Azure Network Watcher でパケットキャプチャを管理する

[アーティクル]
02/10/2025

この記事では、Azure Network Watcher のパケットキャプチャ機能を使用して、仮想マシンのパケットキャプチャをリモートで構成、開始、停止、ダウンロード、削除する方法について説明します。

前提条件

アクティブなサブスクリプションが含まれる Azure アカウント。無料でアカウントを作成できます。
ポート 80 経由の 169.254.169.254 およびポート 8037 経由の 168.63.129.16 への送信 TCP 接続を持つ仮想マシン (VM) または仮想マシンスケールセット。これらの IP アドレスは、Network Watcher エージェント VM 拡張機能と Azure プラットフォームの通信に使用されます。
ターゲット仮想マシンにインストールされた Network Watcher Agent VM 拡張機能。 Azure portal で Network Watcher パケットキャプチャを使用するたびに、エージェントがターゲット VM またはスケールセットに自動的にインストールされます (以前にインストールされていない場合)。既にインストールされているエージェントを更新するには、「Azure Network Watcher 拡張機能を最新バージョンに更新する」を参照してください。
ポート 443 経由の VM 送信 TCP 接続を持つ Azure ストレージアカウント。ストレージアカウントを持っていない場合は、Azure portal を使用したストレージアカウントの作成に関するページを参照してください。ターゲット仮想マシンまたはスケールセットのサブネットからストレージアカウントにアクセスできる必要があります。詳細については、Azure Storage ファイアウォールおよび仮想ネットワークの構成に関する記事を参照してください。
Azure アカウントで Azure Portal にサインインします。

アクティブなサブスクリプションが含まれる Azure アカウント。無料でアカウントを作成できます。
ポート 80 経由の 169.254.169.254 およびポート 8037 経由で 168.63.129.16 への送信 TCP 接続を持つ仮想マシン (VM)。これらの IP アドレスは、Network Watcher エージェント VM 拡張機能と Azure プラットフォームの通信に使用されます。
ターゲット仮想マシンにインストールされた Network Watcher Agent VM 拡張機能。詳細については、「Windows 用 Network Watcher Agent 仮想マシン拡張機能の管理」または「Linux 用 Network Watcher Agent 仮想マシン拡張機能を管理する」を参照してください。
ポート 443 経由の VM 送信 TCP 接続を持つ Azure ストレージアカウント。ストレージアカウントを持っていない場合は、PowerShell を使用したストレージアカウントの作成に関するページを参照してください。ターゲット仮想マシンまたはスケールセットのサブネットからストレージアカウントにアクセスできる必要があります。詳細については、Azure Storage ファイアウォールおよび仮想ネットワークの構成に関する記事を参照してください。
Azure Cloud Shell または Azure PowerShell。

この記事の手順では、Azure Cloud Shell で Azure PowerShell コマンドレットを対話型で実行します。 Cloud Shell でコマンドを実行するには、コードブロックの右上隅にある [Cloud Shell を開く] を選択します。 [コピー] を選択してコードをコピーし、続いて Cloud Shell に貼り付けて実行します。 Azure portal 内から Cloud Shell を実行することもできます。

また、Azure PowerShell をローカルにインストールしてコマンドレットを実行することもできます。この記事では、Az PowerShell モジュールが必要です。詳細については、「Azure PowerShell のインストール方法」を参照してください。 PowerShell をローカルで実行している場合は、Connect-AzAccount コマンドレットを使用して Azure にサインインします。

