico). Os testes no monitor de conexão (clássico) usam apenas o protocolo TCP, e é por isso que, durante a migração, criamos uma configuração TCP em testes no novo monitor de conexão.

Atualmente, existe uma restrição regional quando um ponto final utiliza agentes do Azure Monitor e do Arc com o espaço de trabalho do Log Analytics associado. Como resultado desta limitação, o espaço de trabalho do Log Analytics associado tem de estar na mesma região que o ponto final do Arc. Os dados ingeridos em espaços de trabalho individuais podem ser combinados numa única vista; consulte Consultar dados em espaços de trabalho, aplicações e recursos do Log Analytics no Azure Monitor.

Os registos de fluxo permitem registar informações de fluxo de cinco tuplos relativas ao tráfego IP do Azure que passa por um grupo de segurança de rede ou por uma rede virtual do Azure. Os logs de fluxo brutos são gravados em uma conta de armazenamento do Azure. A partir daí, você pode processá-los, analisá-los, consultá-los ou exportá-los conforme necessário.

Os dados do log de fluxo são coletados fora do caminho do tráfego de rede, portanto, não afetam a taxa de transferência ou a latência da rede. Você pode criar ou excluir logs de fluxo sem qualquer risco de impacto no desempenho da rede.

Os logs de fluxo do grupo de segurança de rede registram o tráfego que flui através de um grupo de segurança de rede. Por outro lado, o diagnóstico NSG retorna todos os grupos de segurança de rede que seu tráfego está atravessando e as regras de cada grupo de segurança de rede que são aplicadas a esse tráfego. Use o diagnóstico NSG para verificar se as regras do grupo de segurança de rede estão sendo aplicadas conforme o esperado.

Não, os logs de fluxo do grupo de segurança de rede não suportam protocolos ESP e AH.

Não, os logs de fluxo do grupo de segurança de rede e os logs de fluxo de rede virtual não suportam o protocolo ICMP.

Sim. O recurso de log de fluxo associado também será excluído. Os dados de registo de fluxo são mantidos na conta de armazenamento durante o período de retenção configurado no registo de fluxo.

Sim, mas você deve excluir o recurso de log de fluxo associado. Depois de migrar o grupo de segurança de rede, pode recriar os registos de fluxo para ativar o registo de fluxo nesse grupo.

Sim, você pode usar uma conta de armazenamento de uma assinatura diferente, desde que essa assinatura esteja na mesma região do grupo de segurança de rede e associada ao mesmo locatário Microsoft Entra do grupo de segurança de rede ou da assinatura da rede virtual.

Deve ativar pelo menos um Registo de Fluxo de Rede Virtual na subscrição. A Análise de Tráfego processa dados apenas a partir dos registos de fluxo ativados, pelo que configurar um registo de fluxo garante que a Análise de Tráfego pode aceder e analisar a atividade da rede para os recursos dessa subscrição.

Para usar uma conta de armazenamento atrás de um firewall, você precisa permitir que serviços confiáveis do Azure acessem sua conta de armazenamento:

1. Vá para a conta de armazenamento digitando o nome da conta de armazenamento na caixa de pesquisa na parte superior do portal.
2. Em Segurança + rede, selecione Rede e, em seguida, selecione Firewalls e redes virtuais.
3. Em Acesso à rede pública, selecione Habilitado a partir de redes virtuais e endereços IP selecionados. Em seguida, em Exceções, marque a caixa ao lado de Permitir que os serviços do Azure na lista de serviços confiáveis acessem essa conta de armazenamento.
4. Ative os registos de fluxo criando um registo de fluxo para o recurso de destino com a conta de armazenamento. Para obter mais informações, consulte Criar um log de fluxo.

Você pode verificar os logs de armazenamento após alguns minutos. Você verá um TimeStamp atualizado ou um novo arquivo JSON criado.

Atualmente, uma conta de armazenamento suporta 100 regras, e cada regra pode incluir 10 prefixos de blobs. Se você atingir o limite, poderá definir a política de retenção como 0 ao habilitar novos logs de fluxo de rede virtual e, em seguida, adicionar manualmente uma regra de retenção para a assinatura.

Para criar uma regra de subscrição de política de retenção, siga estes passos:

1. Vá para a conta de armazenamento digitando o nome da conta de armazenamento na caixa de pesquisa na parte superior do portal.
2. Em Gerenciamento de dados, selecione Gerenciamento do ciclo de vida.
3. Selecione + Adicionar regra.
4. Na seção Detalhes, selecione as seguintes configurações: Escopo da regra:Limitar blobs com filtros, Tipo de blob:Blobs de bloco e Subtipo de blob:Blobs de base.
5. Na secção Blobs básicos, configure as suas definições de retenção.
6. Na seção Conjunto de filtros , formate o prefixo Blob da seguinte forma: "insights-logs-flowlogflowevent/flowLogResourceID=/<yourSubscriptionId>_NETWORKWATCHERRG"
7. Selecione Adicionar.

A regra com um período de retenção mais curto tem precedência.

