Nota
O acesso a esta página requer autorização. Pode tentar iniciar sessão ou alterar os diretórios.
O acesso a esta página requer autorização. Pode tentar alterar os diretórios.
Este artigo explica como monitorizar, diagnosticar e resolver problemas nos recursos de rede do Azure utilizando ferramentas do Observador de Rede, registos de fluxo, Análise de Tráfego e Azure Monitor Network Insights. Use estas orientações para planear uma estratégia de observabilidade da rede que lhe dê visibilidade sobre padrões de tráfego, saúde da conectividade e eventos de segurança.
O que este artigo aborda
A monitorização de rede no Azure abrange diagnósticos, visibilidade de fluxo, testes de conectividade e painéis operacionais. O Azure fornece ferramentas concebidas especificamente para diferentes camadas da pilha de monitorização:
- Diagnóstico e resolução de problemas: Identifique porque é que um pacote específico é permitido ou negado, trace o percurso que um pacote segue e captura tráfego para análise aprofundada.
- Visibilidade do fluxo: Regista metadados sobre cada fluxo de rede através das tuas redes virtuais para investigação de segurança, conformidade e planeamento de capacidade.
- Monitorização da conectividade: Teste continuamente a acessibilidade entre endpoints (Azure, on-premises e externos) e alerte quando a conectividade se deteriorar.
- Painéis operacionais: Visualize a topologia da rede, a saúde e as métricas entre subscrições sem implementar agentes.
Este artigo aborda as ferramentas que abordam cada camada e ajuda-o a escolher a combinação certa para o seu ambiente.
Quem precisa deste artigo
Leia este artigo se uma ou mais destas condições se aplicarem:
- É necessário ter visibilidade sobre o tráfego de rede, saúde da conectividade, decisões de encaminhamento ou eventos de segurança no Azure.
- Precisa de ferramentas para resolver problemas de filtragem de pacotes, próximos saltos, estado do túnel ou falhas inesperadas de conectividade.
- Precisa de registos de fluxo, análises de tráfego ou dashboards para investigações de segurança, planeamento de capacidade ou operações.
- Necessita de monitorização contínua para o Azure, ambientes locais ou percursos de rede entre clouds.
Dica
Seguindo um percurso de cenário? Selecione o seu cenário no topo da página para obter orientação personalizada. As orientações principais que se seguem aplicam-se a todos os leitores.
Foco em levantar e deslocar: Configura monitorização depois de estabeleceres a tua base de migração. Precisa de observabilidade de rede para validar que a conectividade funciona como esperado, que o desempenho cumpre os seus requisitos e que os padrões de tráfego correspondem à sua documentação pré-migração. O Observador de Rede oferece visibilidade imediata sobre se as suas cargas de trabalho migradas conseguem atingir as suas dependências.
Foco na modernização: A monitorização faz parte da arquitetura pretendida, não é algo em que se pense mais tarde. A prontidão de produção requer observabilidade da rede desde o primeiro dia. As cargas de trabalho do seu AKS e Ambiente do Serviço de Aplicações (ASE) geram padrões complexos de tráfego em múltiplos spokes, regiões e endpoints privados que deve monitorizar proativamente.
Foco multicloud: A monitorização é essencial porque os ambientes multicloud são operacionalmente mais difíceis de diagnosticar e resolver. Quando o tráfego atravessa túneis VPN encriptados entre o Azure e a AWS ou o Google Cloud, perde-se visibilidade no limite do túnel. Precisas de ferramentas de monitorização do lado do Azure para detetar aumentos de latência, perda de pacotes e falhas de conectividade através dos limites da cloud.
