Filtrer les journaux de flux de réseau virtuel

Les journaux de flux de réseau virtuel sont une fonctionnalité d’Azure Network Watcher qui vous permet de journaliser des informations sur le trafic IP circulant dans un réseau virtuel Azure. Pour plus d’informations sur la journalisation des flux de réseau virtuel, consultez la vue d’ensemble des journaux de flux de réseau virtuel.

Dans cet article, vous allez découvrir la fonctionnalité de filtrage des journaux de flux de réseau virtuel. La fonctionnalité de filtrage fournit aux utilisateurs des options pour enregistrer le trafic au sein d’un réseau virtuel (trafic intra-réseau virtuel) ou avec deux réseaux virtuels ou plus (trafic entre réseaux virtuels). Il permet également aux utilisateurs d’identifier le trafic basé sur la plage CIDR, le trafic sortant entrant, le trafic Internet et le trafic autorisé/refusé.

Champs pris en charge

Tous les champs peuvent prendre une valeur séparée par des virgules comme entrée. Une ressource Foundry Tools ou Document Intelligence.

Opérations prises en charge

Les journaux de flux de réseau virtuel soutiennent = et != pour chaque champ.

Opérandes pris en charge

Les journaux de flux de réseau virtuel prennent en charge les opérandes logiques && et || entre deux champs.

Format pris en charge

• Les champs peuvent être fournis dans n’importe quelle combinaison.
• Les crochets ne sont actuellement pas pris en charge.
• Les champs sont évalués en respectant la priorité de l’opérande logique (AND avant OR) de gauche à droite.
• La longueur maximale de la chaîne de filtrage peut être de 1 000 caractères.

Activer le filtrage

Pour créer des journaux de flux de réseau virtuel avec filtrage, utilisez l’applet de commande New-AzNetworkWatcherFlowLog .

# Place the virtual network configuration into a variable.
$vnet = Get-AzVirtualNetwork -Name 'myVNet' -ResourceGroupName 'myResourceGroup'

# Place the storage account configuration into a variable.
$storageAccount = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'

# Create a traffic analytics workspace and place its configuration into a variable.
$workspace = New-AzOperationalInsightsWorkspace -Name 'myWorkspace' -ResourceGroupName 'myResourceGroup' -Location 'EastUS'

# Create a VNet flow log with the following filtering criteria: dstip=20.252.145.59 || DstPort=443
New-AzNetworkWatcherFlowLog -Enabled $true -Name 'myVNetFlowLog' -NetworkWatcherName 'NetworkWatcher_eastus' `
    -ResourceGroupName 'NetworkWatcherRG' -StorageId $storageAccount.Id -TargetResourceId $vnet.Id `
    -FormatVersion 2 -EnabledFilteringCriteria 'dstip=20.252.145.59 || DstPort=54300-54400' `
    -EnableTrafficAnalytics -TrafficAnalyticsWorkspaceId $workspace.ResourceId `
    -EnableRetention $true -RetentionPolicyDays 15

Mettre à jour le filtrage existant

Vous pouvez modifier des critères de filtrage existants pour les journaux de flux de réseau virtuel à l’aide de l’applet de commande Set-AzNetworkWatcherFlowLog avec des conditions mises à jour sans avoir à recréer le journal de flux.

# Place the virtual network configuration into a variable.
$vnet = Get-AzVirtualNetwork -Name 'myVNet' -ResourceGroupName 'myResourceGroup'

# Place the storage account configuration into a variable.
$storageAccount = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'

# Place the workspace configuration into a variable.
$workspace = Get-AzOperationalInsightsWorkspace -Name 'myWorkspace' -ResourceGroupName 'myResourceGroup'

# Update the VNet flow log.
Set-AzNetworkWatcherFlowLog -Enabled $true -Name 'myVNetFlowLog' -NetworkWatcherName 'NetworkWatcher_eastus' `
    -ResourceGroupName 'NetworkWatcherRG' -StorageId $storageAccount.Id -TargetResourceId $vnet.Id `
    -FormatVersion 2 -EnabledFilteringCriteria 'dstip=20.252.145.59 || DstPort=443' `
    -EnableTrafficAnalytics -TrafficAnalyticsWorkspaceId $workspace.ResourceId `
    -EnableRetention $true -RetentionPolicyDays 15

Filtrage basé sur RecordTypes

Vous pouvez filtrer les journaux de flux de réseau virtuel en fonction de l’état d’un flux réseau. L’état du flux représente l’étape de cycle de vie d’une connexion, telle que celle observée par Network Watcher, par exemple lorsqu’un flux commence, se poursuit, se termine ou est refusé.

Utilisez le paramètre RecordTypes pour spécifier les états de flux que vous souhaitez enregistrer. Le paramètre accepte une ou plusieurs valeurs séparées par des virgules.

Valeurs de RecordType prises en charge

Exemples de scénarios utilisant RecordTypes

Gérer la condition de filtrage RecordTypes

Vous pouvez activer le filtrage RecordTypes lors de la création du journal de flux en choisissant les formats d’enregistrement de flux à collecter afin d’adapter la sortie de journalisation sans générer de données inutiles. Vous pouvez également mettre à jour la condition de filtrage RecordTypes pour un journal de flux existant.

# Enable RecordTypes filtering while creating flowlog 
New-AzNetworkWatcherFlowLog `
  -Enabled $true -Name <FlowLog Name> `
  -NetworkWatcherName <Network Watcher Name> `
  -ResourceGroupName NetworkWatcherRG `
  -StorageId <Storage Account ID> `
  -TargetResourceId <Target Resource/VNet ID> `
  -RecordTypes "<Record Types>"

# Enable RecordTypes and EnabledFilteringCriteria filtering while creating flow log
New-AzNetworkWatcherFlowLog `
  -Enabled $true -Name <FlowLog Name> `
  -NetworkWatcherName <Network Watcher Name> `
  -ResourceGroupName <Resource Group Name> `
  -StorageId <Storage Account ID> `
  -TargetResourceId <Target Resource/VNet ID> `
  -EnabledFilteringCriteria "<Filtering Criteria Expression>" `
  -RecordTypes "<Record Types>"

# Update RecordTypes filtering condition on existing flow log
Set-AzNetworkWatcherFlowLog `
  -Enabled $true  -Name <FlowLog Name> `
  -NetworkWatcherName <Network Watcher Name> `
  -ResourceGroupName <Resource Group Name> `
  -StorageId <Storage Account ID> `
  -TargetResourceId <Target Resource/VNet ID> `
  -RecordTypes "<Record Types>"

# Remove RecordTypes filtering condition from existing flow log
Set-AzNetworkWatcherFlowLog `
  -Enabled $true  -Name <FlowLog Name> `
  -NetworkWatcherName <Network Watcher Name> `
  -ResourceGroupName <Resource Group Name> `
  -StorageId <Storage Account ID> `
  -TargetResourceId <Target Resource/VNet ID> `
  -RecordTypes ""

Contenu connexe

• Vue d’ensemble des journaux de flux de réseau virtuel
• Créer et gérer des journaux de flux de réseau virtuel
• Journaliser le trafic réseau vers et depuis un réseau virtuel à l’aide du portail Azure