アクティブなサブスクリプションが含まれる Azure アカウント。無料でアカウントを作成できます。
ポート 80 経由の 169.254.169.254 およびポート 8037 経由で 168.63.129.16 への送信 TCP 接続を持つ仮想マシン (VM)。これらの IP アドレスは、Network Watcher エージェント VM 拡張機能と Azure プラットフォームの通信に使用されます。
ターゲット仮想マシンにインストールされた Network Watcher Agent VM 拡張機能。詳細については、「Windows 用 Network Watcher Agent 仮想マシン拡張機能の管理」または「Linux 用 Network Watcher Agent 仮想マシン拡張機能を管理する」を参照してください。
ポート 443 経由の VM 送信 TCP 接続を持つ Azure ストレージアカウント。ストレージアカウントがない場合は、Azure CLI を使用したストレージアカウントの作成に関するページを参照してください。ターゲット仮想マシンまたはスケールセットのサブネットからストレージアカウントにアクセスできる必要があります。詳細については、Azure Storage ファイアウォールおよび仮想ネットワークの構成に関する記事を参照してください。
Azure Cloud Shell または Azure CLI。

この記事の手順では、Azure Cloud Shell で Azure CLI コマンドを対話型で実行します。 Cloud Shell でコマンドを実行するには、コードブロックの右上隅にある [Cloud Shell を開く] を選択します。 [コピー] を選択してコードをコピーし、Cloud Shell に貼り付けて実行します。 Azure portal 内から Cloud Shell を実行することもできます。

また、Azure CLI をローカルにインストールしてコマンドを実行することもできます。 Azure CLI をローカルで実行する場合は、az login コマンドを使用して Azure にサインインします。

Note

仮想マシンのリージョンで Network Watcher が有効になっていない場合、Azure でそのリージョンに Network Watcher インスタンスが作成されます。詳細については、「Azure Network Watcher を有効または無効にする」を参照してください。

ネットワークセキュリティグループが、ネットワークインターフェイス、またはネットワークインターフェイスが含まれるサブネットに関連付けられている場合は、前述のポート経由の送信接続を許可するルールが存在することを確認します。同様に、ユーザー定義ルートをネットワークに追加するときに、前述のポート経由の送信接続を確保します。

パケットキャプチャを開始する

キャプチャセッションを開始するには、次の手順に従います。

ポータルの上部にある検索ボックスに、「Network Watcher」と入力します。検索結果から [Network Watcher] を選択します。
[ネットワーク診断ツール] の [パケットキャプチャ] を選択し、[+ 追加] を選択してパケットキャプチャを作成します。

[パケットキャプチャの追加] で、次の設定値を入力または選択します。

設定	値
基本的な詳細
サブスクリプション	仮想マシンの Azure サブスクリプションを選択します。
リソースグループ	仮想マシンのリソースグループを選択します。
変換後の型	[仮想マシン] または [仮想マシンスケールセット] を選択します。
ターゲット仮想マシンスケールセット	仮想マシンスケールセットを選択します。このオプションは、ターゲットの種類として [仮想マシンスケールセット] を選択した場合に使用できます。
ターゲットインスタンス	仮想マシンまたはスケールセットのインスタンスを選択します。
パケットキャプチャ名	名前を入力するか、既定の名前をそのまま使用します。
パケットキャプチャの構成
キャプチャ場所	[ストレージアカウント] (既定のオプション)、[ファイル]、または [両方] を選択します。
ストレージアカウント	Standard ストレージアカウントを選択します¹。このオプションは、キャプチャ場所として [ストレージアカウント] または [両方] を選択した場合に使用できます。ストレージアカウントは、ターゲットインスタンスと同じリージョンに存在する必要があります。
ローカルファイルパス	キャプチャをターゲット仮想マシンに保存する有効なローカルファイルパスを入力します。 Linux マシンを使用している場合、パスは `/var/captures` で始めることができます。 Windows マシンを使用している場合、パスは `C:\Captures` で始めることができます。このオプションは、キャプチャ場所として [ファイル] または [両方] を選択すると使用できます。
1 パケットあたりの最大バイト数	各パケットごとに取り込まれる最大バイト数を入力します。空白のままにするか、0 を入力すると、すべてのバイトが取り込まれます。
1 セッションあたりの最大バイト数	取り込まれる合計バイト数を入力します。この値に達するとパケットキャプチャは停止します。空白のままにすると、最大 1 GB が取り込まれます。
[制限時間 (秒)]	パケットキャプチャセッションの時間制限を秒単位で入力します。この値に達するとパケットキャプチャは停止します。空白のままにすると、最大 5 時間 (18,000 秒) が取り込まれます。
フィルター処理 (省略可能)
フィルター条件の追加	[フィルター条件の追加] を選択して、新しいフィルターを追加します。フィルターは必要なだけ定義することができます。
Protocol	選択したプロトコルに基づいてパケットキャプチャをフィルター処理します。使用可能な値は、[TCP]、[UDP]、または [任意] のいずれかです。
ローカル IP アドレス²	ローカル IP アドレスがこの値と一致するパケットを対象に、パケットキャプチャをフィルター処理します。
ローカルポート²	ローカルポートがこの値と一致するパケットを対象に、パケットキャプチャをフィルター処理します。
リモート IP アドレス²	リモート IP アドレスがこの値と一致するパケットを対象に、パケットキャプチャをフィルター処理します。
リモートポート²	リモートポートがこの値と一致するパケットを対象に、パケットキャプチャをフィルター処理します。