Serviços e funcionalidades do Azure
A tabela seguinte descreve as ferramentas principais de monitorização e diagnóstico disponíveis na rede Azure.
| Ferramenta | O que oferece | Quando usar |
|---|---|---|
| Observador de rede | Serviço de plataforma que fornece capacidades de diagnóstico, monitorização e registo para redes virtuais Azure. Ativado automaticamente por região quando crias uma rede virtual. | Ponto de partida para qualquer resolução de problemas de rede. Use verificação de fluxo IP, próximo salto e captura de pacotes para diagnósticos em tempo real. |
| Logs de fluxo de VNet | Registar metadados (origem, destino, porta, protocolo, ação) de todo o tráfego que passa por uma rede virtual. Avalia tanto as regras NSG como as regras de administração de segurança do Azure Virtual Network Manager. | Ativar em todas as redes virtuais de produção para investigação de segurança, auditoria de conformidade e planeamento de capacidade. Substitui os registos de fluxo do NSG. |
| Registos de fluxo NSG (em descontinuação) | Registar as decisões de tráfego tomadas pelos grupos de segurança de rede ao nível da sub-rede ou da NIC. | Apenas para implementações antigas. Migrar para os registos de fluxo do VNet antes de 30 de setembro de 2027. Não podem ser criados novos registos de fluxo NSG após 30 de junho de 2025. |
| Análise de Tráfego | Agrega e visualiza dados de registos de fluxo num espaço de trabalho de Log Analytics. Mostra padrões de tráfego, principais falantes, portos abertos e distribuição geográfica do fluxo. | Obter visibilidade operacional a partir dos dados do log de fluxo sem precisar de escrever consultas personalizadas. Identifique anomalias e riscos de segurança em toda a sua rede. |
| Monitor de Conexão | Testa continuamente a conectividade entre os pontos finais de origem e destino usando sondas TCP, ICMP ou HTTP. Suporta VMs do Azure, anfitriões no local (através do Azure Arc) e URLs externas. | Monitorizar a conformidade SLA para ligações híbridas, detetar regressões de conectividade e validar que as regras de firewall permitem o tráfego esperado. |
| Captura de Pacotes | Captura pacotes para e de uma máquina virtual sem precisar de acesso à VM. Armazena capturas numa conta de armazenamento ou localmente na VM. | Análise profunda de pacotes durante investigações de segurança ou ao diagnosticar problemas de conectividade ao nível da aplicação. |
| Verificação de Fluxo IP | Testa se um pacote específico é permitido ou negado, avaliando as regras de NSG e as regras de administração de segurança do AVNM para um quíntuplo (IP de origem, IP de destino, porta de origem, porta de destino, protocolo). | Descubra porque é que uma VM não consegue chegar a um destino ou porque é que o tráfego é bloqueado inesperadamente. Obtenha resultados imediatos sem captura de pacotes. |
| Próximo Salto | Mostra o tipo de salto seguinte e o endereço IP do tráfego que sai de uma interface de rede específica. Avalia rotas efetivas, incluindo rotas definidas pelo utilizador, rotas BGP e rotas do sistema. | Diagnostice o encaminhamento assimétrico, verifique se o tráfego passa através de um dispositivo virtual de rede esperado ou identifique porque é que o tráfego está a ser cortado. |
| Informações da Rede do Azure Monitor | Fornece uma vista topológica completa e métricas de saúde para todos os recursos de rede implementados, sem necessidade de instalação de agentes ou configuração adicional. | Painéis operacionais que mostram a saúde dos recursos, métricas e dependências entre subscrições, grupos de recursos e regiões. |
Como escolher
Comece pelo Observador de Rede para resolução de problemas
Observador de Rede é a sua primeira paragem para diagnosticar problemas de conectividade. Está ativado automaticamente em todas as regiões onde tens uma rede virtual. Não é necessária nenhuma configuração adicional.
Use a seguinte abordagem ao resolver problemas:
- Verificação de Fluxo IP: Verifique se o trânsito é permitido ou negado e encontre a regra responsável por essa decisão. Esta ferramenta testa contra as regras NSG e as regras de administração de segurança do Azure Virtual Network Manager (AVNM).
- Próximo Salto: Confirme a rota e identifique se o tráfego atinge o próximo salto previsto (internet, gateway de rede virtual, NVA ou nenhum).
- Captura de Pacotes: Se o IP Flow Verify e o Next Hop não revelarem o problema, capture pacotes para análise ao nível do protocolo.