O Observador de Rede tem um mecanismo de fallback integrado que ele usa ao se conectar a uma conta de armazenamento atrás de um firewall (firewall habilitado). Ele tenta se conectar à conta de armazenamento usando uma chave e, se isso falhar, alterna para um token. Nesse caso, um erro 403 é registrado no log de atividades da conta de armazenamento.

Sim, o Observador de Rede suporta o envio de dados de registos de fluxo para uma conta de armazenamento ativada para um ponto final privado.

Os registos de fluxo são compatíveis com extremidades de serviço sem necessitarem de qualquer configuração adicional. Para obter mais informações, consulte Ativar um ponto final de serviço.

A versão 2 dos registos de fluxo introduz o conceito de estado de fluxo e armazena informações sobre bytes e pacotes transmitidos. Para obter mais informações, consulte formato do registo de fluxo do grupo de segurança de rede.

Não, um bloqueio read-only num grupo de segurança de rede impede a criação do registo de fluxo correspondente do grupo de segurança de rede.

Sim, um bloqueio de não eliminação no grupo de segurança de rede não impede a criação nem a modificação do registo de fluxo correspondente do grupo de segurança de rede.

Sim, você pode automatizar os logs de fluxo do grupo de segurança de rede por meio de modelos do Azure Resource Manager (modelos ARM). Para obter mais informações, consulte Configurar logs de fluxo do NSG usando um modelo do Azure Resource Manager (ARM).

Sim, as redes virtuais e os grupos de segurança de rede podem estar em regiões diferentes da região do espaço de trabalho do Log Analytics.

Sim.

Na lista suspensa de seleção de recursos no painel de análise de tráfego, o grupo de recursos do recurso Rede Virtual deve ser selecionado, não o grupo de recursos da máquina virtual ou do grupo de segurança de rede.

A análise de tráfego executa uma verificação de descoberta de recursos a cada 6 horas para identificar novas VMs, NICs, redes virtuais e sub-redes. Quando uma nova VM ou NIC é criada após o ciclo de descoberta mais recente e os dados de fluxo são coletados antes da próxima descoberta, a análise de tráfego ainda não pode associar o tráfego a um recurso conhecido. Como resultado, esses recursos são temporariamente rotulados como desconhecidos na visualização de análise.

Sim, você pode desabilitar o acesso público ao recurso de ponto de extremidade de coleta de dados (DCE) para bloquear o tráfego público de entrada para ele. A ingestão continua a funcionar sem associar o recurso DCE a um escopo de Link Privado do Azure Monitor.

Sim. Se você selecionar um espaço de trabalho existente, verifique se ele foi migrado para o novo idioma de consulta. Se você não quiser atualizar o espaço de trabalho, precisará criar um novo. Para obter mais informações sobre Kusto Query Language (KQL), consulte Consultas de log no Azure Monitor.

Sim, sua conta de armazenamento do Azure pode estar em uma assinatura e seu espaço de trabalho do Log Analytics pode estar em uma assinatura diferente.

Sim. Você pode configurar logs de fluxo a serem enviados para uma conta de armazenamento localizada em uma assinatura diferente, desde que tenha os privilégios apropriados e que a conta de armazenamento esteja localizada na mesma região que o grupo de segurança de rede (logs de fluxo do grupo de segurança de rede) ou a rede virtual (logs de fluxo de rede virtual). A conta de armazenamento de destino deve compartilhar o mesmo locatário do Microsoft Entra do grupo de segurança de rede ou rede virtual.

Não. Todos os recursos devem estar no mesmo locatário, incluindo grupos de segurança de rede (logs de fluxo de grupo de segurança de rede), redes virtuais (logs de fluxo de rede virtual), logs de fluxo, contas de armazenamento e espaços de trabalho do Log Analytics (se a análise de tráfego estiver habilitada).

Sim.

As pastas de trabalho do Traffic Analytics são alimentadas por consultas do Log Analytics. Se a consulta exceder os limites para análise de registos, a pasta de trabalho poderá apresentar erros de memória baixa. Para melhorar o desempenho e reduzir erros de pouca memória, os utilizadores podem usar clusters dedicados de Log Analytics.

Não. Se você excluir a conta de armazenamento usada para logs de fluxo, os dados armazenados no espaço de trabalho do Log Analytics não serão afetados. Você ainda pode exibir dados históricos no espaço de trabalho do Log Analytics (algumas métricas serão afetadas), mas a análise de tráfego não processará mais novos logs de fluxo até que você atualize os logs de fluxo para usar uma conta de armazenamento diferente.

Selecione uma região suportada. Se você selecionar uma região não suportada, receberá um erro "Não encontrado". Para obter mais informações, consulte Regiões suportadas pela análise de tráfego.

O Microsoft.Insights provedor deve estar registrado para que o log de fluxo funcione corretamente. Se não tiveres certeza se o Microsoft.Insights provedor está registrado para a tua assinatura, consulta as instruções de gestão dos logs de fluxo do NSG para saber como registrá-lo.