¹ Premium ストレージアカウントは現在、パケットキャプチャの格納には対応していません。

² ポートと IP アドレスの値には、1 つの値、範囲 (80-1024 など)、複数の値 (80、443 など) を指定できます。

[パケットキャプチャを開始する] を選択します。
パケットキャプチャは、時間制限またはファイルサイズ (セッションあたりの最大バイト数) に達すると停止します。

キャプチャセッションを開始するには、New-AzNetworkWatcherPacketCapture コマンドレットを使用します。

# Place the virtual machine configuration into a variable.
$vm = Get-AzVM -ResourceGroupName 'myResourceGroup' -Name 'myVM'

# Place the storage account configuration into a variable.
$storageAccount = Get-AzStorageAccount -ResourceGroupName 'myResourceGroup' -Name 'mystorageaccount'

# Start the Network Watcher capture session.
New-AzNetworkWatcherPacketCapture -Location 'eastus' -PacketCaptureName 'myVM_1' -TargetVirtualMachineId $vm.Id  -StorageAccountId $storageAccount.Id

キャプチャセッションが開始されると、次の出力が表示されます。

ProvisioningState Name   BytesToCapturePerPacket TotalBytesPerSession TimeLimitInSeconds
----------------- ----   ----------------------- -------------------- ------------------
Succeeded         myVM_1 0                       1073741824           18000

次の表では、New-AzNetworkWatcherPacketCapture コマンドレットで使用できる省略可能なパラメーターについて説明します。

パラメーター	description
`-Filter`	必要なトラフィックのみをキャプチャするフィルターを追加します。たとえば、特定の IP アドレスから特定のポートへの TCP トラフィックのみをキャプチャできます。
`-TimeLimitInSeconds`	キャプチャセッションの最長期間を設定します。既定値は 18,000 秒 (5 時間) です。
`-BytesToCapturePerPacket`	各パケットごとにキャプチャする最大バイト数を設定します。使用されていない場合、または 0 が入力されている場合は、すべてのバイトがキャプチャされます。
`-TotalBytesPerSession`	キャプチャする合計バイト数を設定します。この値に達するとパケットキャプチャは停止します。使用しない場合、最大 1 GB (1,073,741,824 バイト) がキャプチャされます。
`-LocalFilePath`	キャプチャを対象の仮想マシンに保存する場合、有効なローカルファイルパス (C:\Capture\myVM_1.cap など) を入力します。 Linux マシンを使用している場合、パスは /var/captures で始まる必要があります。

パケットキャプチャは、時間制限またはファイルサイズ (セッションあたりの最大バイト数) に達すると停止します。

キャプチャセッションを開始するには、az network watcher packet-capture create コマンドを使用します。

# Start the Network Watcher capture session.
az network watcher packet-capture create --name 'myVM_1' --resource-group 'myResourceGroup' --vm 'myVM' --storage-account 'mystorageaccount'