Construa visibilidade com registos de fluxo
Depois de estabelecer capacidades de diagnóstico, ative o registo de fluxo para visibilidade contínua:
- Ative os registos de fluxo VNet em todas as redes virtuais de produção. Os registos de fluxo VNet registam o tráfego de toda a rede virtual, por isso não precisa de configurar registos em múltiplos níveis NSG. Esta abordagem também evita registos duplicados.
- Ative o Traffic Analytics para agregar dados de fluxo em dashboards onde possa agir. A Análise de Tráfego requer um espaço de trabalho de Log Analytics. Use um espaço de trabalho em qualquer região suportada sem incorrer em custos adicionais de transferência de dados.
- Defina políticas de retenção com base nos seus requisitos de conformidade. Os registos de registo de fluxo armazenados no Armazenamento do Azure seguem as políticas de gestão do ciclo de vida da conta de armazenamento.
Adicionar monitorização contínua para percursos críticos para o SLA
Para ligações onde o tempo de inatividade tem impacto no negócio:
- Implemente testes do Monitor de Ligação entre VMs Azure, endpoints on-premises e URLs externos.
- Configure alertas para serem acionados quando os limiares de latência, perda de pacotes ou alcançabilidade forem ultrapassados.
- Use o Network Insights para uma vista topológica que correlaciona métricas de saúde em toda a sua rede sem implementar agentes adicionais.
Resumo da decisão
| Necessidade de monitorização | Ferramenta principal | Suporta híbrido | Requer agente |
|---|---|---|---|
| "Porque é que este pacote está bloqueado?" | Verificação do fluxo IP | No | No |
| Para onde vai este tráfego? | Próxima Etapa | No | No |
| "O que aconteceu na última hora?" | Captura de pacotes | No | No |
| "Qual é o padrão de trânsito no meu VNet?" | Registos de fluxo VNet + Análise de Tráfego | No | No |
| A minha ligação híbrida está a funcionar corretamente? | Monitor de Ligação | Sim (Azure Arc) | Sim (apenas fonte) |
| "Qual é a saúde geral da minha rede?" | Perspetivas da Rede | Partial | No |
Considerações de design
A tua prioridade de monitorização é a validação de base após a migração. Foque-se em confirmar que as cargas de trabalho migradas podem atingir as suas dependências e que o desempenho corresponde às expectativas.
- Observador de Rede para validação de conectividade: Use o IP Flow Verify e o Next Hop para confirmar se as regras NSG e as tabelas de roteamento permitem o tráfego de que as suas aplicações migradas necessitam. Execute estas verificações sistematicamente para cada carga de trabalho migrada.
- Registos de fluxo VNet para padrões de tráfego base: Ative os registos de fluxo VNet em redes virtuais de produção para capturar os padrões reais de tráfego das suas cargas de trabalho migradas. Compare os dados de fluxo com a documentação pré-migração para verificar se todos os caminhos de comunicação esperados estão a funcionar.
- Monitor de Ligação para caminhos híbridos: Implemente testes do Monitor de Ligação entre VMs Azure e endpoints locais para validar continuamente que as ligações VPN ou ExpressRoute mantêm latência e disponibilidade aceitáveis.
- Monitorização avançada adiada: Configure a Análise de Tráfego e os alertas avançados depois de a migração inicial estabilizar. Comece pelas ferramentas de diagnóstico para validar a conectividade antes de investir em painéis operacionais de longo prazo.
A sua estratégia de monitorização suporta cargas de trabalho de produção desde a primeira implementação. Os clusters do AKS, os App Service Environments e as arquiteturas ativa-ativa multirregionais exigem observabilidade total.
- Registos de fluxo da VNet em todas as redes spoke: Ative os registos de fluxo da VNet em todas as redes virtuais spoke. As suas cargas de trabalho containerizadas geram padrões de tráfego que abrangem múltiplas sub-redes e endpoints privados dentro de cada spoke.
- Análise de tráfego para visibilidade operacional: Implemente o Traffic Analytics utilizando um espaço de trabalho do Log Analytics para agregar os dados de fluxo em todos os ramos. Os operadores de rede utilizam dashboards de Análise de Tráfego para identificar os principais faladores, fluxos anómalos e tendências de capacidade em todo o bairro.