O painel pode levar até 30 minutos para mostrar relatórios pela primeira vez. A solução deve primeiro agregar dados suficientes para obter insights significativos e, em seguida, gerar relatórios.

Tente as seguintes opções:

• Altere o intervalo de tempo na barra superior.
• Selecione um espaço de trabalho diferente do Log Analytics na barra superior.
• Tente acessar a análise de tráfego após 30 minutos, se ela tiver sido ativada recentemente.

Poderá ver esta mensagem porque:

• A análise de tráfego foi habilitada recentemente e pode ainda não ter agregado dados suficientes para obter insights significativos.
• Você está usando a versão gratuita do espaço de trabalho do Log Analytics e ela excedeu os limites de cota. Talvez seja necessário usar um espaço de trabalho com uma capacidade maior.

Experimente as soluções sugeridas para a pergunta anterior. Se os problemas persistirem, levante preocupações nas Perguntas e Respostas da Microsoft.

Você está vendo as informações de recursos no painel; no entanto, não existem estatísticas relacionadas com os fluxos. Os dados podem não estar presentes devido à ausência de fluxos de comunicação entre os recursos. Aguarde 60 minutos e verifique novamente o status. Se o problema persistir e você tiver certeza de que existem fluxos de comunicação entre recursos, levante preocupações nas Perguntas e Respostas da Microsoft.

A análise de tráfego é monitorizada. A medição é baseada no processamento de dados brutos de log de fluxo pelo serviço. Para obter mais informações, consulte Preços do Monitor de Rede.
Os logs aprimorados ingeridos no espaço de trabalho do Log Analytics podem ser retidos gratuitamente por até os primeiros 31 dias (ou 90 dias se o Microsoft Sentinel estiver habilitado no espaço de trabalho). Para obter mais informações, consulte Preços do Azure Monitor.

Quando os registos de fluxo NSG são ativados, os registos de fluxo são escritos na conta de Armazenamento do Azure configurada. Para gerar informações analíticas de tráfego, o Observador de Rede do Azure realiza operações de back-end sobre estes dados armazenados para processar, agregar e enriquecer registos de fluxo. Estas interações de armazenamento backend são necessárias para funcionalidades analíticas e ocorrem mesmo que não consulte ativamente os dados. Pode controlar o impacto global de custos ajustando o âmbito do registo de fluxo, a retenção e se a Análise de Tráfego está ativada. Para mais informações, consulte os preços dos registos de fluxo NSG.

O intervalo de processamento padrão da análise de tráfego é de 60 minutos, no entanto, você pode selecionar o processamento acelerado em intervalos de 10 minutos. Para obter mais informações, consulte Agregação de dados na análise de tráfego.

A análise de tráfego cria e gerencia recursos de regra de coleta de dados (DCR) e ponto de extremidade de coleta de dados (DCE) no mesmo grupo de recursos do espaço de trabalho, prefixados com NWTA. Se realizar qualquer operação nestes recursos, a análise de tráfego poderá não funcionar conforme esperado. Para obter mais informações, consulte Agregação de dados na análise de tráfego. Para obter mais informações, consulte Regras de coleta de dados no Azure Monitor e Pontos de extremidade de coleta de dados no Azure Monitor.

Não é recomendável aplicar bloqueios aos recursos DCR e DCE criados pela análise de tráfego, pois esses recursos são gerenciados pelo serviço. Os recursos bloqueados não são limpos após a exclusão dos logs de fluxo relacionados. Se realizar qualquer operação nestes recursos, a análise de tráfego poderá não funcionar conforme esperado. Para obter mais informações, consulte Agregação de dados na análise de tráfego.

A análise de tráfego depende dos sistemas internos de inteligência de ameaças da Microsoft para considerar um IP como malicioso. Esses sistemas usam diversas fontes de telemetria, como produtos e serviços da Microsoft, a Microsoft Digital Crimes Unit (DCU), o Centro de Resposta de Segurança da Microsoft (MSRC) e feeds externos e criam inteligência sobre isso. Alguns desses dados são internos da Microsoft. Se um IP conhecido está a ser sinalizado como malicioso, crie um pedido de suporte para saber os detalhes.

A análise de tráfego não tem suporte integrado para alertas. No entanto, como os dados de análise de tráfego são armazenados no Log Analytics, você pode escrever consultas personalizadas e definir alertas sobre elas. Siga estes passos:

• Você pode usar o link do Log Analytics na análise de tráfego.
• Use o esquema de análise de tráfego para escrever suas consultas.
• Selecione Nova regra de alerta para criar o alerta.
• Consulte Criar uma nova regra de alerta para criar o alerta.

Não, atualmente não é suportado. Se um espaço de trabalho do Log Analytics for implantado atrás de um perímetro de segurança de rede, a análise de tráfego não poderá ingerir dados dele.

Sim. A solução de problemas de conexão e o diagnóstico NSG não oferecem suporte a implantações privadas do Application Gateway. Para obter mais informações, consulte Implantação do Private Application Gateway.