# Start the Network Watcher capture session (storage account is in different resource group from the VM).
az network watcher packet-capture create --name 'myVM_1' --resource-group 'myResourceGroup' --vm 'myVM' --storage-account '/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroup2/providers/Microsoft.Storage/storageAccounts/mystorageaccount'

キャプチャセッションが開始されると、次の出力が表示されます。

{
  "bytesToCapturePerPacket": 0,
  "etag": "W/\"aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb\"",
  "filters": [],
  "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/NetworkWatcherRG/providers/Microsoft.Network/networkWatchers/NetworkWatcher_eastus/packetCaptures/myVM_1",
  "name": "myVM_1",
  "provisioningState": "Succeeded",
  "resourceGroup": "NetworkWatcherRG",
  "scope": {
    "exclude": [],
    "include": []
  },
  "storageLocation": {
    "storageId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroup/providers/Microsoft.Storage/storageAccounts/mystorageaccount",
    "storagePath": "https://mystorageaccount.blob.core.windows.net/network-watcher-logs/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/myresourcegroup/providers/microsoft.compute/virtualmachines/myvm/2025/01/31/packetcapture_16_39_41_077.cap"
  },
  "target": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroup/providers/Microsoft.Compute/virtualMachines/myVM",
  "targetType": "AzureVM",
  "timeLimitInSeconds": 18000,
  "totalBytesPerSession": 1073741824
}

次の表では、az network watcher packet-capture create コマンドで使用できる省略可能なパラメーターについて説明します。

パラメーター	description
`--filters`	必要なトラフィックのみをキャプチャするフィルターを追加します。たとえば、特定の IP アドレスから特定のポートへの TCP トラフィックのみをキャプチャできます。
`--time-limit`	キャプチャセッションの最長期間を設定します。既定値は 18,000 秒 (5 時間) です。
`--capture-size`	各パケットごとにキャプチャする最大バイト数を設定します。使用されていない場合、または 0 が入力されている場合は、すべてのバイトがキャプチャされます。
`--capture-limit`	キャプチャする合計バイト数を設定します。この値に達するとパケットキャプチャは停止します。使用しない場合、最大 1 GB (1,073,741,824 バイト) がキャプチャされます。
`--file-path`	キャプチャを対象の仮想マシンに保存する場合、有効なローカルファイルパス (C:\Capture\myVM_1.cap など) を入力します。 Linux マシンを使用している場合、パスは /var/captures で始まる必要があります。

パケットキャプチャは、時間制限またはファイルサイズ (セッションあたりの最大バイト数) に達すると停止します。

パケットキャプチャを停止する

時間またはファイルサイズの制限に達する前にパケットキャプチャセッションを手動で停止するには、パケットキャプチャの右側にある省略記号 [...] を選択するか、それを右クリックして [停止] を選択します。

パケットキャプチャセッションを時間またはファイルサイズの制限に達する前に手動で停止するには、Stop-AzNetworkWatcherPacketCapture コマンドレットを使用します。

# Manually stop a packet capture session.
Stop-AzNetworkWatcherPacketCapture -Location 'eastus' -PacketCaptureName 'myVM_1'

Note

このコマンドレットは、実行されたのが、現在実行中のキャプチャセッションであるか、既に停止しているセッションであるかについて応答を返しません。

パケットキャプチャセッションを時間またはファイルサイズの制限に達する前に手動で停止するには、az network watcher packet-capture stop コマンドを使用します。