- Responsabilidade de monitorização da equipa da app: As equipas de aplicações monitorizam as suas próprias cargas de trabalho (métricas AKS, diagnósticos ASE). As operações centrais da rede monitorizam a infraestrutura partilhada: firewalls dos hubs, gateways VPN, ligações de peering e conectividade entre regiões.
- Monitor de Ligação para multi-região: Implemente testes do Monitor de Ligação entre regiões para validar continuamente que a conectividade entre hubs cumpre os seus requisitos de SLA ativo-ativo. Configure alertas para aumentos de latência que possam indicar congestionamento na espinha dorsal ou alterações de roteamento.
- Monitor de Ligação para desempenho de ponta a ponta: Utilize o Monitor de Ligação para monitorizar o desempenho de ponta a ponta em toda a topologia hub-spoke, incluindo o tráfego que atravessa o Azure Firewall em cada hub regional. O Monitor de Ligação substitui o obsoleto Network Performance Monitor e fornece vistas de topologia unificadas em Azure, on-premises e internet hops.
Ambientes cross-cloud apresentam desafios únicos de monitorização porque se perde visibilidade no limite do túnel VPN. O tráfego que entra num túnel IPsec para a AWS ou Google Cloud desaparece da monitorização do lado do Azure até que receba uma resposta.
- Monitorização de tráfego cross-cloud: Ative os registos de fluxo VNet na rede virtual que aloja o seu Gateway de VPN ou hub WAN Virtual. Estes registos captam o tráfego que entra e sai dos túneis cross-cloud, fornecendo-lhe dados volumétricos e distribuição de protocolos para comunicação cross-cloud.
- Medição de latência: Implemente os testes do Monitor de Ligação das VMs do Azure para os endpoints na AWS ou Google Cloud. Utilize sondas ICMP ou TCP para medir a latência de ida e volta através dos túneis encriptados. Defina limites de alerta com base nos requisitos da sua candidatura.
- Resolução de problemas de túneis encriptados: Quando a conectividade cross-cloud falhar, use o Next Hop do Observador de Rede e o IP Flow Verify para confirmar que o encaminhamento do lado Azure e as regras NSG continuam a direcionar o tráfego para o Gateway de VPN. Os registos de diagnóstico do Gateway de VPN mostram o estado da negociação IKE e o estado do túnel.
- Monitorização de ambos os lados: A monitorização do Azure cobre o lado do Azure da conectividade entre clouds. Coordene com a sua configuração AWS CloudWatch ou Google Cloud Monitoring para obter visibilidade de ponta a ponta. Alerta sobre alterações no estado do túnel de ambos os fornecedores.
- Observador de Rede como ponto de partida: Use diagnósticos do Observador de Rede para isolar se falhas de conectividade têm origem no lado do Azure (regras NSG, tabelas de rota, configuração do gateway) ou do lado remoto (regras do firewall AWS ou Google Cloud, configuração de VPN).
Monitorizar custos de rede
A rede é um custo recorrente que a monitorização deve tornar visível. Use o Microsoft Cost Management para identificar quais os recursos que impulsionam o seu gasto em rede. Os dados processados pelo Azure Firewall, as unidades de dimensionamento do gateway, os endereços IP públicos, a transferência de dados entre regiões e de peering global e a ingestão de dados no Log Analytics são fatores que mais contribuem. Filtre a análise de custos pelo Microsoft.Network fornecedor de recursos, agrupe por recurso e defina alertas de orçamento para que aumentos inesperados (por exemplo, um pico no tráfego de replicação entre regiões) sejam detetados atempadamente. Correlacione picos de custo com registos de fluxo e Análise de Tráfego para encontrar os padrões de tráfego por detrás deles.
Pré-requisitos
Antes de implementar monitorização de rede, verifique se cumpre os seguintes requisitos:
- Observador de Rede ativado: O Observador de Rede é ativado automaticamente por região quando cria ou atualiza uma rede virtual. Se a sua organização optou por não usar a habilitação automática, ative manualmente o Observador de Rede para cada região necessária. A desativação requer um pedido ao Suporte do Azure para a reverter.