# Manually stop a packet capture session.
az network watcher packet-capture stop --location 'eastus' --name 'myVM_1'

Note

このコマンドは、実行されたのが、現在実行中のキャプチャセッションであるか、既に停止しているセッションであるかについて応答を返しません。

パケットキャプチャの状態を表示する

Network Watcher の [パケットキャプチャ] ページに移動すると、状態に関係なく既存のパケットキャプチャが一覧表示されます。

パケットキャプチャ (実行中または完了) の状態を取得するには Get-AzNetworkWatcherPacketCapture コマンドレットを使用します。

# Get information, properties, and status of a packet capture.
Get-AzNetworkWatcherPacketCapture -Location 'eastus' -PacketCaptureName 'myVM_1'

次の出力は、Get-AzNetworkWatcherPacketCapture コマンドレットから出力の例です。次の例はキャプチャ完了後です。 PacketCaptureStatus 値は Stopped で、StopReason は TimeExceeded です。この値は、パケットキャプチャが成功し、所定の時間実行されたことを示します。

ProvisioningState Name   Target                                                                                                                              BytesToCapturePerPacket TotalBytesPerSession TimeLimitInSeconds
----------------- ----   ------                                                                                                                              ----------------------- -------------------- ------------------
Succeeded         myVM_1 /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroup/providers/Microsoft.Compute/virtualMachines/myVM 0                       1073741824           18000

Note

出力でさらなる詳細を取得するには、コマンドの末尾に | Format-List を追加します。

パケットキャプチャ (実行中または完了) の状態を取得するには、az network watcher packet-capture show-status コマンドを使用します。

# Get information, properties, and status of a packet capture.
az network watcher packet-capture show-status --location 'eastus' --name 'myVM_1'

次の例は、az network watcher packet-capture show-status コマンドからの出力です。 packetCaptureStatus 値は Stopped で、stopReason 値は TimeExceeded であることが確認できます。

{
  "additionalProperties": {
    "status": "Succeeded"
  },
  "captureStartTime": "2016-12-06T17:20:01.5671279Z",
  "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/NetworkWatcherRG/providers/Microsoft.Network/networkWatchers/NetworkWatcher_eastus/packetCaptures/myVM_1",
  "name": "packetCaptureName",
  "packetCaptureError": [],
  "packetCaptureStatus": "Stopped",
  "stopReason": "TimeExceeded"
}

パケットキャプチャをダウンロードする

パケットキャプチャセッションを終了すると、結果のキャプチャファイルは Azure Storage、ターゲット仮想マシン上のローカルファイル、またはその両方に保存されます。パケットキャプチャの保存先は、作成時に指定します。詳細については、「パケットキャプチャを開始する」セクションを参照してください。

Azure Storage に保存されたパケットキャプチャファイルをダウンロードするには、次の手順に従います。

[パケットキャプチャ] ページで、ファイルをダウンロードするパケットキャプチャを選択します。
[詳細] セクションで、パケットキャプチャファイルのリンクを選択します。
[BLOB] ページで、[ダウンロード] を選択します。

Note

Azure portal または Storage Explorer¹ を使用して、次のパスでストレージアカウントコンテナーからキャプチャファイルをダウンロードすることもできます。

https://{storageAccountName}.blob.core.windows.net/network-watcher-logs/subscriptions/{subscriptionId}/resourcegroups/{storageAccountResourceGroup}/providers/microsoft.compute/virtualmachines/{virtualMachineName}/{year}/{month}/{day}/packetcapture_{UTCcreationTime}.cap

¹ Storage Explorer は、Azure Storage データにアクセスしたり操作したりする際に使用すると便利なスタンドアロンアプリです。詳細については、「Storage Explorer の概要」を参照してください。

仮想マシン (VM) に保存されたパケットキャプチャファイルをダウンロードするには、VM に接続し、パケットキャプチャの作成時に指定したローカルパスからファイルをダウンロードします。

ストレージアカウントが指定されている場合、パケットキャプチャファイルは、次のパスにあるストレージアカウントに保存されます。

https://{storageAccountName}.blob.core.windows.net/network-watcher-logs/subscriptions/{subscriptionId}/resourcegroups/{storageAccountResourceGroup}/providers/microsoft.compute/virtualmachines/{virtualMachineName}/{year}/{month}/{day}/packetcapture_{UTCcreationTime}.cap

Azure Storage からローカルディスクにパケットキャプチャをダウンロードするには、Get-AzStorageBlobContent コマンドレットを使用します。

# Download the packet capture file from Azure storage container.
Get-AzStorageBlobContent -Container 'network-watcher-logs' -Blob '/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/myresourcegroup/providers/microsoft.compute/virtualmachines/myvm/2024/01/25/packetcapture_22_44_54_342.cap' -Destination 'C:\Capture\myVM_1.cap'

Note

Azure Storage Explorer を使用して、ストレージアカウントコンテナーからキャプチャファイルをダウンロードすることもできます。 Storage Explorer は、Azure Storage データにアクセスして操作するために便利に使用できるスタンドアロンアプリです。詳細については、「Storage Explorer の概要」を参照してください。

ストレージアカウントが指定されている場合、パケットキャプチャファイルは、次のパスにあるストレージアカウントに保存されます。

https://{storageAccountName}.blob.core.windows.net/network-watcher-logs/subscriptions/{subscriptionId}/resourcegroups/{storageAccountResourceGroup}/providers/microsoft.compute/virtualmachines/{virtualMachineName}/{year}/{month}/{day}/packetcapture_{UTCcreationTime}.cap

Azure Storage からローカルディスクにパケットキャプチャをダウンロードするには、az storage blob download コマンドを使用します。

# Download the packet capture file from Azure storage container.
az storage blob download --container-name 'network-watcher-logs' --blob-url '/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/myresourcegroup/providers/microsoft.compute/virtualmachines/myvm/2024/01/25/packetcapture_22_44_54_342.cap' --file 'C:\Capture\myVM_1.cap'

Note

パケットキャプチャを削除する

[パケットキャプチャ] ページで、削除するパケットキャプチャの右側にある [...] を選択するか、右クリックして [削除] を選択します。
[はい] を選択します。

パケットキャプチャリソースを削除するには、Remove-AzNetworkWatcherPacketCapture を使用します。

# Delete a packet capture resource.
Remove-AzNetworkWatcherPacketCapture -Location 'eastus' -PacketCaptureName 'myVM_1'

パケットキャプチャリソースを削除するには、az network watcher packet-capture delete を使用します。

# Delete a packet capture resource.
az network watcher packet-capture delete --location 'eastus' --name 'myVM_1'

重要

Network Watcher でパケットキャプチャリソースを削除しても、ストレージアカウントまたは仮想マシンからキャプチャファイルは削除されません。キャプチャファイルが不要になった場合は、ストレージアカウントまたは仮想マシンから手動で削除する必要があります。

仮想マシンのアラートを使用してパケットキャプチャを自動化する方法については、アラートでトリガーされるパケットキャプチャの作成に関するページを参照してください。
Wireshark を使用して Network Watcher パケットキャプチャファイルを分析する方法については、「Network Watcher パケットキャプチャファイルの検査と分析」を参照してください。

次の方法で共有

Azure Network Watcher でパケットキャプチャを管理する

前提条件

パケットキャプチャを開始する

パケットキャプチャを停止する

パケットキャプチャの状態を表示する

パケットキャプチャをダウンロードする

パケットキャプチャを削除する

フィードバック

その他のリソース

次の方法で共有

Azure Network Watcher でパケット キャプチャを管理する

前提条件

パケット キャプチャを開始する

パケット キャプチャを停止する

パケット キャプチャの状態を表示する

パケット キャプチャをダウンロードする

パケット キャプチャを削除する

関連するコンテンツ

フィードバック

その他のリソース

Azure Network Watcher でパケットキャプチャを管理する

パケットキャプチャを開始する

パケットキャプチャを停止する

パケットキャプチャの状態を表示する

パケットキャプチャをダウンロードする

パケットキャプチャを削除する