- Espaço de trabalho de Log Analytics: Necessário para Análise de Tráfego e Monitor de Ligação. O espaço de trabalho pode estar em qualquer região suportada. Não se aplicam taxas adicionais de transferência de dados entre regiões.
- Conta de armazenamento: Necessária para armazenamento de registos de fluxo e saída de pacotes. Use regras de gestão do ciclo de vida para controlar a retenção e os custos.
- Agente Azure Arc (apenas híbrido): Exigido em máquinas on-premises que servem como endpoints de origem do Monitor de Ligação. Os endpoints de destino não requerem um agente. Monitorize qualquer URL, FQDN ou endereço IP.
- Registos de fluxo VNet a substituir os registos de fluxo NSG: Se atualmente usa registos de fluxo NSG, planeie a sua migração para registos de fluxo VNet antes da data de reforma.
Migração dos registos de fluxo NSG para registos de fluxo VNet
Importante
Os registos de fluxos de NSG serão descontinuados a 30 de setembro de 2027. Não pode criar novos registos de fluxo NSG após 30 de junho de 2025. Migre para os registos de fluxo do VNet para manter a visibilidade do tráfego.
Os registos de fluxo VNet oferecem as mesmas capacidades que os registos de fluxo NSG, além de:
- Cobertura de todo o tráfego dentro de uma rede virtual, incluindo tráfego que os NSGs não processam
- Avaliação das regras de administração de segurança do Azure Virtual Network Manager
- Avaliação do estado da encriptação do VNet
- Âmbito simplificado: não é necessário configurar registos tanto ao nível da subrede como da placa de interface de rede (NIC)
- Sem registos de registo duplicados
Passos de migração:
- Identificar todas as redes virtuais com registos de fluxo NSG ativos.
- Ative os registos de fluxo VNet em cada rede virtual com a mesma conta de armazenamento de destino e configuração de Análise de Tráfego.
- Verifique se os dados do registo de fluxo VNet aparecem na Análise de Tráfego.
- Desligue os registos de fluxo NSG para evitar registos duplicados e custos desnecessários de armazenamento.
Dica
Desative os registos de fluxo do NSG após confirmar que os registos de fluxo da VNet estão a ser gravados corretamente. Executar ambos simultaneamente cria registos duplicados e duplica os custos de armazenamento.
O Azure fornece tanto um script de migração como um caminho Azure Policy para migração automatizada em larga escala.
Considerações de segurança
Proteger os dados de monitorização e controlar o acesso às ferramentas de diagnóstico. As subsecções seguintes abrangem sensibilidade de dados, retenção, segurança de sondas e acesso baseado em funções.
Sensibilidade dos dados do registo de fluxo
Os registos de registo de fluxo contêm metadados sobre todo o tráfego de rede, incluindo endereços IP de origem e destino, portas, protocolos e ações. Trate os dados do registo de fluxo como sensíveis:
- Armazene os registos de fluxo numa conta de armazenamento com controlos de acesso e encriptação adequados.
- Limite o acesso ao espaço de trabalho Log Analytics que recebe dados de Análise de Tráfego usando o Azure RBAC.
- Aplique o princípio do privilégio mínimo: os operadores de rede podem precisar de dashboards de Análise de Tráfego, mas não de acesso bruto ao registo de fluxo.
Retenção de dados de diagnóstico
- Defina políticas de retenção com base nos requisitos de conformidade da sua organização, como PCI DSS, HIPAA ou SOC 2.
- Use a gestão do ciclo de vida do Armazenamento do Azure para arquivar ou eliminar automaticamente os dados do registo de fluxo após o período de retenção exigido.
- Monitorizar os custos da conta de armazenamento. Redes de alto débito geram grandes volumes de dados de registo de fluxo.
Segurança do Monitor de Ligação
- O tráfego da sonda Monitor de Ligação origina-se da infraestrutura do Azure. Certifique-se de que as regras NSG permitem os intervalos da fonte da sonda (use a
AzureMonitoretiqueta de serviço para simplificar). - Para fontes on-premises, o agente Azure Arc mantém uma ligação segura ao Azure. Siga as políticas de segurança dos agentes da sua organização.
Controlo de acesso do Observador de Rede
As operações do Observador de Rede requerem funções específicas no Azure RBAC. Siga o princípio do privilégio mínimo:
| Função | Capabilities |
|---|---|
| Contribuidor de Rede | Acesso completo ao Observador de Rede, incluindo captura de pacotes e configuração do registo de fluxo |
| Reader | Consulte recursos e topologia do Observador de Rede |
| Função personalizada | Limitar a operações específicas (verificação de fluxo IP, próximo salto) sem acesso completo de contribuidor |
Artigos relacionados
- Grupos de segurança de rede e grupos de segurança de aplicações: regras NSG que os registos de fluxo avaliam.
- Azure Firewall e segmentação de rede: Registo e métricas de diagnóstico do firewall.
- Topologia de rede hub-spoke: Visibilidade ao nível do hub e monitorização centralizada.
- Azure Virtual Network Manager e a gestão centralizada: regras de administração de segurança do AVNM avaliadas pelos registos de fluxo da VNet.
Saiba mais
- Visão geral do Observador de Rede
- Visão geral dos registos de fluxo do VNet
- Migração dos registos de fluxo NSG
- Análise de Tráfego
- Descrição geral do Monitor de Ligação
- Informações da Rede do Azure Monitor
- Verificação de fluxo IP
- Salto seguinte
Passos seguintes
Dica
Já terminaste de explorar? Chegou ao fim do guia principal de design de redes do Azure. Volte ao navegador de visão geral para revisitar qualquer área de capacidade, ou continue para o Azure Virtual Network Manager para uma gestão centralizada de redes em várias redes virtuais.
Completaste o percurso de networking de elevação e mudança. Agora tem uma topologia hub-and-spoke com conectividade híbrida VPN/ExpressRoute, Azure Firewall centralizado para tráfego este-oeste e de saída, Bastion para acesso seguro de administrador e Observador de Rede a monitorizar a sua linha base de migração.
Se os seus requisitos aumentaram, volte a consultar os artigos condicionais no seu guia de cenários para acesso à internet, WAF, DDoS e opções multirregional.
Gestão centralizada de rede. Opcional: Se a sua migração criou um conjunto multi-VNet, use o Azure Virtual Network Manager para governação centralizada.
Voltar à visão geral: Explore outras capacidades ou reveja a sua arquitetura.
Completaste o percurso de modernização da rede. Agora tem uma arquitetura multirregional de dois hubs com Front Door ou Traffic Manager para entrada global, Private Link para conectividade PaaS segura, segurança em camadas através do Azure Firewall e WAF, e monitorização de ponta a ponta em todas as suas camadas de aplicação.
Se os seus requisitos foram além da configuração essencial, consulte novamente os artigos suplementares no seu guia do cenário para funcionalidades avançadas de rede, como failover entre regiões e camadas adicionais de segurança.
Gestão centralizada de rede. Opcional: Se a sua infraestrutura abrange várias subscrições e equipas, utilize o Azure Virtual Network Manager para a gestão centralizada de políticas.
Voltar à visão geral: Explore outras capacidades ou reveja a sua arquitetura.
Concluiu o percurso de redes multicloud. Agora dispõe de uma funcionalidade equivalente ao Transit Gateway através do WAN Virtual do Azure, de túneis VPN que ligam as suas VPCs da AWS e do Google Cloud ao Azure, de migração de DNS com o DNS Privado Resolver para resolução de nomes entre clouds e de inspeção segura no hub virtual de todo o tráfego entre clouds.
Se os seus requisitos aumentaram, volte a consultar os artigos condicionais no seu guia de cenários para acesso à internet, WAF, DDoS e opções multirregional.
Gestão centralizada de rede. Opcional: Se a parte do Azure evoluir para um ambiente com múltiplas subscrições sujeito a governação, utilize o Azure Virtual Network Manager para uma gestão centralizada.
Voltar à visão geral: Explore outras capacidades ou reveja a sua arquitetura.